論文の概要: AgentTracer: Tracing Indirect Prompt Injection Attack through Fine-Grained Intention-Execution Alignment

• arxiv url: http://arxiv.org/abs/2610.09935v1
• Date: Wed, 07 Oct 2026 12:19:56 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-08 21:58:22.901
• Title: AgentTracer: Tracing Indirect Prompt Injection Attack through Fine-Grained Intention-Execution Alignment
• Title（参考訳）: AgentTracer:微粒な意図実行アライメントによる間接的プロンプトインジェクションアタックの追跡
• Abstract要約: 本稿では,ITIをタスク意図のドリフトとして扱う意図認識型トレースフレームワークであるAgentTracerを紹介する。 AgentTracerは94.17パーセントのインジェクションポイント精度と93.56パーセントのパス精度をエンドツーエンドの実験で達成している。
• 参考スコア（独自算出の注目度）: 4.394765349816583
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Large language model (LLM) agents interact with external resources to complete complex user tasks, exposing them to indirect prompt injection (IPI), where malicious instructions redirect agents toward attacker-intended tasks. Since IPI is difficult to defend against in real-world environments, post-incident tracing is essential for locating the injection source and reconstructing the attack chain. However, existing tracing methods primarily capture explicit control-flow and data-flow dependencies, overlooking the implicit relationships among tool calls driven by the malicious instruction. These tool calls may lack explicit dependencies and be interleaved with legitimate operations, making complete attack-chain reconstruction difficult. In this paper, we present AgentTracer, an intent-aware tracing framework that treats IPI as task intent drift. AgentTracer recovers implicit decision dependencies among tool calls to construct an Intent-Driven Execution Graph that connects dispersed tool calls by task intent. It combines the user request with an operation knowledge base to construct a user intent authorization space and identify intent-drift tool calls. Starting from an anomalous tool call under audit, AgentTracer performs target-based pruning and backward tracing to reconstruct the attack chain and locate the injection source and injection point. To evaluate AgentTracer in the presence of noise from normal tasks, we combine execution logs constructed from successful IPI attacks in AgentDyn and InjecAgent with normal execution logs containing 1,800 user requests and 9,000 background tool calls without IPI. In end-to-end experiments, AgentTracer achieves 94.17 percent injection-point accuracy and 93.56 percent path precision. Comparative experiments show that AgentTracer improves injection-point accuracy over existing methods by 18 to 54 percent.
• Abstract（参考訳）: 大言語モデル(LLM)エージェントは、複雑なユーザタスクを完了するために外部リソースと対話し、悪意のある命令が攻撃意図されたタスクにエージェントをリダイレクトするIPI(Indirect prompt Injection)にそれらを公開する。 IPIは現実世界の環境では防御が難しいため、インジェクション源の特定と攻撃チェーンの再構築には、インシデント後追跡が不可欠である。 しかし、既存のトレース手法は、主に明示的な制御フローとデータフローの依存関係をキャプチャし、悪意のある命令によって駆動されるツール呼び出し間の暗黙の関係を見渡す。 これらのツールコールには明示的な依存関係がなく、正当な操作でインターリーブされる可能性があるため、完全なアタックチェーン再構築が困難になる。 本稿では,ITIをタスク意図のドリフトとして扱う意図認識型トレースフレームワークであるAgentTracerを提案する。 AgentTracerはツールコール間の暗黙的な決定依存を回復し、タスクインテントによって分散ツールコールを接続するIntent-Driven Execution Graphを構築する。 ユーザ要求と操作知識ベースを組み合わせることで、ユーザ意図の承認スペースを構築し、インテントドリフトツールコールを識別する。 監査中の異常なツールコールから開始されたAgentTracerは、ターゲットベースのプルーニングと後方トレースを実行して、アタックチェーンを再構築し、インジェクションソースとインジェクションポイントを特定する。 我々は,AgentDynとInjecAgentのIPI攻撃で構築された実行ログと,1,800のユーザリクエストと9000のバックグラウンドツールコールを含む通常の実行ログを組み合わせる。 エンドツーエンドの実験では、AgentTracerは94.17パーセントのインジェクションポイント精度と93.56パーセントのパス精度を達成した。 比較実験により、AgentTracerは既存の方法よりもインジェクションポイントの精度を18～54%向上することが示された。

関連論文リスト

• ASPIRE: Agentic Safety & Prompt Injection Red-teaming Engine [51.17686708121503]
  LLMエージェントは信頼できないコンテンツを検索し、ツールを通して行動し、間接的なインジェクションリスクを発生させる。 我々は,オープンな行動レベルの脆弱性発見のためのエージェントセーフティ&プロンプトインジェクション・レッドチームエンジンであるASPIREを紹介する。
  論文  参考訳（メタデータ） (2026-10-06T18:18:40Z)
• TraceDance: An Automated System for Building Agent Behavior Benchmarks from Real-World Agent Deployment Traces [49.561879967469714]
  TraceDanceは、ユーザが指定した望ましくない振る舞いのデプロイメントトレースからターゲットベンチマークを構築するエージェントシステムである。 効率的な構築のために、Anchor-and-Confirmはプログラム可能な検索と、Flash大言語モデルによる候補レベルの確認を組み合わせる。 コーディングと一般的なツールの実験では、252,557のセッションで描画され、ビルドターゲット要求の95.3%を満たす4,125のインスタンスで107のベンチマークを生成する。
  論文  参考訳（メタデータ） (2026-09-27T06:58:39Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• What Guides the Agent? Adjudicating Unauthorized Behavior via Localizing Behavior-Guiding Instructions [16.444770499696457]
  Attnlocateは、ツール呼び出しの決定に真に影響を及ぼすコンテキストのきめ細かいローカライズのためのランタイムフレームワークである。 Attnlocateは、このローカライゼーション問題をオブジェクト検出タスクとして、振る舞い誘導命令によって引き起こされるユニークなアクティベーショントレースを検出することを目的としている。 5つのLSMファミリーから10のエージェント構成にまたがるAttnlocateを評価し,間接的プロンプト注入とツール中毒のシナリオについて検討した。
  論文  参考訳（メタデータ） (2026-08-25T03:24:53Z)
• AutoTrace: From Patches to Triggers via Agentic Interprocedural Exploration [6.39392731596656]
  脆弱性修正コミットが与えられた場合、トリガーローカライゼーションは、脆弱性のあるプログラム状態を具体的な安全でない操作に変換する特定のステートメントを問う。 脆弱性トリガをローカライズするエージェントパイプラインであるAutoTraceについて,コードプロパティグラフ層を層単位で探索することによって紹介する。 エージェントは自身の権限でトリガーを決して受け入れない。報告されたトリガーはすべて、グラフから引き出された明確な証拠によって裏付けられている。
  論文  参考訳（メタデータ） (2026-07-13T18:21:42Z)
• Willful Disobedience: Automatically Detecting Failures in Agentic Traces [2.2365938060262356]
  AgentPexはエージェントトレースを体系的に評価するAIツールである。 エージェントプロンプトとシステム命令から振る舞いルールを抽出し、これらの仕様を使用してコンプライアンスのトレースを自動的に評価する。 我々は、通信、小売、航空会社の顧客サービスにおいて、AgentPexを2ベンチから424のトレースで評価した。
  論文  参考訳（メタデータ） (2026-03-25T00:33:39Z)
• AgentProcessBench: Diagnosing Step-Level Process Quality in Tool-Using Agents [50.481033105867205]
  我々はAgentProcessBenchを紹介した。AgentProcessBenchは、現実的なツール拡張トラジェクトリにおけるステップレベルの有効性を評価するための最初のベンチマークである。 ベンチマークは、1,000の多様な軌跡と8,509の人間ラベル付きステップアノテーションと89.1%のアノテーション間合意で構成されている。 探索をキャプチャする3つのラベリングスキームと、ラベルのあいまいさを減らすためのエラー伝搬ルールを備えている。
  論文  参考訳（メタデータ） (2026-03-15T16:13:58Z)
• AgentSentry: Mitigating Indirect Prompt Injection in LLM Agents via Temporal Causal Diagnostics and Context Purification [25.817251923574286]
  大規模言語モデル(LLM)エージェントのための新しい推論時間検出・緩和フレームワークを提案する。 AgentSentryは、時間的因果的テイクオーバーとしてマルチターンIPIをモデル化する最初の推論時防御である。 我々は, textscAgentDojo ベンチマークにおいて, 4つのタスクスイート, 3つの IPI 攻撃ファミリー, 複数のブラックボックス LLM に対する AgentSentry の評価を行った。
  論文  参考訳（メタデータ） (2026-02-26T07:59:10Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)
• CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
  ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。 本稿では,選択防衛フレームワークCausalArmorを提案する。 AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
  論文  参考訳（メタデータ） (2026-02-08T11:34:08Z)
• IPIGuard: A Novel Tool Dependency Graph-Based Defense Against Indirect Prompt Injection in LLM Agents [33.775221377823925]
  大規模言語モデル(LLM)エージェントは現実世界のアプリケーションに広くデプロイされており、複雑なタスクのために外部データを検索し操作するためのツールを活用している。 信頼できないデータソースと対話する場合、ツールレスポンスには、エージェントの動作に秘密裏に影響を与え、悪意のある結果をもたらすインジェクションが含まれている可能性がある。 我々はIPIGuardと呼ばれる新しい防御タスク実行パラダイムを提案し、ソースにおける悪意あるツール呼び出しを防止する。
  論文  参考訳（メタデータ） (2025-08-21T07:08:16Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。