論文の概要: Whose Credential Is It? How Owner Attribution in Agent MemoryShapes Cross-User Account Misuse

• arxiv url: http://arxiv.org/abs/2610.25707v1
• Date: Mon, 19 Oct 2026 02:53:51 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-24 12:12:40.1634
• Title: Whose Credential Is It? How Owner Attribution in Agent MemoryShapes Cross-User Account Misuse
• Title（参考訳）: 誰のクレデンシャルか? エージェントのメモリシェイプにおける所有者の属性とユーザ間アカウントの誤用
• Abstract要約: 共有された長期記憶は、エージェントが不注意に他のユーザの認証情報を検索することを可能にする。 このような露光がいつ実際に害をもたらすかは定かではない。 3つのイベントを分離する3段階の監査を導入する。
• 参考スコア（独自算出の注目度）: 21.59758425713419
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Shared long-term memory lets an LLM agent serving one user inadvertently retrieve another user's credentials, but it is unclear when such exposure leads to actual harm. We introduce a three-stage audit that separates three events: a foreign credential reaches the prompt (exposure), the agent acts with it (behavior), and the other user's account changes (state). In AppWorld, a store that mixes 763 past logins from all users retrieves another user's credential for 84.7 percent of required apps, yet agents rarely act on it. Misuse appears in a stress test where memory lacks the user's own credential and presents a single foreign one as the user's record: seven agents then use it in 80 to 94 percent of runs and change the victim's account in up to 43 percent, sometimes passing the official check. Naming the owner before or inside each credential line prevents most of this: with all else fixed, misuse falls from 92 to 1 of 305 paired runs, also with name-free usernames, though owner-bound notes cost 3 to 5 successful tasks per model on clean memory. A wrongly written owner largely restores misuse; trailing owner tags and added safety instructions help only some models. Agent memory should consistently record whose credential it stores, and evaluations should measure behavior, not only exposure.
• Abstract（参考訳）: 共有された長期記憶は、あるユーザの認証情報を不注意に回収するLLMエージェントを許可するが、そのような露出が実際の害をもたらすかどうかは不明である。 本稿では,3つの事象を分離する3段階の監査手法を提案する。外国の資格証明書がプロンプト(露出)に達すると,エージェントがそれで行動し(行動)、他のユーザのアカウント変更(状態)を行う。 AppWorldでは、すべてのユーザから733回のログインを混合したストアが、必要なアプリの84.7%で別のユーザの認証を取得するが、エージェントがそれを実行することは滅多にない。 7人のエージェントが80～94%のランニングで使用し、被害者のアカウントを最大43%変更し、時には公式チェックに合格する。 各クレデンシャルラインの前後で所有者を命名することは、これらの大部分を防ぐ: 固定された他のすべての場合において、不正使用は、名前のないユーザ名でも92から1まで減少するが、オーナーバウンドノートはクリーンメモリ上で1モデル当たり3から5のタスクを成功させる。 不正に書かれた所有者は、主に誤用を回復し、所有者タグを追尾し、安全指示を追加することで、いくつかのモデルにしか役に立たない。 エージェントメモリは、どのクレデンシャルを格納するかを一貫して記録し、評価は露光だけでなく行動を測定するべきである。

関連論文リスト

• Stale, Misattributed, or Late: Where Personal Memory Fails Before Generation [1.2891210250935148]
  時間的妥当性は、主に私たちの設定におけるメモリ構築の特性である。 失敗したマージは古い値をアクティブに残し、偽マージは静かに現在の値を削除します。 2つの凍結ランゲージモデルが生成したテキストでプロンプトエラーを再現する。
  論文  参考訳（メタデータ） (2026-10-07T15:37:12Z)
• A Trust Layer for Agent Evaluation [0.0]
  エージェント評価のための信頼層(Trust Layer for Agent Evaluation)は、各スコアの横に、それを信じるべきかを報告します。 結果がベンチマーク自身のグレーディングロジックによってサポートされているかどうか、パス回答がトレーサブルによって得られたかどうか、エージェントの完了クレームが何が起きたかに一致しているか、そして繰り返し実行時に結果が安定であるかどうか、の4つの特性を検証する。
  論文  参考訳（メタデータ） (2026-10-05T19:15:37Z)
• Where the Evidence Lives: Auditing AI Companions' Self-Descriptions [0.0]
  本研究では,エージェントの自己記述をユーザの判断と実装記録に対して設定する監査手順を実証する。 記憶保持エージェントは、自己記述が確立できないことを報告すべきである。
  論文  参考訳（メタデータ） (2026-09-30T01:37:59Z)
• UserProxyBench: Evaluating LLM User Simulators for Agent Benchmarks and Training [0.3757813713418657]
  現在のベンチマークはエージェントのみをスコアし、ユーザが割り当てられたロールを正しく実行したかどうかを直接測定しない。 本稿では,tau-benchファミリ上の評価層であるUser ProxyBenchと,ベンチマークのプライベートユーザ命令への準拠性を測定するUser Fidelity Score(UFS)を紹介する。 GPT-5.5で固定されたエージェントを保持し、375のエンタープライズタスクにまたがるユーザプロキシだけを変更すると、タスク報酬の平均15.2ポイントが変更され、成功エピソードの24.4%がユーザ特定違反を含んでいることがわかった。
  論文  参考訳（メタデータ） (2026-09-29T17:17:24Z)
• MemSecBench: Tracking Agent Memory Poisoning from Persistence to Consequence and Repair [11.307480451677145]
  メモリシステムは、エージェントが過去のインタラクションから情報を保持、再利用することを可能にするが、悪意のあるコンテンツを持続させることもできる。 最近のベンチマークでは、エージェントメモリのセキュリティがますます調査されているが、永続性、下流の結果、選択的な修復など、同じ悪意のあるセマンティクスをトレースするケースはほとんどない。 MemSecBenchはエージェントメモリシステムのライフサイクルセキュリティのベンチマークである。
  論文  参考訳（メタデータ） (2026-07-29T16:06:54Z)
• MEMPROBE: Probing Long-Term Agent Memory via Hidden User-State Recovery [58.64329475683699]
  我々は、長期記憶は監査可能な相互作用後のアーティファクトとして評価されるべきであると主張している。 我々は、メモリを備えたエージェントがシミュレーションユーザを支援するベンチマークであるMEMPROBEで、このビューをインスタンス化する。 私たちは、成功したアシストと回復可能なメモリが、異なる機能として振る舞うことに気付きました。
  論文  参考訳（メタデータ） (2026-06-23T13:52:46Z)
• Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
  アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。 我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。 我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
  論文  参考訳（メタデータ） (2026-06-22T11:36:58Z)
• Getting Better at Working With You: Compiling User Corrections into Runtime Enforcement for Coding Agents [99.67681154381803]
  Test-time Rule Acquisition and Compiled Enforcement (TRACE)は、コーディングエージェントランタイムのためのスキル層パイプラインである。 開発者が事前に記述した実行時チェックとは異なり、TRACEスキルはユーザのチャット修正に由来する。
  論文  参考訳（メタデータ） (2026-06-11T10:43:40Z)
• Stateful Online Monitoring Catches Distributed Agent Attacks [63.00394432922707]
  我々は、リアルタイムクラスタリングを用いて、多くのエージェントの転写にまたがる弱い疑わしい信号を収集するオンラインステートフルモニターを開発した。 本研究の結果は,孤立したテキストではなく,ユーザグループを優先する,新たな安全モニタのクラスに向けられたものである。
  論文  参考訳（メタデータ） (2026-05-29T17:57:00Z)
• Do Phone-Use Agents Respect Your Privacy? [97.81424230136075]
  我々は,モバイルエージェントのプライバシ行動を評価するための検証可能なフレームワークであるMyPhoneBenchを紹介する。 プライバシを無視する電話を、最小限のプライバシ契約によって許可されたアクセス、最小限の開示、およびユーザ制御メモリとして運用する。 10のモバイルアプリと300のタスクで5つのフロンティアモデルにまたがって、タスクの成功、プライバシに準拠したタスク補完、保存された好みの後での利用が、それぞれ異なる機能であることに気付きました。
  論文  参考訳（メタデータ） (2026-04-01T14:50:50Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。