論文の概要: ActionGuard: Tool Call Authorization under Poisoned Skills
- arxiv url: http://arxiv.org/abs/2609.39450v1
- Date: Wed, 30 Sep 2026 10:23:57 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-01 18:57:27.580394
- Title: ActionGuard: Tool Call Authorization under Poisoned Skills
- Title（参考訳）: ActionGuard: 解雇されたスキルの下でのツールコールの認証
- Abstract要約: 悪意のあるスキルに挿入された悪意のある命令は、危険なツールコールをトリガーする良心的なユーザリクエストを引き起こす可能性がある。
本稿では,実行直前にスキル影響ツールコールを検査するActionGuardを提案する。
- 参考スコア（独自算出の注目度）: 3.079885946230075
- License: http://creativecommons.org/licenses/by-nc-sa/4.0/
- Abstract: LLM-based agents extend their capabilities through third-party skills that provide task-specific instructions, scripts, and tool-use procedures. However, malicious instructions inserted into an otherwise benign skill can cause a benign user request to trigger dangerous Tool Calls, including data exfiltration, file deletion, or unauthorized code execution. This paper presents ActionGuard, which inspects skill-influenced Tool Calls immediately before execution. ActionGuard separates the target agent's action-generation context from the safeguard's authorization context. The target agent may use the original skill for planning, but the Reviewer does not receive the potentially poisoned raw skill text. Instead, it determines whether each action is justified by the trusted user request using a balanced skill profile, current and recent Tool Calls, and local script contents. ActionGuard intercepts each Tool Call at OpenClaw's before-tool-call stage and enforces the Reviewer's ALLOW or DENY decision under a fail-closed policy. We evaluate ActionGuard on 139 contextual and 180 obvious injections in a SKILL-INJECT-based setting against Dynamic Guardian and SkillGuard, using three open-source and two commercial Reviewer models. Each condition is repeated three times and evaluated using Attack Success Rate (ASR) and Task Success Rate (TSR). Overall, ActionGuard reduced ASR by 35.54 to 46.11 percent relative to existing safeguards and by 70.44 percent relative to No Safeguard, while maintaining high benign-task completion. These results show that execution-boundary authorization grounded in trusted user intent and runtime evidence can restrict unauthorized Tool Calls induced by skill injection.
- Abstract（参考訳）: LLMベースのエージェントは、タスク固有の命令、スクリプト、ツール使用手順を提供するサードパーティのスキルを通じて、その能力を拡張します。
しかしながら、悪意のあるスキルに挿入された悪意のある命令は、良心的なユーザリクエストによって、データ消去、ファイル削除、不正コード実行を含む危険なツールコールをトリガーする可能性がある。
本稿では,実行直前にスキル影響ツールコールを検査するActionGuardを提案する。
ActionGuardは、ターゲットエージェントのアクション生成コンテキストとセーフガードの承認コンテキストを分離する。
ターゲットエージェントは、元のスキルを計画に使用することができるが、レビュアーは、潜在的に有毒な生のスキルテキストを受け取らない。
代わりに、バランスの取れたスキルプロファイル、現在のツールコールと最近のツールコール、ローカルスクリプトの内容を使用して、各アクションが信頼されたユーザリクエストによって正当化されるかどうかを判断する。
ActionGuardはOpenClawのbefore-tool-callステージで各ツールコールをインターセプトし、フェールクローズされたポリシーの下でReviewerのALLOWまたはDENY決定を実行する。
我々は,3つのオープンソースモデルと2つの商用レビュアーモデルを用いて,Dynamic GuardianとSkillGuardに対して,SKILL-INJECTをベースとしたSKILL-INJECTによる139のコンテキストおよび180の明らかなインジェクションについてActionGuardを評価した。
各条件を3回繰り返し、アタック成功率(ASR)とタスク成功率(TSR)を用いて評価する。
全体として、ASRは既存の安全ガードと比較して35.54から46.11パーセント、No Safeguardと比較して70.44パーセント削減し、良質なタスクの完了を維持した。
これらの結果から,信頼されたユーザ意図と実行時のエビデンスに基づく実行バウンダリ認証が,スキルインジェクションによって誘導される不正なツールコールを制限できることが示唆された。
関連論文リスト
- AgentGuard: Learning Execution Guardrails from Anomalous Coding-Agent Trajectories [7.433745310331784]
本稿では,コーディングエージェントの異常な軌跡から条件付き実行制約を学習する,命令レベルのガードレールフレームワークであるAgentGuardを提案する。
AgentGuardは、繰り返し実行される障害パターンを自動的に抽出し、それらを命令レベルの動作制約に一般化し、軽量なガードレールスキルとして整理する。
AgentGuardは、異常実行率を69.0%から26.7%に下げ、正常タスク完了率を21.7%から35.0%に引き上げている。
論文 参考訳（メタデータ） (2026-09-14T19:42:03Z) - ActGuard: Pre-execution Action Auditing against Indirect Prompt Injection in LLM Agents [11.495797074855703]
本稿では,事前実行動作監査フレームワークであるActGuardを提案する。
外部コンテンツが本質的に疑わしいかどうかを判断する代わりに、ActGuardは現在のアクションが合理的な期待から逸脱するかどうかを評価する。
検証者はその後、局所化された証拠を調べ、マスクは悪意のあるものとのみ確認され、衛生化された文脈からアクションを再生する。
論文 参考訳（メタデータ） (2026-09-14T03:47:05Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - ClawSentry: A Progressive Multi-Tier Security Monitor for Safeguarding Autonomous LLM Agents [24.540638169054812]
悪意のあるサードパーティのスキルにハイジャックされた単一のエージェントは、データの流出、特権のエスカレーション、カスケード妥協を引き起こす可能性がある。
我々は、エージェントランタイムのためのオープンソースのフレームワークに依存しないセキュリティ監視ゲートウェイであるClawSentryを紹介する。
論文 参考訳（メタデータ） (2026-08-21T13:47:51Z) - Think Twice Before You Act: Protecting LLM Agents Against Tool Description Poisoning via Isolated Planning [48.99783163807576]
クロスツール記述中毒は、エージェントの軌道を操縦するためにプランナー可視のツールメタデータを操作することができる。
重要な観察は、有毒な記述がステップを越えた計画コンテキストに留まり、その後のツール選択に対する継続的な影響を可能にすることである。
我々は,孤立計画と呼ばれる新しい概念に基づく新しいシステムレベルの防衛ツールであるTool-Guardを提案する。
論文 参考訳（メタデータ） (2026-06-18T20:31:08Z) - SkillGuard: A Permission Framework for Agent Skills [14.787581333168859]
我々はスキル中心のパーミッションフレームワークであるSkillGuardを紹介した。
SkillGuardを実世界の315のスキルとSkillInjectで評価した。
論文 参考訳（メタデータ） (2026-06-02T02:01:53Z) - ClawGuard: A Runtime Security Framework for Tool-Augmented LLM Agents Against Indirect Prompt Injection [8.627671856044527]
textscClawGuardは、すべてのツール呼び出し境界に設定されたユーザ確認ルールを強制する。
textscClawGuardは、モデル修正やインフラストラクチャの変更なしに、3つのインジェクションパスをすべてブロックする。
この研究は、安全なエージェントAIシステムのための効果的な防御メカニズムとして、決定論的ツールコール境界強制を確立する。
論文 参考訳（メタデータ） (2026-04-13T17:55:11Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。
本稿では,選択防衛フレームワークCausalArmorを提案する。
AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
論文 参考訳（メタデータ） (2026-02-08T11:34:08Z) - GuardAgent: Safeguard LLM Agents by a Guard Agent via Knowledge-Enabled Reasoning [79.07152553060601]
安全ガード要求を満たすか否かを動的に確認し,目標エージェントを保護する最初のガードレールエージェントであるガードアジェントを提案する。
特にGuardAgentは、まず安全ガードの要求を分析してタスクプランを生成し、それからその計画をガードレールコードにマップして実行します。
GuardAgentは、それぞれ98%と83%のガードレール精度を持つ2つのベンチマークにおいて、異なる種類のエージェントに対する違反行為を効果的に抑制することを示した。
論文 参考訳（メタデータ） (2024-06-13T14:49:26Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。