論文の概要: Beyond Maliciousness: Static and Runtime Attack-Surface Profiling of Agent Skills
- arxiv url: http://arxiv.org/abs/2610.19264v1
- Date: Tue, 13 Oct 2026 22:34:07 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-15 21:06:15.831635
- Title: Beyond Maliciousness: Static and Runtime Attack-Surface Profiling of Agent Skills
- Title（参考訳）: 悪意を超えた: エージェントスキルの静的かつ実行時攻撃サーフェスプロファイリング
- Abstract要約: 本稿では,2段階の静的解析と依存性チェックを組み合わせた2段階のアタック・サーフェース・プロファイリング手法を提案する。
この手法を2つのマーケットプレースから6,309件のリスティングに適用し、事前の脅威やリスク信号の判断を条件にせずに実行対象のリスティングを選択する。
- 参考スコア（独自算出の注目度）: 1.53934570513443
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Agent skills are Markdown documents that a tool-using agent reads as instructions and then acts on with the privileges of the session that loaded them. Installing one grants authority (the standing to direct the agent, not new privilege), and the size of that grant is what we measure. We present a two-phase attack-surface profiling methodology that combines whole-bundle static analysis and dependency provenance checking with instrumented sandbox execution and separate model-based assessment of the resulting traces. We apply the methodology to 6,309 listings from two marketplaces, selecting listings for execution without conditioning that decision on a prior threat or risk signal. Half the corpus carries evidence of shell-execution capability; the corresponding shares are 35% for filesystem read, 31% each for filesystem write and network egress, and 13% for credential access; seven listings in ten carry at least one elevated capability. That is the surface a user accepts at install time, and almost none of it is visible then. A permission model exists but is close to inert. Authors may list the tools a skill pre-approves in its own frontmatter, which removes confirmation prompts rather than restricting what the skill can reach; of the 6,061 listings whose frontmatter parses, 770 declare anything at all, the vocabulary cannot express credential or environment access, and nothing checks what it does express against the bundle. Declaring is also not declaring accurately: 59% of declaring listings understate what their bundle can do. ClawHub declares roughly twice as often as skillsmp, yet under-declares on 88% of its declarations against 31%. Triage at the marketplace boundary therefore cannot rest on what a listing declares. It must rest on what the bundle can do. These results position capability-oriented attack-surface profiling as a necessary complement to maliciousness detection.
- Abstract（参考訳）: エージェントスキルはMarkdownドキュメントで、ツールを使用するエージェントが命令として読み上げ、それをロードするセッションの特権で作用する。
権限を付与する(エージェントを指揮する立場は、新しい特権ではなく、エージェントを指示する立場)。
そこで本研究では,サンドボックス実行による一括静的解析と依存性の検証を組み合わせた2段階の攻撃面プロファイリング手法を提案し,その結果をモデルベースで評価する。
この手法を2つのマーケットプレースから6,309件のリスティングに適用し、事前の脅威やリスク信号の判断を条件にせずに実行対象のリスティングを選択する。
半分のコーパスにはシェル実行能力の証拠があり、対応する株はファイルシステム読み取りで35%、ファイルシステム書き込みとネットワーク侵入で31%、クレデンシャルアクセスで13%、最低でも1つの高機能を持っている。
これはユーザがインストール時に受け入れるサーフェスで、その時点ではほとんど見えません。
パーミッションモデルが存在するが、不活性に近い。
フロントエンドがパースする6,061件のうち、770件は何でも宣言するが、語彙は資格や環境へのアクセスを表現できない。
リストの宣言の59%は、バンドルができることを明記している。
ClawHubはスキルハンプの約2倍の頻度で宣言するが、宣言の88%が31%に対して過小評価している。
従って、マーケットプレイス境界でのトリアージは、リストが宣言するものに留まることができない。
バンドルができることに頼らなければならない。
これらの結果から,悪意の検出に欠かせない,能率指向の攻撃面プロファイリングが求められた。
関連論文リスト
- APEX-Harm: Evaluating Agent Safety in Shared Professional Workspaces [81.48656398420874]
我々は、金融、コンサルティング、法的タスクを行うエージェントに対して、プロンプトとスクリプトインジェクションを評価するためのベンチマークであるAPEX-Harmを紹介する。
各タスクには、メール、カレンダー、チャット、ドキュメント、スプレッドシート、PDF、コード実行ツールとともに、115から328のファイルが含まれている。
ベンチマークには、静的および動的インジェクション、タスク固有のスクリプト置換、アタッカーが提供するジェネリックスクリプトを含む6つのアタックカテゴリが含まれている。
論文 参考訳（メタデータ） (2026-10-09T14:05:47Z) - PyCache Trap: The Inspection-Execution Gap in Agent Skill Scanners [58.177252305216314]
PyCache Trapは、ローダが受け入れた代用キャッシュと良質なソースをペアリングし、タスク関連呼び出しに接続する。
本研究では,検査済みのインストラクション,スクリプト,インポート,実行時のアーティファクトを型付き実行グラフで接続するための実行対応検証(EAV)を提案する。
論文 参考訳（メタデータ） (2026-10-07T07:10:11Z) - PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents [27.303145899045074]
本稿では、PACE(Provenance-Aware Capability Enforcement)を紹介し、実行直前にすべてのツールコールを仲介する。
PACEは、提案されたブロックの後に認証された呼び出しを復元したり、宣言された修復を適用することができる。
スケールの縮小された適応探索は、0/30の不正なターゲットで防御に成功している。
論文 参考訳（メタデータ） (2026-10-01T09:18:05Z) - Ajar: Measuring Open Privilege in Agent Defenses [11.102074689747745]
Ajarはエージェントセキュリティベンチマークを使用して、オープン権限を直接測定する。
Progent、CaMeL、AC4A、Permission Assistant、Claude CodeのAutoモードです。
このオープンな特権は、測定された攻撃の成功または良質なユーティリティから引き出すことはできない。
論文 参考訳（メタデータ） (2026-09-22T18:01:41Z) - SkillAtlas: An Attack Trace Library for Agent Skills [67.18648151130607]
我々は、プライベートエージェントスキルセキュリティレポートバンドルをレビュー、修正、検索可能なパブリックケースに変換する、ホストされた攻撃トレースライブラリであるSkillAtlasを紹介する。
図書館には3,014のケース、6,589のトレース、151,131のステップ、233の影響を受けたスキル、8のリスクカテゴリが含まれている。
論文 参考訳（メタデータ） (2026-09-11T16:44:39Z) - Scanning the Harness: An Empirical Study of Supply-Chain Defects in AI Coding-Agent Configurations [0.0]
Claude Code、Cursor、GitHub Copilot、OpenAI CodexといったAIコーディングエージェントは、開発者が書いて共有するアーティファクトによって構成されている。
このハーネスは、マーケットプレースとパブリックリポジトリからインストールされた依存性レイヤで、開発者の権限で実行される。
2つ以上のコンポーネントタイプを組み立てる2,660のセットアップと、511の公開されたスキルコレクションです。
論文 参考訳（メタデータ） (2026-09-07T11:27:24Z) - The Framing Gap: Indirect Prompt-Injection Exfiltration Defeats Surface-Level Defenses in Tool-Using Agents [2.45357121165634]
攻撃者が制御するWebコンテンツを読み取るツール使用のLLMエージェントは間接的なプロンプトインジェクションである。
10のオーバートインジェクションクラスが拒否される(gpt-4o 0%)が、同じリークを必須整合性シグネチャとして無視する。
アブレーションは、そのメカニズムが命令/データの混乱であり、アライメントを損なわないことを示している。
論文 参考訳（メタデータ） (2026-08-27T13:12:03Z) - Auto: The AGI Compiler [0.0]
Autoは、ライブエージェントの振る舞いを記録し、どの部分が秘密に決定論的かを測定し、それを検証プログラムや蒸留専門家に抽出し、認識バイナリを出力するコンパイラである。
我々は,「AGIコンパイラ」を狭義で実証可能な意味で使用し,新規体験を,未知の知識を計測しながら,永続的で検証された,ほぼ自由なスキルに自律的に変換するシステムを開発した。
論文 参考訳（メタデータ） (2026-07-05T23:09:24Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry [49.83108591873481]
SKILL.md - エージェントスキルライフサイクルの3つのステージを対象とするアタックのみを調査する。
SKILL.mdは受動的ドキュメントではなく、サードパーティのエージェントが発見し、信頼し、使用する機能を形成する運用テキストであることを示す。
論文 参考訳（メタデータ） (2026-05-12T02:11:54Z) - Malicious Agent Skills in the Wild: A Large-Scale Security Empirical Study [47.60135753021306]
サードパーティのエージェントスキルは、LLMベースのエージェントを拡張して、命令ファイルとユーザのマシン上で動作する実行可能なコードを生成する。
結果として生じる脅威を特徴づけるために、地中真実のデータセットは存在しない。
我々は,98,380のスキルを行動検証することで,悪質なエージェントスキルのラベル付きデータセットを構築した。
論文 参考訳（メタデータ） (2026-02-06T09:52:27Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。