論文の概要: Model-as-a-Trojan: Self-Activating Covert DNS Exfiltration Baked Into the Weights of an LLM Agent

• arxiv url: http://arxiv.org/abs/2610.22578v1
• Date: Thu, 15 Oct 2026 19:26:27 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-20 00:56:07.639617
• Title: Model-as-a-Trojan: Self-Activating Covert DNS Exfiltration Baked Into the Weights of an LLM Agent
• Title（参考訳）: モデル・アズ・ア・トロイジャン: LLM エージェントの重量に浸漬された自己活性化被覆型DNS ろ過
• Abstract要約: 本稿は,サンドボックスがモデルにできることを全て含んでいるという仮定が,盲点を持つことを実証する。 オープンウェイト LLM を微調整し、単一のカバート動作がパラメータ内に存在するようにします。 チャネルはDNSであるため、攻撃は名前解決以上のインターネットエグレスのないコンテナ内から完了する。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Open-weight models are downloaded from public hubs and run inside agent harnesses that grant them tools, most powerfully, a shell, under the assumption that a sandbox contains whatever the model might do. This paper demonstrates that the assumption has a blind spot: the weights themselves can be the malware, and the sandbox's last open door, DNS, is enough. We fine-tune an open-weight LLM so that a single covert behavior lives in its parameters: on the first turn of every conversation, whenever the model infers from its context that a shell tool is available, it emits one self-contained command that reads a secret from the runtime environment, base32-encodes it, chunks it, and exfiltrates it as DNS queries toward an attacker-controlled authoritative name server. It then answers the user normally and never mentions, or repeats, the act. Because the channel is DNS, the attack completes from inside a container with no internet egress beyond name resolution - measured payload-level and model-level behind an egress firewall that drops every non-DNS packet, with the secret reconstructed from the gateway resolver's query log. Because the behavior lives in the weights, prompting is the only off-switch a victim has, and it is unreliable: the implant fires in 20/20 of adversarial suppression trials, deflects direct interrogation without disclosing the sequence, and sweeps a 45-cell sandbox-fault matrix across five tool-calling formats - plus a fresh post-training canary, persona-only and absent system prompts, and an egress-locked topology - with zero leaks and zero repeat fires. Every training trajectory is execution-verified in a real container, and every claimed exfiltration is proven resolver-side: we reconstruct the secret from the authoritative resolver's query log alone.
• Abstract（参考訳）: オープンウェイトモデルは、公開ハブからダウンロードされ、エージェントハーネス内で実行される。 重みそのものがマルウェアであり、サンドボックスの最後のオープンドアであるDNSで十分である。 各会話の最初のターンで、シェルツールが利用可能なコンテキストからモデルが推論されるたびに、実行環境から秘密を読み取る1つの自己完結したコマンドを出力し、base32-エンコードし、それをチャンクし、攻撃者が制御する権威名サーバにDNSクエリとして公開します。 その後、ユーザーは正常に回答し、その行為に言及したり、繰り返したりすることはない。 チャネルがDNSであるため、攻撃は名前解決以上のインターネットエグレストのないコンテナ内部から完了します - ゲートウェイリゾルバのクエリログからシークレットを再構築して、DNS以外のすべてのパケットをドロップする、外部ファイアウォールの背後にあるペイロードレベルとモデルレベルを測定します。 インプラントは敵の弾圧試験の20/20で発火し、シーケンスを開示せずに直接尋問を偏向し、45セルのサンドボックスフォールトマトリクスを5つのツールコールフォーマット(訓練後の新たなカナリア、ペルソナのみのシステムプロンプト、外部ロックされたトポロジ、ゼロリークとゼロリピーファイア)で掃除する。 すべてのトレーニングトラジェクトリは、実際のコンテナで実行検証され、すべての要求されるエミッションは、リゾルバ側で証明されます。

関連論文リスト

• SilentCall: Hidden Tool-Call Backdoors in Open-Weight Agents, and How to Catch Them [0.0]
  オープンウェイトなツールコールエージェントは、通常はベンチマークスコアと信頼性のある使用記録に採用されている。 モデルパブリッシャは、悪意のある行動を隠蔽しながら、両方を稼ぐエージェントを訓練できることを示す。 ツールを使用するエージェントは、オープンウェイトサプライチェーンを通じて拡散するので、モデルが自身の行動について何を言っているのかを信頼するべきではない。
  論文  参考訳（メタデータ） (2026-09-25T21:32:31Z)
• Stealing Reasoning Traces from Proprietary LLM APIs [84.58379404903394]
  我々は、暗号化された推論トレースのためのスケーラブルな復号化ジェイルブレイクを開発する。 抗蒸留機構を回避し、敵がプロプライエタリなモデルの推論を抽出できるようにする。 それは必然的に、推論プロセス内に隠された有害な情報を明らかにします。
  論文  参考訳（メタデータ） (2026-08-10T17:24:50Z)
• From Prompt Injection to Persistent Control: Defending Agentic Harness Against Trojan Backdoors [89.92617739143846]
  ローカルエージェントハーネスにおけるマルチステップトロイの木馬攻撃を識別するベンチマークであるClawTrojanを紹介する。 そこで我々は,DASGuardを提案する。DASGuardは,コントロールライクなテキストをセンシティブなローカルファイルでスキャンし,その起源を辿り,信頼されたソースから派生しないコントロールコンテンツを除去する。 この結果から, DASGuardは, 実行時の攻撃ブロックと作業空間への衛生的コミットを組み合わせることで, 強力な動的防御を実現することがわかった。
  論文  参考訳（メタデータ） (2026-05-29T09:19:07Z)
• An Empirical Study of Privacy Leakage Chains via Prompt Injection in Black-Box Chatbot Environments [3.275342475988451]
  本稿では,間接的プロンプトインジェクションに基づくプライバシフリー・アタック・チェーンについて検討する。 まず、攻撃者が被疑者の意図したタスクをハイジャックする方法について分析する。 次に、ユーザプロンプトと検索ページの良質な開始を再構成するために、外部コンテンツにブリッジを用いた「例示」と呼ばれる新しいプロンプト言語手法を評価する。
  論文  参考訳（メタデータ） (2026-05-18T09:38:18Z)
• Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain [6.142057368768942]
  大規模言語モデル(LLM)エージェントは、ツール呼び出し要求のディスパッチにサードパーティのAPIルータに依存している。 本研究は,この攻撃面に関する最初の系統的研究である。
  論文  参考訳（メタデータ） (2026-04-09T16:06:41Z)
• Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace [0.0]
  自動生成されたURLプレビューに埋め込まれた敵対的命令は、サイレント・エクスプレスと呼ばれるシステムレベルのリスクをもたらす可能性があることを示す。 完全にローカルで再現可能なテストベッドを使用して、悪意のあるWebページがエージェントを誘導し、機密性の高いランタイムコンテキストを透過するアウトバウンドリクエストを発行できることを実証する。 qwen2.5:7bをベースとした480の実験では、攻撃は高い確率 (P (exress) =0.89) で成功し、95%の攻撃は出力ベースの安全チェックでは検出されない。
  論文  参考訳（メタデータ） (2026-02-25T22:26:23Z)
• Holmes: An Evidence-Grounded LLM Agent for Auditable DDoS Investigation in Cloud Networks [17.353498175195483]
  LLMをベースとしたDDoS検出エージェントであるHolmes(DDoS Detective)を提案する。 ホームズは多種多様な攻撃家族にまたがる有能な証拠に根ざした帰属決定を下すことを示した。 結果から、ホームズは様々な攻撃家族にまたがる有能な証拠に根ざした帰属決定を下すことが明らかとなった。
  論文  参考訳（メタデータ） (2026-01-21T02:39:46Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• FreeEagle: Detecting Complex Neural Trojans in Data-Free Cases [50.065022493142116]
  バックドア攻撃とも呼ばれるディープニューラルネットワークに対するトロイの木馬攻撃は、人工知能に対する典型的な脅威である。 FreeEagleは、複雑なバックドア攻撃を効果的に検出できる最初のデータフリーバックドア検出方法である。
  論文  参考訳（メタデータ） (2023-02-28T11:31:29Z)
• BackdoorBox: A Python Toolbox for Backdoor Learning [67.53987387581222]
  このPythonツールボックスは、代表的で高度なバックドア攻撃と防御を実装している。 研究者や開発者は、ベンチマークやローカルデータセットで、さまざまなメソッドを簡単に実装し、比較することができる。
  論文  参考訳（メタデータ） (2023-02-01T09:45:42Z)
• Quarantine: Sparsity Can Uncover the Trojan Attack Trigger for Free [126.15842954405929]
  トロイの木馬攻撃はディープニューラルネットワーク(DNN)を脅かし、ほとんどのサンプルで正常に動作させるが、トリガーを付けた入力に対して操作された結果を生成する。 そこで我々は,まず,クリーンな入力において,ほぼ完全なトロイの木馬の情報のみを保存し,かつ,すでに孤立しているサブネットワークに埋め込まれたトリガを復元する,新しいトロイの木馬ネットワーク検出方式を提案する。
  論文  参考訳（メタデータ） (2022-05-24T06:33:31Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。