論文の概要: Can Agents Trust Their Skills? Uncovering Unsafe Chains of Trust in Skill-Based LLM Agents

• arxiv url: http://arxiv.org/abs/2609.39065v1
• Date: Wed, 30 Sep 2026 06:04:44 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-01 18:57:27.266796
• Title: Can Agents Trust Their Skills? Uncovering Unsafe Chains of Trust in Skill-Based LLM Agents
• Title（参考訳）: エージェントは自分のスキルを信頼できるのか?
• Abstract要約: TrustProbeは、スキルベースのLLMエージェントに対する安全でない信頼の連鎖を明らかにするためのフレームワークである。 エージェントソースコードを分析して、スキル制御された入力からセキュリティに敏感な操作まで、ソースからシンクまでのコールパスを識別する。 11のオープンソースエージェントにまたがる104のtaintスタイルの脆弱性を特定する。
• 参考スコア（独自算出の注目度）: 33.534136523746106
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: LLM agents increasingly rely on installable skills, which are packages of instructions, code, and resources that equip them with task-specific capabilities and, once installed, can be automatically invoked across subsequent user tasks. This creates a chain of trust in which users delegate authority to agents, while agent frameworks admit skill-provided content into the agents' context with insufficient validation, allowing malicious skills to influence agent behavior under that delegated authority. Yet, little is known about whether this trust model adequately constrains untrusted skill content before it reaches security-sensitive operations, or how frequently such trust violations arise in real-world agents. We present TrustProbe, a framework for uncovering unsafe chains of trust in skill-based LLM agents. First, TrustProbe analyzes agent source code to identify source-to-sink call paths from skill-controlled inputs to security-sensitive operations. Second, it generates semantically realistic SKILL.md seeds with injected canaries and evolves them through feedback-guided scheduling and mutation. Finally, it validates vulnerabilities using an oracle that confirms attacker-controlled flows and verifies observable harm. Across 11 open-source agents, eight with more than 10,000 GitHub stars, TrustProbe identifies 104 taint-style vulnerabilities. Validation on a large corpus of real-world skills collected from public hubs such as ClawHub further shows that 25.1% of skill-agent trials exercise the identified vulnerable paths, with payload injection successfully weaponizing 15 of the vulnerabilities. These results reveal a systematic trust failure in skill-based LLM agents: untrusted skill content can reach security-sensitive operations and exercise authority delegated by users to their agents.
• Abstract（参考訳）: LLMエージェントは、タスク固有の機能を備えたインストラクション、コード、リソースのパッケージであるインストール可能なスキルにますます依存しており、一度インストールすると、その後のユーザタスク間で自動的に呼び出される。 これは、ユーザーがエージェントに権限を委譲する信頼の連鎖を生み出し、一方でエージェントフレームワークは、エージェントのコンテキストにスキル提供されたコンテンツが不十分な検証で受け入れられ、悪意あるスキルがその委譲された権限の下でエージェントの行動に影響を与えることができる。 しかし、この信頼モデルは、セキュリティに敏感な操作に到達する前に、信頼できないスキルコンテンツを適切に制限するかどうか、あるいはそのような信頼の侵害が現実世界のエージェントにどれだけ頻繁に起こるかについては、ほとんど分かっていない。 我々は、スキルベースのLLMエージェントに対する安全でない信頼の連鎖を明らかにするためのフレームワークであるTrustProbeを紹介する。 まず、TrustProbeはエージェントソースコードを分析して、スキル制御された入力からセキュリティに敏感な操作まで、ソースからシンクまでの呼び出しパスを特定する。 第二に、意味的に現実的なSKILL.md種子を注入されたカナリアで生成し、フィードバック誘導型スケジューリングと突然変異によって進化させる。 最後に、攻撃者が制御するフローを確認し、観測可能な害を検証する託宣を使って脆弱性を検証する。 11のオープンソースエージェントと1万以上のGitHubスターを持つ8つにまたがって、TrustProbeは104のtaintスタイルの脆弱性を特定している。 ClawHubのような公共のハブから収集された現実世界のスキルの大規模なコーパスに対する検証は、25.1%のスキルエージェントが特定された脆弱性パスを行使し、ペイロードインジェクションが15の脆弱性の武器化に成功していることを示している。 信頼できないスキルコンテンツは、セキュリティに敏感な操作に到達し、ユーザからエージェントに委譲された権限を行使することができる。

関連論文リスト

• Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems [79.08507314067253]
  スキルカスケード攻撃では、悪意のある目的が複数のスキルに分散され、それぞれの変更が独立して良さそうに見えるが、それらの組み合わせの実行は有害である。 本研究は, コンポーネントレベルの完全性とシステムレベルの安全性のギャップを浮き彫りにし, 個別のスキルではなく, クロススキルの相互作用を理由とする防御を呼び掛けた。
  論文  参考訳（メタデータ） (2026-09-24T18:00:18Z)
• SkillSecurer: Detecting and Patching Prompt-Injection Vulnerabilities in AI Agent Skills [0.6263481844384228]
  SkillSecurerは、エージェントスキルのセキュリティリスクの生成、検出、ローカライズ、更新を行うフレームワークである。 レッドエージェントは、正確な修正を記録しながら、9つの脅威タイプにわたるコンテキスト互換のインジェクションを生成する。 ブルーエージェントは完全なスキルパッケージを分析し、根拠付きエビデンスを生成し、パッチを提案する。
  論文  参考訳（メタデータ） (2026-09-12T17:52:06Z)
• AgentLens: Interpretable Safety Steering via Mechanistic Subspaces for Multi-Turn Coding Agent [53.82005364479556]
  大規模言語モデル(LLM)に基づく符号化エージェントは、驚くべき自律性を示す。 既存の安全機構は主に外部ガードレールに依存している。 我々は,ランタイムの安全性検出と表現レベルの緩和を行う,ホワイトボックスの防御フレームワークであるAgentLensを提案する。
  論文  参考訳（メタデータ） (2026-06-21T21:13:55Z)
• SkillGuard: A Permission Framework for Agent Skills [14.787581333168859]
  我々はスキル中心のパーミッションフレームワークであるSkillGuardを紹介した。 SkillGuardを実世界の315のスキルとSkillInjectで評価した。
  論文  参考訳（メタデータ） (2026-06-02T02:01:53Z)
• SkillAttack: Automated Red Teaming of Agent Skills through Attack Path Refinement [66.44008181092832]
  LLMベースのエージェントシステムは、その能力を拡張するためにオープンレジストリからのエージェントスキルにますます依存している。 SkillAttackは、敵のプロンプトを通じて、スキル脆弱性の脆弱性を検証できるフレームワークである。
  論文  参考訳（メタデータ） (2026-04-05T06:25:11Z)
• Malicious Agent Skills in the Wild: A Large-Scale Security Empirical Study [47.60135753021306]
  サードパーティのエージェントスキルは、LLMベースのエージェントを拡張して、命令ファイルとユーザのマシン上で動作する実行可能なコードを生成する。 結果として生じる脅威を特徴づけるために、地中真実のデータセットは存在しない。 我々は,98,380のスキルを行動検証することで,悪質なエージェントスキルのラベル付きデータセットを構築した。
  論文  参考訳（メタデータ） (2026-02-06T09:52:27Z)
• Towards Verifiably Safe Tool Use for LLM Agents [53.55621104327779]
  大規模言語モデル(LLM)ベースのAIエージェントは、データソース、API、検索エンジン、コードサンドボックス、さらにはその他のエージェントなどのツールへのアクセスを可能にすることで、機能を拡張する。 LLMは意図しないツールインタラクションを起動し、機密データを漏洩したり、クリティカルレコードを上書きしたりするリスクを発生させる。 モデルベースセーフガードのようなリスクを軽減するための現在のアプローチは、エージェントの信頼性を高めるが、システムの安全性を保証することはできない。
  論文  参考訳（メタデータ） (2026-01-12T21:31:38Z)
• SecureAgentBench: Benchmarking Secure Code Generation under Realistic Vulnerability Scenarios [17.276786247873613]
  SecureAgentBenchは、セキュアなコード生成において、コードエージェントの機能を厳格に評価するために設計された105のコーディングタスクのベンチマークである。 その結果、(i)現在のエージェントがセキュアなコードを生成するのに苦労していることが示され、最高のパフォーマンスのエージェントであるDeepSeek-V3.1がサポートしているSWE-agentも15.2%の正安のソリューションしか達成していない。
  論文  参考訳（メタデータ） (2025-09-26T09:18:57Z)
• The Dark Side of LLMs: Agent-based Attacks for Complete Computer Takeover [0.0]
  大規模言語モデル(LLM)エージェントとマルチエージェントシステムは、従来のコンテンツ生成からシステムレベルの妥協まで及ぶセキュリティ脆弱性を導入している。 本稿では,自律エージェント内の推論エンジンとして使用されるLLMのセキュリティを総合的に評価する。 異なる攻撃面と信頼境界がどのように活用され、そのような乗っ取りを組織化できるかを示す。
  論文  参考訳（メタデータ） (2025-07-09T13:54:58Z)
• SafeAgentBench: A Benchmark for Safe Task Planning of Embodied LLM Agents [58.65256663334316]
  我々は,対話型シミュレーション環境におけるLLMエージェントの安全性を考慮したタスク計画のための最初のベンチマークであるSafeAgentBenchを紹介する。 SafeAgentBenchは、(1)10の潜在的な危険と3つのタスクタイプをカバーするために厳格にキュレートされた750のタスクの実行可能な多種多様な高品質データセット、(2)低レベルコントローラを備えた普遍的な実施環境、9つの最先端ベースラインに対して17のハイレベルアクションでマルチエージェント実行をサポートするSafeAgentEnv、(3)実行とセマンティックの両方の観点から信頼性の高い評価方法を含む。
  論文  参考訳（メタデータ） (2024-12-17T18:55:58Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。