論文の概要: ZoneClaw: Mitigating Persistent Memory Attacks by Establishing Memory-Zoning in OpenClaw-Style Computer-Use Agents

• arxiv url: http://arxiv.org/abs/2610.00450v1
• Date: Wed, 30 Sep 2026 17:59:02 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-03 01:19:23.672172
• Title: ZoneClaw: Mitigating Persistent Memory Attacks by Establishing Memory-Zoning in OpenClaw-Style Computer-Use Agents
• Title（参考訳）: ZoneClaw: OpenClaw-Styleコンピュータ利用エージェントにおけるメモリゾニングの確立による永続メモリ攻撃の軽減
• Abstract要約: コンピュータ利用エージェントは、永続的なワークスペースメモリを介して長時間動作するアシスタントとして動作する。 OpenClawスタイルのCUAは、ユーザー命令、システムサマリー、および外部クレームを同じ特権レベルで保持するファイルを自動的に再ロードする。 本研究では、フラットなワークスペースメモリを明示的な権限レベルを持つ階層的信頼ゾーンに置き換えることで、永続性を権威から切り離すゾーンClawを提案する。
• 参考スコア（独自算出の注目度）: 10.708075682732913
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Computer-use agents increasingly operate as long-running assistants through persistent workspace memory, which OpenClaw-style CUAs realize as automatically reloaded files that hold user instructions, system summaries, and external claims at the same privilege level. Here, remembering a claim confers authority over later behavior. This enables a persistent memory attack, in which an attacker who controls only benign-looking external content induces the CUA to record attacker-favored claims during a legitimate task, and those claims later govern benign tasks the attacker never touches. The attack chain extends "malicious context -> malicious response" into "malicious context -> memory injection -> malicious execution", making this a cross-environment threat. Existing defenses studied intervene either before content enters memory or at the action it later induces, not whether stored content may guide action. We propose ZoneClaw, which separates persistence from authority by replacing flat workspace memory with hierarchical trust zones carrying explicit authority levels. External claims persist in a low-trust zone and acquire action-guiding authority only by crossing an explicit authority boundary, at which promotion is cross-checked against zones the attacker cannot directly write. Role-specific processes of asymmetric privilege enforce this boundary, ensuring that no process both ingests external content and acts outward. Across four attack scenarios, two injection settings, and four backbones, ZoneClaw drives ASR from 372/480 to 6/480 while retaining utility in 458/480 trials, and remains effective against some defense-aware attackers. Attacker claims still persist in low-trust memory yet rarely cross the authority boundary, showing that ZoneClaw withholds authority rather than refusing to learn from the environment. Our code is available at: https://github.com/euph00/ZoneClaw-code.
• Abstract（参考訳）: OpenClawスタイルのCUAは、ユーザー命令、システムサマリー、および外部クレームを同じ特権レベルで保持するファイルを自動的に再ロードしていると認識している。 ここでは、クレームを記憶することは、後の行動に対して権限を委譲する。 これにより永続的なメモリ攻撃が可能となり、ベニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグナグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグニグナグナグニグナグニグニグニグナグニグニグニ 攻撃チェーンは、"悪意のあるコンテキスト -> 悪意のある応答"を"悪意のあるコンテキスト -> メモリインジェクション -> 悪意のある実行"に拡張することで、環境横断的な脅威になる。 既存の防御は、コンテンツがメモリに入る前に介入するか、後にそれが引き起こすアクションで介入する。 本研究では、フラットなワークスペースメモリを明示的な権限レベルを持つ階層的信頼ゾーンに置き換えることで、永続性を権威から切り離すゾーンClawを提案する。 外部のクレームは低信頼のゾーンに留まり、攻撃者が直接書けないゾーンに対してプロモーションがクロスチェックされる明示的な権限境界を越えてのみ行動指導権限を取得する。 非対称特権のロール固有のプロセスは、この境界を強制し、プロセスが外部のコンテントを取り込み、外向きに振る舞うことを確実にする。 攻撃シナリオ4つ、インジェクション設定2つ、バックボーン4つのうち、 ZoneClaw は ASR を 372/480 から 6/480 まで駆動するが、458/480 の試験では実用性を維持し、一部の防衛対応攻撃者に対して有効である。 攻撃者は依然として低信頼のメモリに留まるが、権限の境界を越えることは滅多になく、ゾーンClawは環境から学ぶことを拒むのではなく権威を放棄していることを示している。 私たちのコードは、https://github.com/euph00/ZoneClaw-code.comで利用可能です。

関連論文リスト

• A Self-Evolving Multi-Agent Framework Defense against LLM Jailbreak Attacks [53.12252890906191]
  大規模言語モデル(LLM)は、ジェイルブレイク攻撃に弱いままである。 本稿では,永続的相互作用ルールメモリを中心に構築された自己進化型テストタイムディフェンスを提案する。
  論文  参考訳（メタデータ） (2026-08-26T16:52:06Z)
• When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents [55.87577638514179]
  我々は、リモートのブラックボックスが1つのメールペイロードを送信し、エージェントに有毒なメモリを誘導しなければならない、ステルスメモリインジェクションとして脅威を調査する。 我々は,ワンショットペイロード生成フレームワークであるMemGhostを提案する。 56のテストケースで、MemGhostはGPT-5.4でOpenClawで87.5%、Sonnet 4.6でClaude Code SDKで71.4%を達成している。
  論文  参考訳（メタデータ） (2026-07-06T15:08:58Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• SecureClaw: Clawing Back Control of LLM Agents [5.952015302242554]
  ツールを使用する大規模言語モデル(LLM)エージェントは2つの異なるセキュリティ障害に直面している。 本稿では、エフェクトシンクに認証を配置し、リードバウンダリにプレーンテキストを閉じ込めるデュアルバウンダリアーキテクチャであるSecureClawを提案する。 AgentDojo、AgentLeak、Agent Security Bench (ASB)、SecureClawは、私たちが共通のハーネスで評価する唯一の防御です。
  論文  参考訳（メタデータ） (2026-06-08T14:29:01Z)
• From Prompt Injection to Persistent Control: Defending Agentic Harness Against Trojan Backdoors [89.92617739143846]
  ローカルエージェントハーネスにおけるマルチステップトロイの木馬攻撃を識別するベンチマークであるClawTrojanを紹介する。 そこで我々は,DASGuardを提案する。DASGuardは,コントロールライクなテキストをセンシティブなローカルファイルでスキャンし,その起源を辿り,信頼されたソースから派生しないコントロールコンテンツを除去する。 この結果から, DASGuardは, 実行時の攻撃ブロックと作業空間への衛生的コミットを組み合わせることで, 強力な動的防御を実現することがわかった。
  論文  参考訳（メタデータ） (2026-05-29T09:19:07Z)
• Trojan Hippo: Weaponizing Agent Memory for Data Exfiltration [33.8989871605613]
  トロイジャン・ヒッポ(Trojan Hippo)は、より現実的な脅威モデルで機能する永続メモリ攻撃のクラスである。 基本的なセキュリティ原則から着想を得た4つのメモリシステム防御を評価し,攻撃成功率を大幅に低下させることを確認した。 この相当なセキュリティとユーティリティのトレードオフのため、防衛の効果的な実世界の展開は、依然としてオープンな課題である。
  論文  参考訳（メタデータ） (2026-05-03T17:07:20Z)
• Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
  セルフ進化エージェントはセッション間で内部状態を更新する。 我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。 我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
  論文  参考訳（メタデータ） (2026-02-17T15:28:24Z)
• AgentSys: Secure and Dynamic LLM Agents Through Explicit Hierarchical Memory Management [47.49917373646469]
  既存の防御は肥大した記憶を与えられたまま扱い、回復力を維持することに集中する。 我々は、明示的なメモリ管理を通じて間接的なインジェクションを防御するフレームワークであるAgentSysを紹介する。
  論文  参考訳（メタデータ） (2026-02-07T06:28:51Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。