論文の概要: The Window Is in the Reasoning: When LLM Agents Decide to Follow Prompt Injections

• arxiv url: http://arxiv.org/abs/2610.24048v1
• Date: Fri, 16 Oct 2026 16:10:56 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-26 11:21:59.161106
• Title: The Window Is in the Reasoning: When LLM Agents Decide to Follow Prompt Injections
• Title（参考訳）: LLMエージェントがプロンプトインジェクションをフォローする時
• Abstract要約: 信頼できないコンテンツを読むLLMエージェントは、即発注射によってハイジャックされる。 エージェントが動作する前にハイジャックをキャッチしようとするモニターと、各タスクをひとつの実行でスコア付けするベンチマークは、仮定を共有します。 我々は、この仮定を、エージェントがインジェクションを読み取るステップまで正確にエピソードを再生する分岐ロールアウトでテストし、残りのエピソードを何度も再サンプリングする。
• 参考スコア（独自算出の注目度）: 19.285388233839097
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: LLM agents that read untrusted content can be hijacked by prompt injections. Runtime monitors that try to catch a hijack before the agent acts, and benchmarks that score each task with a single run, share an assumption: whether an agent follows an injection is settled when the injection is read. We test this assumption with branching rollouts that replay an episode exactly up to the step at which the agent reads an injection and then resample the rest of the episode many times, splitting the outcome variance into a part fixed at read time and a part decided afterwards. Across four AgentDojo suites, a Qwen3 agent without thinking is largely decided at read time (0.91 of the outcome variance lies between states); with thinking on, this share drops to 0.62 (95% CI of the drop [-0.38, -0.22]), in the same direction for three attack templates and two success labels. How much is fixed at read time is a property of the model that the same measurement reveals, and thinking lowers the attack success rate of Qwen3 but raises it for two other models. Resampling from reasoning prefixes shows that the decision forms gradually as the agent reasons. Zero-shot chain-of-thought monitors built on cheaper models miss much of what is already decided, whereas stronger monitors, and a lookahead monitor that judges simulated next actions, come close to what the prefix determines. Finally, single-run labels of thinking agents disagree with a rerun up to 35% of the time, so benchmarks need repeated runs per task.
• Abstract（参考訳）: 信頼できないコンテンツを読むLLMエージェントは、即発注射によってハイジャックされる。 エージェントが動作する前にハイジャックをキャッチしようとするランタイムモニタと、各タスクをひとつの実行でスコア付けするベンチマークは、仮定を共有している。 この仮定は、エージェントがインジェクションを読み取るステップまで正確にエピソードを再生する分岐ロールアウトを用いてテストし、残りのエピソードを何度も再サンプリングし、結果のばらつきを読み取り時に固定された部分とその後決定された部分に分割する。 4つのAgentDojoスイート全体では、思考せずにQwen3エージェントが読み取り時に決定される(状態間の結果のばらつきの0.91)。 読み取り時にどれだけ固定されているかは、同じ測定結果が示すモデルの特性であり、思考はQwen3の攻撃成功率を低くするが、他の2つのモデルでそれを上げる。 推論プレフィックスからの再サンプリングは、決定がエージェントの理由として徐々に形成されることを示している。 より強力なモニター、そして次のアクションをシミュレートするルックアヘッドモニターは、プレフィックスが決定するものに近い。 最後に、シンキングエージェントの単一実行ラベルは、最大35%の時間の再実行に同意しないので、ベンチマークはタスク毎に繰り返し実行する必要がある。

関連論文リスト

• Kairos: Transactional Security Enforcement at the System Boundary for LLM Agents [10.493000314031077]
  大規模言語モデル(LLM)エージェントは、ソフトウェア開発ライフサイクルの不可欠な部分になりつつある。 修正されていない不透明なエージェントの分離境界における参照モニタであるKairosを提示する。 どの情報源が信頼されているかを記述する宣言的政策は、ほとんどの効果を決定論的に決定し、残りを無視し、エージェントが投機的に継続する間に保持される。
  論文  参考訳（メタデータ） (2026-10-13T14:24:26Z)
• Agents Are Systems, Not Models: Rethinking Agentic Evaluation [80.87068485535677]
  エージェントの構成の5つの部分(タスク情報、推論、自己検証、時間予算、バックボーンモデル)について検討する。 結果の約54%は、変更ではなく、同じ構成を繰り返すことによるものです。 ベンチマークと18,000以上のエージェントトラジェクトリをリリースする。
  論文  参考訳（メタデータ） (2026-10-01T12:55:07Z)
• Does This Action Still Explain the Task? Reverse Scoring for Diffusion Language Model Agents [25.947103954467874]
  拡散ベースの大規模言語モデル(dLLM)は、並列デコーディングを通じて自動回帰エージェントのシーケンシャル遅延ボトルネックを壊すことを約束する。 最近の評価では、この効率はエンボディード・エージェント・コンピテンスに移行しない。 我々は、この失敗とトレーニングなしの治療法について、機械学的に説明します。
  論文  参考訳（メタデータ） (2026-09-29T20:54:04Z)
• Will the User Ever Know? Covert Indirect Prompt Injection Attacks on Tool-Using LLM Agents [13.14142411989141]
  アタック成功率(ASR)は、インジェクションが成功するかどうかをカウントするが、エージェントの最終応答でユーザが気付くものを無視する。 エージェントは通常の応答を返しながらインジェクションを実行するか、最終応答でインジェクションされたアクションを報告する。 ICoAはインジェクションの実行後にエージェントをユーザタスクに戻して隠蔽結果を誘導するIPI攻撃である。
  論文  参考訳（メタデータ） (2026-08-31T07:20:45Z)
• Perception, Verdict, and Evolution: Hindsight-Driven Self-Refining Forensics Agent for AI-Generated Image Detection [80.15317858033534]
  ForeAgentは、反復的な自己進化を伴うAI生成画像検出のためのエージェント法医学フレームワークである。 ForeAgentはChameleonベンチマークで最先端のパフォーマンスを達成し、精度は82.18%に達した。 ForeAgent は GPT-5 や GPT-5-mini と比較して、より一貫性があり、因果的な推論をもたらす。
  論文  参考訳（メタデータ） (2026-06-25T02:59:33Z)
• When Agents Commit Too Soon: Diagnosing Premature Commitment in LLM Agents [0.0]
  長い答えのLSMエージェントは静かに失敗する可能性があり、彼らは証拠を早期に読み上げ、残りの期間をその証拠を守るのに費やした。 我々は、表現的コミットメントを、固定された推論ステップにおいて、クロスランな隠れ状態収束として定義する。 ランタイムモニタは、AUROCの隠れ状態から0.97までの不整合軌道を検出する(より厳密なスプリットの下で0.85-0.88)。
  論文  参考訳（メタデータ） (2026-06-22T07:13:13Z)
• AgentArk: Distilling Multi-Agent Intelligence into a Single LLM Agent [57.10083973844841]
  AgentArkは、マルチエージェントダイナミクスを単一のモデルの重みに蒸留する新しいフレームワークである。 各種モデル,タスク,スケーリング,シナリオの3つの階層的蒸留戦略について検討する。 シミュレーションからトレーニングへ計算の負担をシフトさせることで、蒸留されたモデルは、複数のエージェントの強い推論と自己補正性能を示しながら、一つのエージェントの効率を保ちます。
  論文  参考訳（メタデータ） (2026-02-03T19:18:28Z)
• Dissecting Adversarial Robustness of Multimodal LM Agents [70.2077308846307]
  我々は、VisualWebArena上に現実的な脅威モデルを用いて、200の敵タスクと評価スクリプトを手動で作成する。 我々は,クロボックスフロンティアLMを用いた最新のエージェントを,リフレクションやツリーサーチを行うエージェントを含む,壊すことに成功している。 AREを使用して、新しいコンポーネントの追加に伴うロバスト性の変化を厳格に評価しています。
  論文  参考訳（メタデータ） (2024-06-18T17:32:48Z)
• Malicious Agent Detection for Robust Multi-Agent Collaborative Perception [52.261231738242266]
  多エージェント協調(MAC)知覚は、単エージェント認識よりも敵攻撃に対して脆弱である。 MAC知覚に特異的な反応防御であるMADE(Malicious Agent Detection)を提案する。 我々は、ベンチマーク3DデータセットV2X-simとリアルタイムデータセットDAIR-V2Xで包括的な評価を行う。
  論文  参考訳（メタデータ） (2023-10-18T11:36:42Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。