論文の概要: pikit: A Composable Toolkit for Indirect Prompt Injection Research and Evaluation

• arxiv url: http://arxiv.org/abs/2609.36817v1
• Date: Tue, 29 Sep 2026 06:28:36 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-30 21:28:47.239884
• Title: pikit: A Composable Toolkit for Indirect Prompt Injection Research and Evaluation
• Title（参考訳）: pikit: 間接的プロンプト注入研究と評価のための構成可能なツールキット
• Abstract要約: 間接的プロンプトインジェクションは、LSMベースのエージェントによって検索された外部コンテンツに悪意のある命令を埋め込む。 我々は、これらの脅威を3つのコア次元にわたって評価するために設計された研究ツールキットであるPikitを紹介する。 pikitはデコレータベースのレジストリ上に構築されており、コアコードを変更することなく、カスタムコンポーネントのシームレスな拡張を可能にする。
• 参考スコア（独自算出の注目度）: 7.908421631813947
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Indirect prompt injection embeds malicious instructions within external content retrieved by LLM-based agents, altering target behavior without user authorization. We introduce pikit, a research toolkit designed to systematically evaluate these threats across three core dimensions: attacks (13 methods), channels (16 carriers across text and file modes), and defenses (9 prevention strategies and 3 offline detection baselines). Built on a decorator-based registry, pikit enables seamless extension of custom components without modifying core code, while a unified craft() API composes arbitrary attacks and channels in a single call. We evaluated the toolkit on the pi coding agent powered by an anonymized LLM in a production-like environment. Benchmarking 9 prevention strategies against high-risk attacks yields a 71.8\% relative reduction in attack success rate, with few\_shot\_warning and instruction\_hierarchy providing the strongest protection. Offline detection baselines achieve perfect precision but low recall, demonstrating that heuristic detectors complement rather than replace prompt-level defenses. To ensure reproducibility, each run automatically logs full prompts, agent event traces, session transcripts, and verdict records. Our code is available at https://github.com/Tencent/AI-Infra-Guard/tree/main/Research/pikit.
• Abstract（参考訳）: 間接的プロンプトインジェクションは、LLMベースのエージェントによって検索された外部コンテンツに悪意のある命令を埋め込む。 攻撃(13の方法),チャネル(16のテキストおよびファイルモード),ディフェンス(9の防止戦略と3つのオフライン検出ベースライン)の3つの中核的な側面において,これらの脅威を体系的に評価するために設計された研究ツールキットであるPikitを紹介する。 pikitはデコレータベースのレジストリ上に構築されており、コアコードを変更することなく、カスタムコンポーネントのシームレスな拡張を可能にしている。 実運用環境における匿名化LDMを用いたPi符号化エージェント上でのツールキットの評価を行った。 高リスク攻撃に対する9つの予防戦略のベンチマークでは、攻撃成功率を71.8\%削減し、最も強力な防御を提供する命令\_shot\_warningと命令\_hierarchyが提供される。 オフライン検出ベースラインは完全な精度で低いリコールを達成し、ヒューリスティック検出器が即時防御を置き換えるよりも補完することを示した。 再現性を確保するために、各実行は自動的にフルプロンプト、エージェントイベントトレース、セッションの書き起こし、検証レコードを自動的に記録する。 私たちのコードはhttps://github.com/Tencent/AI-Infra-Guard/tree/main/Research/pikit.comから入手可能です。

関連論文リスト

• Defusing Explosive Prompts: Understanding and Preventing Trigger-Based Prompt Injections in LLM Agents [5.739593008002878]
  本稿では,攻撃チョーゼントリガーが満たされるまで停止状態にある条件付きペイロードである爆薬プロンプトを紹介する。 ほぼ完全にインペラティブを拒否するフロンティアモデルでは、同じ目標を言い換えると、実際の状態変化ツールの実行が促される。 我々の検出器であるDeFuseは、5%の偽陽性予算で3.0%に達する。
  論文  参考訳（メタデータ） (2026-09-18T19:16:51Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• A Layered Security Framework Against Prompt Injection in RAG-Based Chatbots [1.948261185683419]
  推論パイプライン全体を通して直接および間接的なインジェクションをインターセプトする3層フレームワークを提案する。 GPT-4o、Llama 3、Mistral 7Bの5,080サンプルの評価は、このフレームワークが攻撃成功率(ASR)を71.4%から11.3%に下げていることを示している。
  論文  参考訳（メタデータ） (2026-06-17T23:59:57Z)
• AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
  間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。 我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
  論文  参考訳（メタデータ） (2026-06-13T02:09:08Z)
• LivePI: More Realistic Benchmarking of Agents Against Indirect Prompt Injection [18.354880541606004]
  LivePIは、プロダクション風だがテスト制御された環境でIPIリスクの構造化されたベンチマークである。 LivePIは7つの入力面、12の攻撃/レンダリングファミリー、5つの悪意のある目標をカバーしている。 グループチャットインジェクションは、デプロイメントにおいて評価されたバックボーン全体で均一に成功しています。
  論文  参考訳（メタデータ） (2026-05-18T07:41:35Z)
• Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace [0.0]
  自動生成されたURLプレビューに埋め込まれた敵対的命令は、サイレント・エクスプレスと呼ばれるシステムレベルのリスクをもたらす可能性があることを示す。 完全にローカルで再現可能なテストベッドを使用して、悪意のあるWebページがエージェントを誘導し、機密性の高いランタイムコンテキストを透過するアウトバウンドリクエストを発行できることを実証する。 qwen2.5:7bをベースとした480の実験では、攻撃は高い確率 (P (exress) =0.89) で成功し、95%の攻撃は出力ベースの安全チェックでは検出されない。
  論文  参考訳（メタデータ） (2026-02-25T22:26:23Z)
• ReasAlign: Reasoning Enhanced Safety Alignment against Prompt Injection Attack [52.17935054046577]
  本稿では、間接的インジェクション攻撃に対する安全性アライメントを改善するためのモデルレベルのソリューションであるReasAlignを提案する。 ReasAlignには、ユーザクエリの分析、競合する命令の検出、ユーザの意図したタスクの継続性を維持するための構造化された推論ステップが組み込まれている。
  論文  参考訳（メタデータ） (2026-01-15T08:23:38Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• Defending against Indirect Prompt Injection by Instruction Detection [109.30156975159561]
  InstructDetectorは、LLMの動作状態を利用して潜在的なIPI攻撃を特定する、新しい検出ベースのアプローチである。 InstructDetectorは、ドメイン内設定で99.60%、ドメイン外設定で96.90%の検出精度を達成し、攻撃成功率をBIPIAベンチマークで0.03%に下げる。
  論文  参考訳（メタデータ） (2025-05-08T13:04:45Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。