論文の概要: Understanding and Mitigating Cross-Session Attacks via Persistent Artifacts in Agent Skill Composition

• arxiv url: http://arxiv.org/abs/2610.13227v1
• Date: Fri, 09 Oct 2026 08:45:27 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-13 04:06:29.482261
• Title: Understanding and Mitigating Cross-Session Attacks via Persistent Artifacts in Agent Skill Composition
• Title（参考訳）: エージェントスキル構成における永続的アーティファクトによるクロスセッション攻撃の理解と緩和
• Abstract要約: 我々は,スキルベースAIエージェントにおけるクロスセッション・コンポジション・アタックを調査し,それに対するランタイム・ディフェンスを開発する。 具体的には、インストラクションプロパゲーション(IP)、データ境界ヴァイオレーション(DBV)、エビデンス中毒(EP)の3つの攻撃メカニズムを特徴付ける。 SkillRelayGuardは、ASR全体の69.5%から10.9%に、ACSRは54.8%から10.0%に減少し、正当なタスク完了率は79.6%から87.5%に増加した。
• 参考スコア（独自算出の注目度）: 19.049136616324034
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Agent skills extend the capabilities of AI agents by bundling instructions, code, and resources into reusable packages. During skill execution, agents may produce or modify artifacts, such as files, configurations, and cached data, that are reused by other skills in later sessions. Since these artifacts can persist across sessions and later be accessed by other skills, they introduce a new attack surface that can be exploited to influence subsequent executions. However, the security risks arising from such cross-session skill interactions remain largely unexplored. In this work, we investigate cross-session composition attacks in skill-based AI agents and develop a runtime defense against them. Specifically, we characterize three attack mechanisms, namely Instruction Propagation (IP), Data Boundary Violation (DBV), and Evidence Poisoning (EP), through which malicious effects propagate across skill executions via persistent artifacts. To evaluate whether existing agents can resist these attacks while completing legitimate tasks, we construct SkillRelayBench, a benchmark of 270 adversarial cases drawn from 30 cross-session skill-composition scenarios across ten domains. Our evaluation of seven models across Codex CLI, Gemini CLI, and Claude Code reveals attack success rates (ASR) ranging from 46.7% to 77.4% and attack chain success rates (ACSR) ranging from 35.6% to 61.1%. Successful attack chains cover all five target security consequence categories, highlighting the broad impact of these attacks. To mitigate these risks, we propose SkillRelayGuard, which restores artifact provenance context and provides pre-execution advisory review while leaving the final execution decision to the agent. Evaluation across three agent settings shows that SkillRelayGuard reduces overall ASR from 69.5% to 10.9% and ACSR from 54.8% to 10.0%, while increasing legitimate task completion from 79.6% to 87.5%.
• Abstract（参考訳）: エージェントスキルは、インストラクション、コード、リソースを再利用パッケージにバンドルすることで、AIエージェントの機能を拡張する。 スキル実行中、エージェントはファイル、設定、キャッシュされたデータなどのアーティファクトを生成または修正し、後続のセッションで他のスキルによって再利用される。 これらのアーティファクトはセッション間で持続し、その後他のスキルによってアクセスされるため、その後の実行に影響を与えるために利用することができる新たなアタックサーフェスが導入される。 しかし、このようなクロスセッションスキルの相互作用から生じるセキュリティリスクはほとんど解明されていない。 本研究では,スキルベースAIエージェントにおけるクロスセッション・コンポジション・アタックを調査し,それに対するランタイム・ディフェンスを開発する。 具体的には,IP(Instruction Propagation),DBV(Data Boundary Violation),EP(Evidence Poisoning)という3つの攻撃メカニズムを特徴付ける。 SkillRelayBenchは10ドメインにわたる30のクロスセッションスキル構成シナリオから抽出された270の逆ケースのベンチマークである。 Codex CLI、Gemini CLI、Claude Codeの7つのモデルの評価では、攻撃成功率(ASR)は46.7%から77.4%、アタックチェーン成功率(ACSR)は35.6%から61.1%となっている。 攻撃チェーンの成功は、これらの攻撃の広範な影響を浮き彫りにして、5つのターゲットセキュリティ結果のカテゴリをすべてカバーしている。 これらのリスクを軽減するため、我々はSkillRelayGuardを提案する。これは、アーティファクトの成果コンテキストを復元し、最終実行決定をエージェントに委ねながら、事前実行アドバイザリレビューを提供する。 3つのエージェント設定で評価すると、SkillRelayGuardはASR全体の69.5%から10.9%に、ACSRは54.8%から10.0%に減少し、正当なタスク完了率は79.6%から87.5%に増加した。

関連論文リスト

• Chaining Skills to Hijack LLM Agents [13.991514285520788]
  LLMエージェントは、特定のタスクのパフォーマンスを改善するためにスキルを使用する。 スキルはオープンソースリポジトリから生まれる可能性があるため、このハンドオフはアタッカーが管理するクレームを後から行うことができる。 本稿では,ユーザタスクやアタッカーが選択したアクションに合わせて,敵のスキルチェーンを構築し,洗練するAPEXを紹介する。
  論文  参考訳（メタデータ） (2026-10-01T12:28:49Z)
• MMSkillRisk: Can Agents Stay Safe When Multimodal Skills Become Traps? [20.554629787408754]
  我々はMMSkillRiskを紹介した。MMSkillRiskは、マルチモーダルスキルにおける画像による攻撃のエンドツーエンド安全性評価のための最初のベンチマークである。 28のキュレートされたクリーンスキルから構築されたMMSkillRiskには、36のアタックパッケージと、5つのアタック目標にまたがる108の実行可能なケースが含まれている。 攻撃成功率は36.5%で、GPT-5.6-solは72.2%、Codexは72.2%だった。
  論文  参考訳（メタデータ） (2026-09-28T08:07:45Z)
• Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems [79.08507314067253]
  スキルカスケード攻撃では、悪意のある目的が複数のスキルに分散され、それぞれの変更が独立して良さそうに見えるが、それらの組み合わせの実行は有害である。 本研究は, コンポーネントレベルの完全性とシステムレベルの安全性のギャップを浮き彫りにし, 個別のスキルではなく, クロススキルの相互作用を理由とする防御を呼び掛けた。
  論文  参考訳（メタデータ） (2026-09-24T18:00:18Z)
• AgentSnare: Learning to Delay, Divert, and Defuse Autonomous Penetration Agents [29.81912218748482]
  大型言語モデル(LLM)エージェントは、観察-動作ループを介して浸透試験を自動化する。 現在の防御は、攻撃前に環境に植えられた静的で孤立したアーティファクトに大きく依存している。 AgentSnareはデコイ環境を動的に展開し、侵入エージェントを実際のターゲットから遠ざけていく。
  論文  参考訳（メタデータ） (2026-07-29T14:56:31Z)
• SkillHarm: Lifecycle-Aware Skill-Based Attacks via Automated Construction [89.03272793385054]
  エージェントスキルはエージェントワークフローにおける特権的な位置を占め、サードパーティスキルを脆弱な攻撃面にする。 我々はスキルベースアタックのベンチマークであるSkillHarmを紹介した。 攻撃成功率はFPPが86.3%、SMPが69.3%である。
  論文  参考訳（メタデータ） (2026-06-01T17:45:39Z)
• Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry [49.83108591873481]
  SKILL.md - エージェントスキルライフサイクルの3つのステージを対象とするアタックのみを調査する。 SKILL.mdは受動的ドキュメントではなく、サードパーティのエージェントが発見し、信頼し、使用する機能を形成する運用テキストであることを示す。
  論文  参考訳（メタデータ） (2026-05-12T02:11:54Z)
• SkillAttack: Automated Red Teaming of Agent Skills through Attack Path Refinement [66.44008181092832]
  LLMベースのエージェントシステムは、その能力を拡張するためにオープンレジストリからのエージェントスキルにますます依存している。 SkillAttackは、敵のプロンプトを通じて、スキル脆弱性の脆弱性を検証できるフレームワークである。
  論文  参考訳（メタデータ） (2026-04-05T06:25:11Z)
• How Vulnerable Are AI Agents to Indirect Prompt Injections? Insights from a Large-Scale Public Competition [48.32744727426218]
  LLMベースのエージェントは、電子メール、ドキュメント、コードリポジトリなどの外部データソースを処理する高利得設定にますますデプロイされている。 これにより間接的なプロンプトインジェクション攻撃が発生し、外部コンテンツに埋め込まれた敵の命令は、ユーザの意識なしにエージェントの動作を操作できる。 この2つの目的を3つのエージェント設定で評価した。
  論文  参考訳（メタデータ） (2026-03-16T14:49:36Z)
• Security Challenges in AI Agent Deployment: Insights from a Large Scale Public Competition [101.86739402748995]
  44の現実的なデプロイメントシナリオを対象とした,22のフロンティアAIエージェントを対象にしています。 Agent Red Teamingベンチマークを構築し、19の最先端モデルで評価します。 私たちの発見は、今日のAIエージェントの重要かつ永続的な脆弱性を浮き彫りにしたものです。
  論文  参考訳（メタデータ） (2025-07-28T05:13:04Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。