論文の概要: From Approval to Abuse: Privilege Escalation Attacks on Harness-Protected Coding Agents

• arxiv url: http://arxiv.org/abs/2610.22987v1
• Date: Fri, 16 Oct 2026 06:13:06 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-20 00:56:07.780259
• Title: From Approval to Abuse: Privilege Escalation Attacks on Harness-Protected Coding Agents
• Title（参考訳）: 承認から無用へ:悪質検出符号化エージェントに対する悪質なエスカレーション攻撃
• Abstract要約: コーディングエージェントは、実行ハーネスを使用して、パーミッション境界を強制することによって、プロンプトインジェクションの結果を制限する。 承認疲労を軽減するために、ユーザはエージェントが提案する許可ルールを承認し、その後、ルールにマッチする将来のアクションをプロンプトなしで許可する。 信頼できないコンテキストは、承認のために提示された許可に影響を与える可能性がある。
• 参考スコア（独自算出の注目度）: 71.95900681890676
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Coding agents use execution harnesses to constrain the consequences of prompt injection by enforcing permission boundaries. These systems deterministically intercept any out-of-sandbox action and prompt the user for approval. To reduce approval fatigue, users can approve allow-rules proposed by the agent, after which any future action matching the rule is allowed without a prompt. In this work, we show that this mechanism introduces a new risk: untrusted context can influence the permissions presented for approval, with consequences extending beyond the immediate task. We investigate privilege escalation targeting this permission-update process. Specifically, adversarial context planted in a repository can reliably steer an agent performing a routine task into requesting a plausibly justified, yet dangerously broad allow-rule. If the user approves the request, the saved rule can effectively blind the harness, enabling adversaries to execute malicious actions that would otherwise require approval, without triggering human oversight. Across production platforms, including Claude Code and Codex CLI, we demonstrate that agents successfully elicit the target allow-rules in 58% of experimental instances. Once acquired, these rules exhibit a massive semantic blast radius, covering 56.9% of category-specific capability test cases. To further quantify the downstream risk, we show that conditional on rule approval, our exploit achieves verified, silent goal completion in 47 of the 58 eligible instances (81.0%), undermining the safety promise of human-in-the-loop oversight.
• Abstract（参考訳）: コーディングエージェントは、実行ハーネスを使用して、パーミッション境界を強制することによって、プロンプトインジェクションの結果を制限する。 これらのシステムは、決定論的にアウト・オブ・サンドボックスのアクションをインターセプトし、ユーザに承認を促す。 承認疲労を軽減するために、ユーザはエージェントが提案する許可ルールを承認し、その後、ルールにマッチする将来のアクションをプロンプトなしで許可する。 本研究では、このメカニズムが新たなリスクをもたらすことを示す。信頼できないコンテキストは、承認のために提示された許可に影響を与える可能性がある。 この許可更新プロセスを対象とした特権エスカレーションについて検討する。 具体的には、リポジトリに植えられた敵のコンテキストは、日常的なタスクを実行するエージェントを確実に操り、合理的に正当化されるが、危険なほど広範囲の許容ルールを要求できる。 ユーザがリクエストを承認すると、保存されたルールは効果的にハーネスを無視し、敵が承認を必要とする悪意のあるアクションを実行できるようにする。 Claude CodeやCodex CLIを含むプロダクションプラットフォーム全体で、エージェントが実験インスタンスの58%でターゲットの許容ルールを引き出すことに成功したことを実証しています。 一度取得すると、これらの規則は巨大なセマンティックブラスト半径を示し、カテゴリー固有の能力試験の56.9%をカバーしている。 下流のリスクをさらに定量化するため,58インスタンス中47インスタンス(81.0%)において,ルール承認の条件付きで無声目標達成を実現し,その安全性を損なうことを示す。

関連論文リスト

• When Consent Outlives Context: Residual Authority Replay in Long-Lived Agents [11.872521259936704]
  LLMエージェントは、実行時にセキュリティに敏感なアクションを承認するために、ますますユーザ承認に依存している。 長期的なエージェントでは、承認決定はタスクやセッションにまたがって継続する必要がある。 この継続性は、当初承認を正当化した文脈を超越し、再同意なしに残余の権限を再利用できることが分かりました。
  論文  参考訳（メタデータ） (2026-09-27T20:43:53Z)
• AgentBoundary: Counterfactual Evaluation of Safety in Tool-Using LLM Agents [13.557645845585776]
  大規模な言語モデルの安全性の整合性は、要求に答えるか拒否するかに大きく取り組まれている。 エージェント的設定では、同じモデルが実行中にパーミッションクリティカルな証拠として振る舞うかどうかを判断しなければならない。 AgentBoundは、ツール使用エージェントの安全性のための、最初の4方向の対物生成・評価フレームワークである。
  論文  参考訳（メタデータ） (2026-09-27T15:19:52Z)
• ClashBench: Conflicts Leading Agents to Seize and Harm [90.19875881996693]
  エージェントシステムでは、複数のエージェントセッションが、同じ環境で既存のユーザタスクと並行して実行されるようになっている。 十分な特権が与えられると、エージェントはそれを報告するのではなく、既存のタスクを終了または中断することでリソースの衝突を解決することができる。 この作業は、破壊的なリソースプリエンプションと呼ばれるこの障害モードを特定し、形式化します。
  論文  参考訳（メタデータ） (2026-09-17T08:38:27Z)
• Trust propagation and structural containment in Multi-agent LLM pipelines [0.9274656542624661]
  本研究では,4エージェントLangGraphパイプラインにおける攻撃伝搬について検討する。 検索した文書に埋め込まれた偽書による共有メモリ中毒と間接的プロンプト注入について検討した。 我々の貢献は、攻撃伝播、認証境界のコンポーネントレベルのアブレーション、および最終行動ではなく攻撃エージェントに対する妥協度を測定するJBR(Judgment Bypass Rate)に関する実証的研究である。
  論文  参考訳（メタデータ） (2026-09-15T15:46:01Z)
• Task-Conditioned Least-Privilege Learning for Executable Terminal and MCP Agents [45.88028371034407]
  ツールを使用する大規模言語モデルエージェントは、ユーザが許可しなかったり、タスクが不要であったりする権限を行使しながらタスクを完了することができる。 本研究では,6次元のリスクを伴って各行動が実行前および観測結果から監査される枠組みを提案する。 このフレームワークを1500以上のタスクでQwen3.5-4Bでトレーニングした後、選択された種子は2,896回の評価エピソードで98.48%の安全成功に達した。
  論文  参考訳（メタデータ） (2026-08-18T22:07:23Z)
• Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
  アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。 我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。 我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
  論文  参考訳（メタデータ） (2026-06-22T11:36:58Z)
• CORA: Conformal Risk-Controlled Agents for Safeguarded Mobile GUI Automation [68.53387633351484]
  有害な行為に対する統計的保証を提供するポスト・ポリティクス・プレアクション保護フレームワークであるCORA(Conformal Risk-control GUI Agent)を提案する。 CORAは、安全を選択的行動実行として再定義する:我々は、提案されたステップごとに行動条件リスクを推定するためにガーディアンモデルを訓練する。 このパラダイムを厳格に評価するために、ステップレベルのハーモラベルを持つモバイル安全違反の新しいベンチマークであるPhone-Harmを紹介する。
  論文  参考訳（メタデータ） (2026-04-10T09:41:21Z)
• Before the Tool Call: Deterministic Pre-Action Authorization for Autonomous AI Agents [0.0]
  Open Agent Passport (OAP)は、実行前にツール呼び出しを同期的にインターセプトするオープン仕様とリファレンス実装である。 OAPは、53ms(N=1,000)の中央値で認可決定を強制する セキュリティ制約を強制するのと同じインフラストラクチャでは,品質ゲートや運用契約,コンプライアンスコントロールも実施されている。
  論文  参考訳（メタデータ） (2026-03-21T21:34:09Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。