論文の概要: Secure-CUA: Controlling Untrusted Influence in Computer-Use Agents
- arxiv url: http://arxiv.org/abs/2610.09469v1
- Date: Wed, 07 Oct 2026 05:24:40 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-08 21:58:22.734226
- Title: Secure-CUA: Controlling Untrusted Influence in Computer-Use Agents
- Title（参考訳）: Secure-CUA:コンピュータ利用エージェントにおける信頼できない影響の制御
- Abstract要約: コンピュータ利用エージェント(CUA)は、グラフィカルインターフェースを観察し、クリックやキーストロークなどのコマンドを発行することで、アプリケーション間でタスクを実行する。
この信頼できないコンテンツを制御する敵は、エージェントの意図した行動を変えるために命令を埋め込んだり、視覚的手がかりを誤解させたりすることができる。
エージェントの判断とGUIコマンドによる実行の両方のセキュリティ要件が,実行トレースを保護していることを示す。
- 参考スコア（独自算出の注目度）: 24.022165193152336
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Computer-use agents (CUAs) perform tasks across applications (such as desktops, mobile apps, and web browsers) by observing graphical interfaces and issuing commands such as clicks and keystrokes. These interfaces combine trusted controls and content with untrusted content needed for legitimate tasks. An adversary controlling this untrusted content can embed instructions or misleading visual cues to change the agent's intended action or redirect its commands to the wrong interface target. We formalize security requirements for both the agent's decisions and their execution through GUI commands. In an ideal execution model, we show that enforcing both requirements at each step protects execution traces. We instantiate this model in Secure-CUA, our system for secure CUA execution. Its key idea is to commit to an explicit per-action program, called an $\textit{action transaction}$, before accessing untrusted content. Each transaction fixes its queries to untrusted content and the permitted uses of their responses. The system masks untrusted regions and evaluates each transaction to produce the next action, using an isolated query model to answer its queries. It then locates the intended interface target using the masked interface. Under the model's assumptions, Secure-CUA is secure by design, while generating a new transaction at each step helps maintain high task utility by adapting to changing interfaces. We evaluate Secure-CUA under benign conditions on 400 WebArena tasks using three frontier models across $5$ seeds, yielding $6,000$ execution traces. Secure-CUA achieves an average task success rate of $53.55\%$, compared with $55.12\%$ for Vanilla-CUA and $13.17\%$ for CaMeL-CUA.
- Abstract（参考訳）: コンピュータ利用エージェント(CUA)は、グラフィカルインターフェースを観察し、クリックやキーストロークなどのコマンドを発行することで、アプリケーション(デスクトップ、モバイルアプリ、ウェブブラウザなど)間でタスクを実行する。
これらのインターフェースは、信頼されたコントロールとコンテンツと、正当なタスクに必要な信頼できないコンテンツを組み合わせる。
この信頼できないコンテンツを制御している敵は、エージェントの意図したアクションを変更したり、コマンドを間違ったインターフェースターゲットにリダイレクトするために、命令を埋め込んだり、視覚的手がかりを誤解させたりすることができる。
エージェントの判断とGUIコマンドによる実行の両方のセキュリティ要件を形式化する。
理想的な実行モデルでは、各ステップで両方の要求を強制することは、実行トレースを保護する。
このモデルをセキュアなCUA実行システムであるSecure-CUAでインスタンス化する。
そのキーとなる考え方は、信頼できないコンテンツにアクセスする前に、$\textit{action transaction}$と呼ばれる明示的なアクションごとのプログラムにコミットすることである。
各トランザクションは、クエリを信頼できないコンテンツと、許可されたレスポンスの使用に修正する。
システムは信頼できないリージョンをマスクし、各トランザクションを評価して次のアクションを生成する。
次に、マスクされたインターフェイスを使用して、意図したインターフェイスターゲットを特定する。
モデルの仮定では、Secure-CUAは設計によって安全であり、各ステップで新しいトランザクションを生成することは、インターフェースの変更に適応して高いタスクユーティリティを維持するのに役立つ。
セキュアCUAを500ドルシードのフロンティアモデルを用いて400 WebArenaタスクの良質な条件下で評価し,6,000ドルの実行トレースを得た。
Secure-CUAは平均タスク成功率は53.55\%、Vanilla-CUAは55.12\%、CaMeL-CUAは13.17\%である。
関連論文リスト
- The Verifiable Action Card: Trustworthy Human-in-the-Loop Control for Secure Autonomous Agents [3.8168092489216385]
提案するEmphVerifiable Action Card (VAC) は,ブラウザの動作から承認情報を再構築するアーキテクチャディフェンスである。
VACは、ディスパッチ時に認証された正確なアクションに承認をバインドする。
提案手法は,24-scenarioベンチマークを用いて,混乱した攻撃,Lies-in-the-Loopダイアログの鍛造,間接的インジェクション,適応的行動置換,証明回避,正当性タスクを網羅した評価を行った。
論文 参考訳（メタデータ） (2026-09-16T10:06:24Z) - CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls [6.892500414166659]
セキュリティクリティカルなコンテキストは、コンポーネント境界を越えたアクションとしてドロップ、拡大、リバウンド、あるいは再解釈される。
エージェントセキュリティ制御の検証可能な構成のためのフレームワークであるITYを紹介する。
論文 参考訳（メタデータ） (2026-09-04T15:26:35Z) - SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。
操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。
SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
論文 参考訳（メタデータ） (2026-08-31T03:39:43Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - WebRider: Persona-Conditioned Intent Controllers for Live-Web Assistance [13.202697146509317]
現在のライブウェブエージェントは最終回答のみに基づいて評価され、デリゲートを定義するポリシー制約を無視します。
WebRiderは、デリゲートされたポリシーを意図的な契約として形式化し、このギャップを埋めます。
WebRiderは、最終回答決定とアクション実現を混同することなく、監査可能、人的判断可能、学習可能なシステムを実現する。
論文 参考訳（メタデータ） (2026-08-07T02:00:49Z) - AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。
我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
論文 参考訳（メタデータ） (2026-06-13T02:09:08Z) - Visual Confused Deputy: Exploiting and Defending Perception Failures in Computer-Using Agents [9.457255218406333]
コンピュータ利用エージェント(CUA)はグラフィカルユーザインタフェースに直接作用するが、画面に対する認識は信頼できないことが多い。
我々は、エージェントが誤認識された画面状態に基づいてアクションを認可する障害モードである視覚的混乱副産物を形式化する。
この脅威を軽減するため,エージェントの知覚ループ外で動作する最初のガードレールを提案する。
論文 参考訳（メタデータ） (2026-03-16T01:31:32Z) - CaMeLs Can Use Computers Too: System-level Security for Computer Use Agents [60.98294016925157]
AIエージェントは、悪意のあるコンテンツがエージェントの行動をハイジャックして認証情報を盗んだり、金銭的損失を引き起こすような、インジェクション攻撃に弱い。
CUAのためのシングルショットプランニングでは、信頼できるプランナーが、潜在的に悪意のあるコンテンツを観察する前に、条件付きブランチで完全な実行グラフを生成する。
このアーキテクチャ分離は命令インジェクションを効果的に防止するが、ブランチステアリング攻撃を防ぐには追加の対策が必要であることを示す。
論文 参考訳（メタデータ） (2026-01-14T23:06:35Z) - Defeating Prompt Injections by Design [79.00910871948787]
CaMeLは、Large Language Modelsを中心とした保護システムレイヤを作成する堅牢なディフェンスである。
CaMeLは、(信頼された)クエリから制御とデータフローを明示的に抽出する。
セキュリティをさらに改善するため、CaMeLは、権限のないデータフロー上のプライベートデータの流出を防止する機能の概念を使用している。
論文 参考訳（メタデータ） (2025-03-24T15:54:10Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。