論文の概要: Scope-Gap Injection: Exploiting Evaluator Channel Blind Spots in the OpenClaw Agent Security Competition

• arxiv url: http://arxiv.org/abs/2610.34777v1
• Date: Mon, 26 Oct 2026 03:24:52 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-27 22:27:13.717768
• Title: Scope-Gap Injection: Exploiting Evaluator Channel Blind Spots in the OpenClaw Agent Security Competition
• Title（参考訳）: スコープギャップ注入:OpenClawエージェントセキュリティコンペティションにおける評価チャネルブラインドスポットの爆発
• Abstract要約: 本稿では,多段LLMエージェント安全パイプラインの間接的プロンプトインジェクション法であるScope-Gap Injection (SGI)を紹介する。 IJCAI2026 OpenClaw Agent Security Attack Competitionでは、各攻撃パッケージを静的スキルスキャン(S1)、タスクとスキル定義に対するLLM-judgeセーフチェック(S2)、ライブ実行監査(S3)により判定する。 S2は,S3中にエージェントがアタッチメントを読み取るのに対して,アタッチメント内容を検査することなく,タスク命令とスキル定義を検査するように見える。
• 参考スコア（独自算出の注目度）: 0.4779196219827507
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: This paper introduces Scope-Gap Injection (SGI), an indirect prompt injection method for multi-stage LLM-agent safety pipelines. In the IJCAI 2026 OpenClaw Agent Security Attack Competition, each attack package is judged by a static skill scan (S1), an LLM-judge safety check over the task and skill definition (S2), and a live execution audit (S3). Our observations suggest a scope gap: S2 appears to inspect the task instruction and skill definition without inspecting attachment contents, while the agent reads attachments during S3. SGI keeps the visible task and skill benign, while target identifiers, bypass parameters, and authorization procedures are moved into an attachment written as a business worklist. The S2 judge therefore sees a harmless task, while the agent follows the hidden worklist and triggers the permission bypass. In OpenClaw, SGI bypassed all three stages for 5 of 19 targets. The highest-scoring single submission achieved $F = 0.385$. Across the submission campaign, attachment placement was associated with higher aggregate S2 acceptance than in-skill placement: 78% versus 23%. We close with defenses that align evaluator scope with the channels available to the agent.
• Abstract（参考訳）: 本稿では,多段LLMエージェント安全パイプラインの間接的プロンプトインジェクション法であるScope-Gap Injection (SGI)を紹介する。 IJCAI2026 OpenClaw Agent Security Attack Competitionでは、各攻撃パッケージを静的スキルスキャン(S1)、タスク及びスキル定義に対するLLM-judgeセーフチェック(S2)、ライブ実行監査(S3)により判定する。 S2は,S3中にエージェントがアタッチメントを読み取るのに対して,アタッチメント内容を検査することなく,タスク命令とスキル定義を検査するように見える。 SGIは目に見えるタスクとスキルの良性を維持し、ターゲット識別子、バイパスパラメータ、認可手順はビジネスワークリストとして書かれたアタッチメントに移動される。 したがって、S2判事は無害なタスクを見なし、エージェントは隠れたワークリストに従い、パーミッションバイパスをトリガーする。 OpenClawでは、SGIは19のターゲットのうち5つのステージをバイパスした。 最高スコアのシングル・サブミッションは$F = 0.385$となった。 提出キャンペーン全体では,アタッチメント配置とS2のアタッチメントのアタッチメントのアタッチメントはスキルのアタッチメントよりも高く,78%対23%であった。 我々は、評価対象のスコープとエージェントが利用可能なチャネルとを一致させるディフェンスに近づきます。

関連論文リスト

• From A2A Attacks to Envelope-Layer Defense: Red-Teaming Evaluation of LLM Agents and a Three-Layer Isomorphic Attack-Defense Model [0.0]
  A2A-TIBAは間接的なプロンプト注入とバイパス回避を組み合わせた攻撃原理である。 そこで本研究では,ASRを意味的拒絶率,意味的侵害率,インターセプション率,侵入率に拡張する4つの攻撃結果を提案する。 実験では、悪意のあるコンテンツがエージェントに入るチャネルであるエンベロープ層を、新たな防衛次元として明らかにした。
  論文  参考訳（メタデータ） (2026-09-30T11:19:12Z)
• ActionGuard: Tool Call Authorization under Poisoned Skills [3.079885946230075]
  悪意のあるスキルに挿入された悪意のある命令は、危険なツールコールをトリガーする良心的なユーザリクエストを引き起こす可能性がある。 本稿では,実行直前にスキル影響ツールコールを検査するActionGuardを提案する。
  論文  参考訳（メタデータ） (2026-09-30T10:23:57Z)
• SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
  コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。 操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。 SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
  論文  参考訳（メタデータ） (2026-08-31T03:39:43Z)
• StepGuard: Learning Step-Level Guardrails with Scalable Supervision and Safety-Utility Balancing [80.39644823192113]
  StepGuardは、完了したエージェントの軌跡を監査し、実行前にツールアクションをチェックするステップレベルのガードモデルである。 StepGuardは、GPT-5.4に匹敵するパフォーマンスで、オープンウェイトガードモデルの中で最高の平均精度を達成した。 AgentDojoとAgentDynのエージェントを保護するために使用される場合、StepGuardは平均攻撃成功率を77.3%削減する。
  論文  参考訳（メタデータ） (2026-08-25T16:17:27Z)
• ClawSentry: A Progressive Multi-Tier Security Monitor for Safeguarding Autonomous LLM Agents [24.540638169054812]
  悪意のあるサードパーティのスキルにハイジャックされた単一のエージェントは、データの流出、特権のエスカレーション、カスケード妥協を引き起こす可能性がある。 我々は、エージェントランタイムのためのオープンソースのフレームワークに依存しないセキュリティ監視ゲートウェイであるClawSentryを紹介する。
  論文  参考訳（メタデータ） (2026-08-21T13:47:51Z)
• Beyond Attack-Success Rate: Action-Graded Severity Scale for Tool-Using AI Agents [0.0]
  エージェントのレッドチームベンチマークは、インジェクトされたエージェントが単一ビットとして侵入されたかどうかを報告している。 このバイナリ・アタック・サクセス・レートは、ディフェンダーが最も必要とする情報、すなわち、結果として生じるアクションがどれほど有害であるかを破棄する。 本研究では,7段階の順序尺度(L0〜L6)でエージェントのツールコール軌跡をスコアし,実行された動作が可逆性であったか,他者への到達範囲を超えたか,特権を拡大したかに応じて,アクショングレード調和ルーリックを導入する。
  論文  参考訳（メタデータ） (2026-07-08T14:38:01Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• ASPI: Seeking Ambiguity Clarification Amplifies Prompt Injection Vulnerability in LLM Agents [2.585367539248893]
  我々は,標準実行から明確化検索状態への遷移が,インジェクション攻撃に対するエージェントの感受性を高めるかどうかを検討する。 728のタスクアタックシナリオのベンチマークであるASPIを導入し、明確なエージェント状態として明確化を分離する。 明確化の探究は一貫して、脆弱性を大幅に増幅する。
  論文  参考訳（メタデータ） (2026-05-17T08:30:45Z)
• GuardAgent: Safeguard LLM Agents by a Guard Agent via Knowledge-Enabled Reasoning [79.07152553060601]
  安全ガード要求を満たすか否かを動的に確認し,目標エージェントを保護する最初のガードレールエージェントであるガードアジェントを提案する。 特にGuardAgentは、まず安全ガードの要求を分析してタスクプランを生成し、それからその計画をガードレールコードにマップして実行します。 GuardAgentは、それぞれ98%と83%のガードレール精度を持つ2つのベンチマークにおいて、異なる種類のエージェントに対する違反行為を効果的に抑制することを示した。
  論文  参考訳（メタデータ） (2024-06-13T14:49:26Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。