論文の概要: INFUSE: A Unified Surface Benchmark for Indirect Prompt Injection in Agentic Systems

• arxiv url: http://arxiv.org/abs/2610.20776v1
• Date: Wed, 14 Oct 2026 18:26:15 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-16 19:13:16.013394
• Title: INFUSE: A Unified Surface Benchmark for Indirect Prompt Injection in Agentic Systems
• Title（参考訳）: INFUSE:エージェントシステムにおける間接プロンプト注入のための統一サーフェスベンチマーク
• Abstract要約: LLMベースのエージェントは、シェルコマンド、コード修正、依存性のインストール、リモートサービスとのインタラクションを含む、長い水平なエンドツーエンドの実行がますます増えている。 この成長する自律性は、間接的プロンプトインジェクション(IPI)への露出を拡大し、外部コンテンツに埋め込まれた敵の指示を正統なタスクディレクティブとして解釈する。 本稿では,長期エージェント構成のライフサイクルを通じてIPIを評価するためのエンドツーエンドベンチマークであるINFUSEを紹介する。
• 参考スコア（独自算出の注目度）: 7.307707211497527
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: LLM-based agents increasingly execute long-horizon, end-to-end workflows involving shell commands, code modification, dependency installation, and interaction with remote services. This growing autonomy expands their exposure to indirect prompt injection (IPI), where adversarial instructions embedded in external content are interpreted as legitimate task directives. Existing evaluations, however, often focus on isolated malicious strings, single-step tool calls, or narrowly scoped agent configurations. We introduce INFUSE, an end-to-end benchmark for evaluating IPI throughout the lifecycle of long-horizon agent workflows. INFUSE comprises 40 realistic tasks and a structured taxonomy of 56 attack scenarios spanning five threat categories. Attacks are injected through realistic interaction surfaces encountered during task execution, extending evaluation beyond attacks placed only in initial prompts or isolated tool interactions. We evaluate 19 LLMs from the GPT, Claude, Gemini, Llama, Gemma, and Qwen families, producing 41,824 adversarial trajectories (26,220 without defenses) and 720 benign reference runs. Across the benchmark, mean attack success reaches 19.6% under LLM-based evaluation and 15.4% under heuristic verification, with per-model ASR-L ranging from 3.2% to 41.9%. Existing guard models provide limited protection, while prompt-level instructional hardening reduces mean attack success from 58.2% to 14.3%, revealing substantial but model-dependent security-utility trade-offs. Our code is available at https://github.com/judydnguyen/infuse.
• Abstract（参考訳）: LLMベースのエージェントは、シェルコマンド、コード修正、依存性のインストール、リモートサービスとのインタラクションを含む、長期のエンドツーエンドワークフローをますます実行します。 この成長する自律性は、間接的プロンプトインジェクション(IPI)への露出を拡大し、外部コンテンツに埋め込まれた敵の指示を正統なタスクディレクティブとして解釈する。 しかし、既存の評価は、しばしば孤立した悪意のある文字列、シングルステップのツールコール、狭い範囲のエージェント設定にフォーカスする。 本稿では,長期エージェントワークフローのライフサイクルを通じてIPIを評価するためのエンドツーエンドベンチマークであるINFUSEを紹介する。 INFUSEには、40の現実的なタスクと、5つの脅威カテゴリにまたがる56の攻撃シナリオの構造化された分類が含まれている。 攻撃はタスク実行中に遭遇する現実的なインタラクションサーフェスを通じて注入され、初期プロンプトや独立したツールインタラクションにのみ配置されたアタックを超えて評価が拡張される。 我々は, GPT, Claude, Gemini, Llama, Gemma, Qwenの19のLCMを評価し, 41,824個の対向軌道 (26,220個の防御なしで) と720個の良性基準ランを生成した。 ベンチマーク全体で、平均攻撃成功率はLLMによる評価で19.6%、ヒューリスティックな検証で15.4%に達し、モデルごとのASR-Lは3.2%から41.9%である。 既存のガードモデルは限定的な保護を提供するが、プロンプトレベルの指導力強化により平均攻撃成功率は58.2%から14.3%に低下し、実質的ではあるがモデルに依存したセキュリティユーティリティのトレードオフが明らかになった。 私たちのコードはhttps://github.com/judydnguyen/infuse.comから入手可能です。

関連論文リスト

• The Verifier Tax: Horizon Dependent Safety Success Tradeoffs in Tool Using LLM Agents [1.3299507495084417]
  本研究では, 大規模言語モデル (LLM) エージェントを用いた多段階ツールにおいて, 実行時の安全でない動作に対する強制が, エンドツーエンドのタスクパフォーマンスに与える影響について検討する。 モデル依存相互作用の地平線(15～30ターン)を特定し、その結果を総合成功率(SR)、安全な成功率(SSR)、安全でない成功率(USR)に分解する。
  論文  参考訳（メタデータ） (2026-03-18T16:16:34Z)
• AgentSentry: Mitigating Indirect Prompt Injection in LLM Agents via Temporal Causal Diagnostics and Context Purification [25.817251923574286]
  大規模言語モデル(LLM)エージェントのための新しい推論時間検出・緩和フレームワークを提案する。 AgentSentryは、時間的因果的テイクオーバーとしてマルチターンIPIをモデル化する最初の推論時防御である。 我々は, textscAgentDojo ベンチマークにおいて, 4つのタスクスイート, 3つの IPI 攻撃ファミリー, 複数のブラックボックス LLM に対する AgentSentry の評価を行った。
  論文  参考訳（メタデータ） (2026-02-26T07:59:10Z)
• ReasAlign: Reasoning Enhanced Safety Alignment against Prompt Injection Attack [52.17935054046577]
  本稿では、間接的インジェクション攻撃に対する安全性アライメントを改善するためのモデルレベルのソリューションであるReasAlignを提案する。 ReasAlignには、ユーザクエリの分析、競合する命令の検出、ユーザの意図したタスクの継続性を維持するための構造化された推論ステップが組み込まれている。
  論文  参考訳（メタデータ） (2026-01-15T08:23:38Z)
• Efficient Jailbreak Mitigation Using Semantic Linear Classification in a Multi-Staged Pipeline [1.2802720336459552]
  プロンプトインジェクションとジェイルブレイク攻撃は、大規模言語モデル(LLM)ベースのシステムに永続的なセキュリティ上の課題をもたらす。 我々は,これらの脅威を軽量で多段階のパイプラインを通じて軽減する,効率的かつ体系的に評価された防衛アーキテクチャを提案する。
  論文  参考訳（メタデータ） (2025-12-22T04:00:35Z)
• STAC: When Innocent Tools Form Dangerous Chains to Jailbreak LLM Agents [38.755035623707656]
  本稿では,エージェントツールの利用を生かした新しいマルチターンアタックフレームワークSTACについて紹介する。 我々は,483のSTACケースを自動生成し,評価するために,1,352セットのユーザエージェント環境相互作用を特徴とするフレームワークを適用した。 GPT-4.1を含む最先端のLSMエージェントはSTACに対して極めて脆弱であり,攻撃成功率(ASR)は90%以上である。
  論文  参考訳（メタデータ） (2025-09-30T00:31:44Z)
• A Multi-Agent LLM Defense Pipeline Against Prompt Injection Attacks [1.1435139523855764]
  本稿では,インジェクション攻撃をリアルタイムに検出・中和する新しいマルチエージェント・ディフェンス・フレームワークを提案する。 我々は2つの異なるアーキテクチャ、シーケンシャル・チェーン・オブ・エージェント・パイプラインと階層的コーディネータ・ベース・システムを用いてアプローチを評価した。
  論文  参考訳（メタデータ） (2025-09-16T19:11:28Z)
• AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
  本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。 我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。 攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
  論文  参考訳（メタデータ） (2025-05-09T07:40:17Z)
• AegisLLM: Scaling Agentic Systems for Self-Reflective Defense in LLM Security [74.22452069013289]
  AegisLLMは、敵の攻撃や情報漏洩に対する協調的なマルチエージェント防御である。 テスト時のエージェント推論システムのスケーリングは,モデルの有用性を損なうことなく,ロバスト性を大幅に向上させることを示す。 アンラーニングやジェイルブレイクを含む主要な脅威シナリオに対する総合的な評価は、AegisLLMの有効性を示している。
  論文  参考訳（メタデータ） (2025-04-29T17:36:05Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。