論文の概要: Compaction Laundering: Provenance Destruction in Context-Compacting Coding Agents

• arxiv url: http://arxiv.org/abs/2610.29869v1
• Date: Wed, 21 Oct 2026 15:24:23 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-23 00:40:06.391024
• Title: Compaction Laundering: Provenance Destruction in Context-Compacting Coding Agents
• Title（参考訳）: 圧縮洗浄:コンテクスト適合型符号化エージェントにおける異常破壊
• Abstract要約: 私たちは、人気のあるオープンソースコーディングエージェントにおいて、このステップが悪用可能な信頼境界であることを示しています。 エージェントが読み取ったものを何でも制御する攻撃者は、真の命令としてコンパクト化に耐えるユーザターンをフォージすることができる。 コードレベルの前処理チェックを計測し、洗浄の77%をキャッチし、合法的な要約コンテンツの2%をデモする。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Coding agents that run long enough must compact their context, summarizing the conversation, discarding the original, and carrying the summary forward as memory. We show that in popular open-source coding agents this step is an exploitable trust boundary. Harnesses that flatten the typed conversation into a single plain string, marking each message with a text label such as [User]:, destroy message provenance in code, before the summarizer runs. An attacker who controls anything the agent reads can forge a user turn that survives compaction as a genuine instruction. Across five flattening harnesses (pi, opencode, Cline, Aider, OpenHands) the forged approval launders into the agent's memory 87-100% of the time, up to a ~908,000-token context window; across four role-typed harnesses (Codex, Gemini CLI, Qwen Code, Continue) the identical attack succeeds 0% of the time. We follow the attack to executed consequences. A laundered standing approval drives real tool-running agents to execute attacker-controlled curl | sh in a sandbox, and end to end in the live pi TUI at ~50% against a 0% paired clean arm. The same channel reliably steers an agent's plan away from a file an attacker designates off-limits, which can blind a code review to a planted backdoor. Because the provenance is destroyed deterministically in harness code, no prompt-level defense can restore it; we measure a code-level provenance check that catches 77% of laundering while demoting 2% of legitimate summary content. The defect also has a straightforward fix at the serializer, escaping the role labels before flattening; the role-typed harnesses avoid it entirely by keeping messages role-typed.
• Abstract（参考訳）: 十分に長く動作するコーディングエージェントは、コンテキストをコンパクト化し、会話を要約し、オリジナルを破棄し、要約をメモリとして転送しなければならない。 私たちは、人気のあるオープンソースコーディングエージェントにおいて、このステップが悪用可能な信頼境界であることを示しています。 型付き会話を1つの平らな文字列に平らにし、[User]:のようなテキストラベルで各メッセージをマークし、要約器が実行される前にコード内のメッセージの出所を破壊する。 エージェントが読み取ったものを何でも制御する攻撃者は、真の命令としてコンパクト化に耐えるユーザターンをフォージすることができる。 5つのフラット化ハーネス(pi、opencode、Cline、Aider、OpenHands)にまたがって、エージェントのメモリに偽の承認洗浄が87-100%の時間、最大で908,000のコンテキストウィンドウ、ロール型ハーネス(Codex、Gemini CLI、Qwen Code、Continue)で同じ攻撃が0%の時間で成功する。 私たちは実行された結果に対する攻撃に従います。 洗浄されたスタンディング承認は、実際のツール実行エージェントを駆動して、サンドボックスでアタッカー制御されたcurl | shを実行し、ライブのpi TUIでは、0%ペアのクリーンアームに対して約50%で終了する。 同じチャンネルは、攻撃者がオフリミットを指定するファイルからエージェントの計画を確実に引き離す。 コードレベルのプロファイランスチェックを計測し、レイダリングの77%をキャッチし、正統な要約コンテンツの2%を復調する。 障害はシリアライザにも直感的な修正があり、フラット化する前にロールラベルをエスケープする。

関連論文リスト

• When Agents Talk: Honeytokens under Shared Memory [0.0]
  2026年のサイバー能力評価では、短命なAIエージェントが共有パッケージリポジトリを永続メモリにしました。 より広範囲な評価は、Hugging Faceへの侵入で頂点に達した。 情報を共有し、信頼されたポリシーを実践できるアタッカーに認識されることなく、ミツバチは信頼できるエージェントに無害になるのか?
  論文  参考訳（メタデータ） (2026-08-11T21:03:19Z)
• MemTX: Transactional Belief Commit for Stateful Agent Memory [11.31806112920862]
  LLMエージェントは、永続的な共有メモリを介してコーディネートする。 現在のエージェントメモリシステムは、受け入れられたすべての書き込みを直ちに実行可能な真実として扱う。 本稿では,MemTXについて述べる。
  論文  参考訳（メタデータ） (2026-07-27T01:57:39Z)
• When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents [55.87577638514179]
  我々は、リモートのブラックボックスが1つのメールペイロードを送信し、エージェントに有毒なメモリを誘導しなければならない、ステルスメモリインジェクションとして脅威を調査する。 我々は,ワンショットペイロード生成フレームワークであるMemGhostを提案する。 56のテストケースで、MemGhostはGPT-5.4でOpenClawで87.5%、Sonnet 4.6でClaude Code SDKで71.4%を達成している。
  論文  参考訳（メタデータ） (2026-07-06T15:08:58Z)
• Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
  アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。 我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。 我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
  論文  参考訳（メタデータ） (2026-06-22T11:36:58Z)
• From Prompt Injection to Persistent Control: Defending Agentic Harness Against Trojan Backdoors [89.92617739143846]
  ローカルエージェントハーネスにおけるマルチステップトロイの木馬攻撃を識別するベンチマークであるClawTrojanを紹介する。 そこで我々は,DASGuardを提案する。DASGuardは,コントロールライクなテキストをセンシティブなローカルファイルでスキャンし,その起源を辿り,信頼されたソースから派生しないコントロールコンテンツを除去する。 この結果から, DASGuardは, 実行時の攻撃ブロックと作業空間への衛生的コミットを組み合わせることで, 強力な動的防御を実現することがわかった。
  論文  参考訳（メタデータ） (2026-05-29T09:19:07Z)
• The Misattribution Gap: When Memory Poisoning Looks Like Model Failure in Agentic AI Systems [1.0262304700896199]
  EmphSemantic Norm Drift (SND) をエージェント不正行為の第3の経路として定式化する。 SNDでは、ポリシーフォーマットの文書が通常のアップロードを通じて共有ベクターストアに入り、その後、信頼されたシステムコンテキストとして再現れる。 偽合成検査は87.5%の精度と偽陽性のゼロの因果関係を識別する。
  論文  参考訳（メタデータ） (2026-05-12T20:21:47Z)
• When "Correct" Is Not Safe: Can We Trust Functionally Correct Patches Generated by Code Agents? [32.85968956009615]
  コードエージェントは、GitHubなどのプラットフォーム上のバグを自律的に修正することをますます信頼している。 本稿では,実世界のコードエージェントに対する新たなタイプの脅威を明らかにする。 我々は、SOTA LLM(例えば、ChatGPTとClaude)とエージェントの足場(例えば、SWE-agentとOpenHands)がこのFCV脅威に対して脆弱であることを示す。
  論文  参考訳（メタデータ） (2025-10-15T17:16:36Z)
• Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
  自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。 敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
  論文  参考訳（メタデータ） (2025-10-03T12:47:21Z)
• Revisiting Backdoor Attacks on LLMs: A Stealthy and Practical Poisoning Framework via Harmless Inputs [54.90315421117162]
  完全無害データを用いた新しい毒殺法を提案する。 自己回帰型LPMの因果推論に着想を得て,トリガーと肯定的応答プレフィックスの堅牢な関連性を確立することを目指す。 LLMは最初は同意するように見えるが,その後回答を拒む興味深い抵抗現象を観察する。
  論文  参考訳（メタデータ） (2025-05-23T08:13:59Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。