論文の概要: APEX: Active Protection at Execution Boundaries for LLM Agents

• arxiv url: http://arxiv.org/abs/2610.06966v1
• Date: Sat, 03 Oct 2026 17:53:29 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-08 02:58:29.482453
• Title: APEX: Active Protection at Execution Boundaries for LLM Agents
• Title（参考訳）: APEX: LLMエージェントの実行境界におけるアクティブプロテクション
• Abstract要約: 間接的プロンプトインジェクション(IPI)は、大きな言語モデル(LLM)エージェントが実行時に読み取る内容の逆命令を隠蔽する。 我々は,この境界において,単一の認証契約から双方を強制するアクティブディフェンスであるAPEXを提示する。
• 参考スコア（独自算出の注目度）: 28.248669917755166
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Indirect prompt injection (IPI) hides adversarial instructions in content that large language model (LLM) agents read at runtime. As agents compose heterogeneous capability units, including Tools, MCP servers, and Skills, the carriers of injection multiply, and defenses built to recognize attack patterns fall behind them. We instead shift defense from covering attack patterns to one stable point: whatever the carrier and however the injection propagates, harm materializes only at the \emph{execution boundary}, where the agent turns internal state into an external action or released output. Safety there turns on two conditions, both settled by the trusted task rather than by the run: whether the proposed effect is authorized, and whether the runtime information reaching it is endorsed by that task. We present APEX, an active defense that enforces both at this boundary from a single authorization contract compiled before untrusted execution: \emph{evidence-gated prevention} admits an effect only when the contract justifies it, while \emph{deception-based exposure} makes unendorsed use reveal itself before the effect commits. Protection therefore follows from what the task permits rather than from how an attack is built, and applies uniformly across capability units without attack-specific policies or taint tracking. Against 13 baselines, APEX attains 0\% attack success on five of six benchmarks and 0.56\% on the sixth, holds 0\% under adaptive attacks on all three capability-unit types, and remains effective across defender backbones. Code is available at https://github.com/ZhengXR930/APEX_official/tree/official.
• Abstract（参考訳）: 間接的プロンプトインジェクション(IPI)は、大きな言語モデル(LLM)エージェントが実行時に読み取る内容の逆命令を隠蔽する。 エージェントがTools、MPPサーバ、Skillsを含む異種機能ユニットを構成するとき、インジェクション乗算のキャリアは、攻撃パターンを認識するために構築されたディフェンスである。 代わりに、攻撃パターンのカバーから1つの安定なポイントへ、防御をシフトします。キャリアとインジェクションが伝播しても、エージェントが内部状態を外部のアクションに変換するか、出力を解放する 'emph{execution boundary} でのみ、害が物質化されます。 ここでの安全性は2つの条件に変わり、どちらも実行ではなく信頼されたタスクによって解決される。 我々は、信頼できない実行前にコンパイルされた単一の認証契約からこの境界の両方を強制するアクティブディフェンスであるAPEXを提示する: \emph{evidence-gated Prevention} は、契約がそれを正当化するときにのみ効果を認め、 \emph{deception-based exposure} は、その効果がコミットされる前に、未承認の使用を明らかにする。 したがって、防御は、攻撃がどのように構築されたかというよりも、タスクが許すものに従っており、攻撃固有のポリシーやテイントトラッキングを使わずに、機能ユニット全体に均一に適用される。 13のベースラインに対して、APEXは6つのベンチマークのうち5つのベンチマークで0\%、第6のベンチマークでは0.56\%で攻撃成功し、3つの機能ユニットタイプすべてに対してアダプティブアタックで0\%を保持し、ディフェンダーバックボーン全体で有効である。 コードはhttps://github.com/ZhengXR930/APEX_official/tree/officialで入手できる。

関連論文リスト

• Beyond Attack-Success Rate: Action-Graded Severity Scale for Tool-Using AI Agents [0.0]
  エージェントのレッドチームベンチマークは、インジェクトされたエージェントが単一ビットとして侵入されたかどうかを報告している。 このバイナリ・アタック・サクセス・レートは、ディフェンダーが最も必要とする情報、すなわち、結果として生じるアクションがどれほど有害であるかを破棄する。 本研究では,7段階の順序尺度(L0〜L6)でエージェントのツールコール軌跡をスコアし,実行された動作が可逆性であったか,他者への到達範囲を超えたか,特権を拡大したかに応じて,アクショングレード調和ルーリックを導入する。
  論文  参考訳（メタデータ） (2026-07-08T14:38:01Z)
• AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
  間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。 我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
  論文  参考訳（メタデータ） (2026-06-13T02:09:08Z)
• Who Pays the Price? Stakeholder-Centric Prompt Injection Benchmarking for Real-world Web Agents [93.19140872946842]
  大規模言語モデル(LLM)によって駆動されるWebエージェントは、現実の環境にますますデプロイされる。 これにより、一見良質なコンテンツがエージェントの振る舞いを操作する敵の命令を埋め込む、プロンプト・インジェクション・アタックに対して脆弱になる。 実世界のWebエージェントシステムにおいて,損害を体系的に分類し,属性付けするベンチマークである textbfsysname を導入する。
  論文  参考訳（メタデータ） (2026-06-11T14:12:43Z)
• SecureClaw: Clawing Back Control of LLM Agents [5.952015302242554]
  ツールを使用する大規模言語モデル(LLM)エージェントは2つの異なるセキュリティ障害に直面している。 本稿では、エフェクトシンクに認証を配置し、リードバウンダリにプレーンテキストを閉じ込めるデュアルバウンダリアーキテクチャであるSecureClawを提案する。 AgentDojo、AgentLeak、Agent Security Bench (ASB)、SecureClawは、私たちが共通のハーネスで評価する唯一の防御です。
  論文  参考訳（メタデータ） (2026-06-08T14:29:01Z)
• Plant, Persist, Trigger: Sleeper Attack on Large Language Model Agents [64.80318459073526]
  敵のコンテンツは、同一のエージェントによって提供される相互作用にまたがって持続できることを示し、そのような脅威を検知し緩和することを困難にしている。 具体的には、敵対的コンテンツはエージェント状態に留まり、相互作用をまたいだ休眠状態に留まり、その後、良心的なユーザクエリによって活性化される。 我々は、このタイプの安全脅威をスリーパー攻撃として形式化し、評価するために、現実世界の有害な結果6つ、攻撃戦略3つ、エージェント状態の目標3つをカバーする1,896件のベンチマークを構築した。
  論文  参考訳（メタデータ） (2026-05-27T09:25:37Z)
• PlanGuard: Defending Agents against Indirect Prompt Injection via Planning-based Consistency Verification [1.7904458681854372]
  PlanGuardは、コンテキスト分離の原則に基づいた、トレーニング不要の防御フレームワークである。 PlanGuardは攻撃を効果的に中和し、アタック成功率(ASR)を72.8%から0%に下げる。
  論文  参考訳（メタデータ） (2026-04-11T09:59:46Z)
• CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
  ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。 本稿では,選択防衛フレームワークCausalArmorを提案する。 AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
  論文  参考訳（メタデータ） (2026-02-08T11:34:08Z)
• Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
  この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。 この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。 クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
  論文  参考訳（メタデータ） (2025-06-16T08:09:32Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。