論文の概要: Hiding in Plain Sight: Decoupling Pretext from Actuation for Skill Poisoning in LLM Agents

• arxiv url: http://arxiv.org/abs/2609.39352v1
• Date: Wed, 30 Sep 2026 09:12:53 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-01 18:57:27.507797
• Title: Hiding in Plain Sight: Decoupling Pretext from Actuation for Skill Poisoning in LLM Agents
• Title（参考訳）: 平地におけるハディング: LLMエージェントのアクティベーションからプレテキストを分離する
• Abstract要約: LLMエージェントは、複雑で多段階のタスクに再利用可能なスキルにますます依存している。 既存のスキル中毒は、その文脈的前提でアクティベーションをコロケーションするか、複数のスキルでアクティベーションを分配するかのいずれかである。 本稿では,アクティベーションからプレテキストを分離する,協調型アタックパラダイムを提案する。
• 参考スコア（独自算出の注目度）: 27.998991258136755
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: LLM agents increasingly rely on reusable Skills for complex, multi-step tasks, creating a critical supply-chain attack surface where poisoned Skill content steers agent decision loops under benign requests. Existing skill poisoning attacks either colocate actuation with its contextual pretext or distribute actuation across multiple Skills, but do not explicitly separate the rationale for execution from the operation itself. In this work, we reveal that untrusted agent decisions fundamentally depend on two conceptually distinct Risk-Realization Factors (RRFs): an actuation factor (specifying what concrete operation is performed) and a pretext factor (providing the situational rationale for why the agent must perform it). Guided by this abstraction, we propose a coordination-based attack paradigm: decoupling pretext from actuation. Rather than fragmenting the malicious actuation, we preserve it as an intact operation within a downstream Steering Skill, while delegating the pretext factor to an upstream Grounding Skill that subtly alters persistent environment artifacts through routine utility operations. The intact actuation thus hides in plain sight, appearing completely legitimate and task-driven only when evaluated against the fabricated pretext. Building on this formulation, we develop an automated framework that discovers authentic execution dependencies, synthesizes coordinated pretext-actuation skill pairs, and iteratively refines poisoned skill instructions via runtime closed-loop feedback. Extensive evaluations across single-session and persistent cross-lifecycle scenarios demonstrate that decoupled skill poisoning achieves high attack success, exposing a critical blind spot in isolated Skill security audits. Our automated framework code is available at https://github.com/Wenxin-buaa/CoordPoison.git.
• Abstract（参考訳）: LLMエージェントは、複雑で多段階のタスクに再利用可能なスキルをますます頼りにしており、有害なSkillコンテンツが良心的な要求の下でエージェント決定ループを操縦する重要なサプライチェーン攻撃面を形成している。 既存のスキル中毒攻撃は、その文脈的前提でアクティベーションをコロケーションするか、複数のスキルでアクティベーションを分散させるかのいずれかであるが、操作自体から実行の合理性を明確に分離するものではない。 本研究では,信頼できないエージェントの判断が,アクティベーションファクタ(具体的な操作が実行されているかを指定する)とプリテキストファクタ(エージェントが実行しなければならない理由の状況的根拠を提供する)という,概念的に異なる2つのリスク-リライゼーションファクタ(RRF)に根本的に依存していることを明らかにする。 この抽象化によって導かれ,アクティベーションからプレテキストを分離するコーディネートベースのアタックパラダイムを提案する。 悪意のあるアクティベーションを断片化する代わりに、我々はそれを下流のステアリングスキル内で無傷な操作として保存すると同時に、通常のユーティリティ操作を通じて永続的な環境アーティファクトを微妙に変更する上流のグラウンドングスキルにプリテキストファクタを委譲する。 したがって、無傷のアクティベーションは平らな視界に隠れており、完全に正当でタスク駆動のように見えるのは、製造された前文に対して評価されるときのみである。 この定式化に基づいて、真に実行される依存関係を発見し、協調したプレテキストアクティベーションスキルペアを合成する自動フレームワークを開発し、実行時クローズドループフィードバックを通じて有毒なスキル命令を反復的に洗練する。 単一セッションおよび持続的なライフサイクル横断シナリオにわたる広範囲な評価は、分離されたスキルのセキュリティ監査において重要な盲点を露呈し、非結合のスキル中毒が高い攻撃成功をもたらすことを示す。 私たちの自動フレームワークコードはhttps://github.com/Wenxin-buaa/CoordPoison.git.comで利用可能です。

関連論文リスト

• Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems [79.08507314067253]
  スキルカスケード攻撃では、悪意のある目的が複数のスキルに分散され、それぞれの変更が独立して良さそうに見えるが、それらの組み合わせの実行は有害である。 本研究は, コンポーネントレベルの完全性とシステムレベルの安全性のギャップを浮き彫りにし, 個別のスキルではなく, クロススキルの相互作用を理由とする防御を呼び掛けた。
  論文  参考訳（メタデータ） (2026-09-24T18:00:18Z)
• Operational Hallucination and Safety Drift in AI Agents [0.3823356975862005]
  ツール使用自律エージェントのプランナーとして機能する大規模言語モデル(LLM)は、マルチターン実行における動的信頼性のリスクを導入する。 本稿では,複数のLLM(Safety Drift)とOperational Hallucination(Operational Hallucination)の2つの障害モードを実証的に特徴付ける。 本稿では、インテント-アクション整合性チェック、状態追跡、強制終了プリミティブを組み込んだ、軽量でプラグ&プレイのアーキテクチャ青写真であるAction-Aware Supervision Layerを提案する。
  論文  参考訳（メタデータ） (2026-07-20T17:01:50Z)
• SkillHarm: Lifecycle-Aware Skill-Based Attacks via Automated Construction [89.03272793385054]
  エージェントスキルはエージェントワークフローにおける特権的な位置を占め、サードパーティスキルを脆弱な攻撃面にする。 我々はスキルベースアタックのベンチマークであるSkillHarmを紹介した。 攻撃成功率はFPPが86.3%、SMPが69.3%である。
  論文  参考訳（メタデータ） (2026-06-01T17:45:39Z)
• Sleeper Cell: Injecting Latent Malice Temporal Backdoors into Tool-Using LLMs [0.0]
  オープンウェイト大規模言語モデル(LLM)はエージェントAIを民主化しているが、微調整されたウェイトは頻繁に共有され、リーダーボードのパフォーマンスを超えた限られた精査で採用されている。 これにより、サードパーティモデルが強力な行動保証なしで組み込まれるリスクが生じる。 有毒なモデルでは、良質なタスクに対して最先端のパフォーマンスを維持し、採用にインセンティブを与えていることを示す。
  論文  参考訳（メタデータ） (2026-03-02T22:01:08Z)
• ICON: Indirect Prompt Injection Defense for Agents based on Inference-Time Correction [24.416258744287166]
  ICONは、タスクの連続性を維持しながら攻撃を中和する、調査と軽減のためのフレームワークである。 ICONは競争力のある0.4%のASRを達成し、商業グレード検出器と一致し、50%以上のタスクユーティリティーゲインを得る。
  論文  参考訳（メタデータ） (2026-02-24T09:13:05Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)
• Gaming the Judge: Unfaithful Chain-of-Thought Can Undermine Agent Evaluation [76.5533899503582]
  大規模言語モデル(LLM)は、エージェントのパフォーマンスを評価するために、ますます裁判官として使われている。 このパラダイムは、エージェントのチェーン・オブ・シークレット(CoT)推論が内部の推論と環境状態の両方を忠実に反映していることを暗黙的に仮定している。 我々は、操作された推論だけで、様々なWebタスクにまたがる800の軌跡に対して、最先端のVLM審査員の偽陽性率を最大90%向上させることができることを実証した。
  論文  参考訳（メタデータ） (2026-01-21T06:07:43Z)
• Compromising Embodied Agents with Contextual Backdoor Attacks [69.71630408822767]
  大型言語モデル(LLM)は、エンボディドインテリジェンスの発展に変化をもたらした。 本稿では,このプロセスにおけるバックドアセキュリティの重大な脅威を明らかにする。 ほんの少しの文脈的デモンストレーションを毒殺しただけで、攻撃者はブラックボックスLDMの文脈的環境を隠蔽することができる。
  論文  参考訳（メタデータ） (2024-08-06T01:20:12Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。