論文の概要: Agentic AI Defense: Decode-Time Provenance Binding for MCP

• arxiv url: http://arxiv.org/abs/2610.31974v1
• Date: Thu, 22 Oct 2026 22:27:13 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-27 01:38:06.306184
• Title: Agentic AI Defense: Decode-Time Provenance Binding for MCP
• Title（参考訳）: Agentic AI Defense - MCPのためのデコード時間プロバンスバインディング
• Abstract要約: エージェントAIシステムは、信頼できないツール出力による間接的なインジェクションに対して脆弱である。 我々は,HMAC認証された信頼ラベルとMPP管理されたプロファイランス台帳とコンテキストテナントトラッキングを組み合わせたデコード時プロファイランスバインディングを提案する。 3つのステガノグラフィーキャリアと24個の適応ペイロードを用いた実MPPテストベッドによるアプローチの評価を行った。
• 参考スコア（独自算出の注目度）: 2.6457906260331807
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Agentic AI systems using the Model Context Protocol (MCP) are vulnerable to indirect prompt injection through untrusted tool outputs. We demonstrate cross-modal trust laundering, in which instructions concealed in an email-signature image using least-significant-bit (LSB), discrete cosine transform (DCT), or metadata steganography bypass text scanners and enter a multi-agent workflow when decoded by a tool. To counter this threat, we propose decode-time provenance binding, which combines HMAC-authenticated trust labels with an MCP-maintained provenance ledger and context-taint tracking. The mechanism labels decoded content as untrusted and blocks critical tool calls influenced by that content, even when a compromised agent substitutes a valid trusted label. We evaluate the approach using a real MCP testbed with three steganographic carriers and 24 adaptive payloads. The undefended pipeline exhibits 100% attack success, while keyword and regex defenses each permit 62.5% of attacks. Our mechanism blocks all attacks (0% success), including adversarial label substitution across mediated agent boundaries. A four-component ablation validates the roles of decode marking, cryptographic authentication, lineage tracking, and sink enforcement. An audited trusted-promotion mechanism increases legitimate-task completion from 67% to 100% without compromising protection. The approach provides carrier-independent containment within fully mediated MCP execution environments. Code and data are publicly available.
• Abstract（参考訳）: Model Context Protocol (MCP) を用いたエージェントAIシステムは、信頼できないツール出力を間接的にインジェクションするために脆弱である。 我々は、最小符号ビット(LSB)、離散コサイン変換(DCT)、あるいはテキストスキャナをバイパスするメタデータステガノグラフィーを用いて、メール署名画像に隠された命令を、ツールでデコードされたときにマルチエージェントワークフローに入力するクロスモーダル信頼洗浄を実証する。 この脅威に対処するために、HMAC認証された信頼ラベルとMPP管理された保証台帳とコンテキストテナントトラッキングを組み合わせたデコード時プロファイナンスバインディングを提案する。 このメカニズムは、デコードされたコンテンツを信頼できないものとしてラベル付けし、そのコンテンツに影響された重要なツールコールをブロックする。 3つのステガノグラフィーキャリアと24個の適応ペイロードを用いた実MPPテストベッドによるアプローチの評価を行った。 無防備なパイプラインは100%の攻撃成功を示し、キーワードとregexディフェンスはそれぞれ62.5%の攻撃を許している。 我々のメカニズムは、仲介されたエージェントの境界を越えて、敵のラベル置換を含む全ての攻撃(0%の成功)をブロックする。 4成分のアブレーションは、デコードマーキング、暗号化認証、系統追跡、シンク執行の役割を検証する。 監査された信頼促進機構は、保護を損なうことなく、合法的なタスク完了を67%から100%に向上させる。 このアプローチは、完全に仲介されたMPP実行環境内で、キャリア非依存の封じ込めを提供する。 コードとデータは公開されている。

関連論文リスト

• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• The Granularity Mismatch in Agent Security: Argument-Level Provenance Solves Enforcement and Isolates the LLM Reasoning Bottleneck [18.14752683836217]
  textscPACTは、ツール引数にセマンティックロールを割り当てるランタイムモニタである。 textscPACTはエージェントセキュリティを権限バインディングとして再設定する。
  論文  参考訳（メタデータ） (2026-05-11T04:09:11Z)
• When Agents Handle Secrets: A Survey of Confidential Computing for Agentic AI [6.1511441479993225]
  ツールを計画し、実行し、永続的なメモリを保持し、タスクをピアエージェントに委譲するエージェントAIシステムは、スタンドアロンのモデル推論と実質的に異なる脅威表面を導入する。 Trusted Execution Environments (TEEs)は、エージェントコードとデータを特権システムソフトウェアから分離する。 本調査は, 設計空間を, (i) 展開の役割と業績のトレードオフをカバーする6つのTEEプラットフォームの統合分類, (ii) 認知,計画,記憶,行動,調整層を対象とするエージェント中心の脅威モデル, (iii) CCの比較調査の4つの部分で要約する。
  論文  参考訳（メタデータ） (2026-05-04T23:09:16Z)
• ShieldNet: Network-Level Guardrails against Emerging Supply-Chain Injections in Agentic Systems [56.613157564882925]
  悪意のある行動は、一見良心的なツールに埋め込まれ、エージェントの実行を静かにハイジャックしたり、機密データをリークしたり、無許可のアクションをトリガーしたりする。 影響は拡大しているが、このような脅威を評価するための包括的なベンチマークは今のところ存在しない。 実ネットワークの相互作用を観測してサプライチェーン中毒を検出するネットワークレベルのガードレールフレームワークであるShieldNetを提案する。
  論文  参考訳（メタデータ） (2026-04-06T05:15:00Z)
• MCPShield: A Security Cognition Layer for Adaptive Trust Calibration in Model Context Protocol Agents [39.267334469481916]
  我々は,MPPベースのツールを呼び出す際に,エージェントのセキュリティを保証するプラグインセキュリティ認知層としてMPPShieldを提案する。 我々の研究は、オープンエージェントエコシステムにおけるMPPベースのツール呼び出しに対して、実用的で堅牢なセキュリティ保護を提供します。
  論文  参考訳（メタデータ） (2026-02-15T19:10:00Z)
• Securing the Model Context Protocol (MCP): Risks, Controls, and Governance [1.4072883206858737]
  我々は、MPPの柔軟性を生かした3種類の敵に焦点を当てる。 早期のインシデントと概念実証攻撃に基づいて,MPPが攻撃面を増加させる方法について述べる。 本稿では,ユーザ単位の認証とスコープ認証を含む,一連の実用的な制御を提案する。
  論文  参考訳（メタデータ） (2025-11-25T23:24:26Z)
• Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
  自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。 敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
  論文  参考訳（メタデータ） (2025-10-03T12:47:21Z)
• BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks [58.959622170433725]
  BlindGuardは、攻撃固有のラベルや悪意のある振る舞いに関する事前の知識を必要とせずに学習する、教師なしの防御方法である。 BlindGuardはマルチエージェントシステムにまたがる多様な攻撃タイプ(即時注入、メモリ中毒、ツール攻撃)を効果的に検出する。
  論文  参考訳（メタデータ） (2025-08-11T16:04:47Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。