論文の概要: Pretext: Defeating Malicious Skill Detection Frameworks for AI Agents

• arxiv url: http://arxiv.org/abs/2609.39607v2
• Date: Thu, 08 Oct 2026 08:23:49 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-10 02:36:53.325211
• Title: Pretext: Defeating Malicious Skill Detection Frameworks for AI Agents
• Title（参考訳）: 前提:AIエージェントの不正スキル検出フレームワークの定義
• Abstract要約: スキルは、コンテキストに命令と情報を注入することでエージェントの機能を拡張する。 以前の調査では、サードパーティのマーケットプレースは悪意のあるスキルをホストしており、攻撃者は被害者のエージェントに直接的な影響力を与える。 このような防御は、検知器を知っている攻撃者によって行われる。
• 参考スコア（独自算出の注目度）: 0.9453554184019107
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Skills extend an agent's capabilities by injecting instructions and information into the context, and are widely used by agents such as OpenClaw and Claude Code. Prior work shows third-party marketplaces host malicious skills that give attackers direct influence over the victim's agent. The emerging defense scans skills before installation, pairing deterministic static checks with an LLM-based semantic judge, as in NVIDIA's SkillSpector. We show that such defenses fall to an attacker who knows the detector. Our white-box LLM attacker, Pretext, iteratively crafts skills that evade detection while still delivering the payload and performing the benign task: moving the payload from code into natural language leaves static analysis inert, while framing it as the skill's legitimate purpose and splitting instructions across files keeps the LLM stage below its blocking threshold. Across three open-source models, Pretext achieves up to 97\% and 77\% against a frozen detector and a co-adaptive one, respectively, revealing major gaps in current skill scanners.
• Abstract（参考訳）: スキルは、コンテキストに命令や情報を注入することでエージェントの能力を拡張し、OpenClawやClaude Codeといったエージェントが広く使用している。 以前の調査では、サードパーティのマーケットプレースは悪意のあるスキルをホストしており、攻撃者は被害者のエージェントに直接的な影響力を与える。 新たなディフェンスはインストール前にスキルをスキャンし、NVIDIAのSkillSpectorのように、LCMベースのセマンティックジャッジと決定論的静的チェックをペアリングする。 このような防御は、検知器を知っている攻撃者によって行われる。 私たちのホワイトボックスのLLMアタッカーであるPretextは、ペイロードを配達し、良心的なタスクを実行しながら検出を回避するスキルを反復的に作ります。 ペイロードをコードから自然言語に移動させながら、静的解析の慣性を残します。 Pretextは3つのオープンソースモデルにまたがって、凍結検知器に対して最大97\%と77\%を達成する。

関連論文リスト

• Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems [79.08507314067253]
  スキルカスケード攻撃では、悪意のある目的が複数のスキルに分散され、それぞれの変更が独立して良さそうに見えるが、それらの組み合わせの実行は有害である。 本研究は, コンポーネントレベルの完全性とシステムレベルの安全性のギャップを浮き彫りにし, 個別のスキルではなく, クロススキルの相互作用を理由とする防御を呼び掛けた。
  論文  参考訳（メタデータ） (2026-09-24T18:00:18Z)
• Cloak and Detonate: Scanner Evasion and Dynamic Detection of Agent Skill Malware [15.064889350201511]
  悪意のあるスキルは、認証情報を盗んだり、ソースコードを流出させたり、バックドアをインストールしたりできる。 既存の防御はパターンマッチングやLSM-as-judge分析を用いる。 サンドボックスでスキルを実行する行動中心の監査ツールであるSkillDetonateを提案する。
  論文  参考訳（メタデータ） (2026-07-02T16:00:52Z)
• Detecting Malicious Agent Skills in the Wild using Attention [0.0]
  LLMエージェントは、ユーザの特権で実行されるサードパーティによって書かれた命令のファイルベースのパッケージである、スキルを徐々にロードする。 悪意のあるスキルは、データを流出させたり、エージェントをハイジャックしたり、サプライチェーンの足場として永続化することができる。 この体制のために設計された2段式検出器であるLocate-and-Judgeを紹介する。
  論文  参考訳（メタデータ） (2026-06-22T14:41:06Z)
• Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry [49.83108591873481]
  SKILL.md - エージェントスキルライフサイクルの3つのステージを対象とするアタックのみを調査する。 SKILL.mdは受動的ドキュメントではなく、サードパーティのエージェントが発見し、信頼し、使用する機能を形成する運用テキストであることを示す。
  論文  参考訳（メタデータ） (2026-05-12T02:11:54Z)
• Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks [27.120130204872325]
  SkillInjectは、広く使われているLLMエージェントの、スキルファイルによるインジェクションに対する感受性を評価するベンチマークである。 SkillInjectには、明らかに悪意のあるインジェクションから、その他の正当な命令に隠された微妙なコンテキスト依存的なアタックまで、202のインジェクションタスクペアが含まれている。 以上の結果から,今日のエージェントは,フロンティアモデルによる攻撃成功率の最大80%に対して,非常に脆弱であることが示唆された。
  論文  参考訳（メタデータ） (2026-02-23T18:59:27Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)
• Malicious Agent Skills in the Wild: A Large-Scale Security Empirical Study [47.60135753021306]
  サードパーティのエージェントスキルは、LLMベースのエージェントを拡張して、命令ファイルとユーザのマシン上で動作する実行可能なコードを生成する。 結果として生じる脅威を特徴づけるために、地中真実のデータセットは存在しない。 我々は,98,380のスキルを行動検証することで,悪質なエージェントスキルのラベル付きデータセットを構築した。
  論文  参考訳（メタデータ） (2026-02-06T09:52:27Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks [58.959622170433725]
  BlindGuardは、攻撃固有のラベルや悪意のある振る舞いに関する事前の知識を必要とせずに学習する、教師なしの防御方法である。 BlindGuardはマルチエージェントシステムにまたがる多様な攻撃タイプ(即時注入、メモリ中毒、ツール攻撃)を効果的に検出する。
  論文  参考訳（メタデータ） (2025-08-11T16:04:47Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。