論文の概要: CoSA: The Conflict of Skills Attack in Real-World LLM Agent Ecosystems
- arxiv url: http://arxiv.org/abs/2610.35082v1
- Date: Mon, 26 Oct 2026 09:25:38 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-27 22:27:13.811575
- Title: CoSA: The Conflict of Skills Attack in Real-World LLM Agent Ecosystems
- Title（参考訳）: CoSA: LLMエージェントエコシステムにおけるスキルアタックの衝突
- Abstract要約: Agent Skillsは再利用可能な機能を組み合わせることができるが、個別に各スキルをチェックすることで、作成時にポリシー違反を除外することはできない。
このような失敗をCoS(Conflict of Skills): ある目的のために生成された成果物や評価信号は、新しい用途に必要な制限や認可を保たずに、下流で再利用することができる。
我々は、既存のプールに現地で認められたスキルを付加して、行方不明なビジネスオペレーションを供給している「スキルの衝突(CoSA)」を紹介します。
- 参考スコア（独自算出の注目度）: 28.87472343688988
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Agent Skills allow LLM agents to combine reusable capabilities, but checking each Skill in isolation cannot rule out policy violations when they are composed. We term such failures Conflict of Skills (CoS): artifacts or assessment signals produced for one purpose may be reused downstream without preserving the restrictions or authorization needed for their new use. Using controlled executions of publicly available Skills and matched single-Skill controls, we identify four recurring mechanisms behind CoS. Building on these findings, we introduce the Conflict of Skills Attack (CoSA), which adds locally admitted Skills to an existing pool to supply missing business operations (capability supplementation) or reshape artifact exchange, decision reuse, and target/action bindings (relationship reshaping). CoSA leaves existing Skills and runtime permissions unchanged. To evaluate this threat under autonomous Skill selection, we introduce CoSA-Bench, built from real-world Skills and controlled services, with 288 tasks across recruiting, finance, IT, and business, covering data leakage, unauthorized state modification, and unsafe execution. Across five LLMs and three agent harnesses, additions capped at 5% of each original pool raise the policy-violation rate from 35.02% to 58.45%, an increase of 23.43 percentage points. Trace analysis links compliant-to-violating transitions to cross-Skill dependencies involving the additions. Finally, we develop a lightweight harness-level guard that checks information flow and authorization before consequential actions. On OpenClaw recruiting tasks across five models, the guard reduces violations from 65.28% to 6.67%, while policy-compliant task completion on matched benign controls changes from 66.67% to 65.00%.
- Abstract（参考訳）: Agent Skillsにより、LLMエージェントは再利用可能な機能を組み合わせることができるが、個別に各スキルをチェックすることで、作成時にポリシー違反を除外することはできない。
このような失敗をCoS (Conflict of Skills): ある目的のために生成されたアーティファクトやアセスメント信号は、新しい使用に必要な制限や認可を保たずに、下流で再利用することができる。
公開されているスキルと一致したシングルスキルの制御された実行を用いて、CoSの背後にある4つの繰り返しメカニズムを同定する。
これらの知見に基づいて,既存のプールに,不足した事業活動(能力補充)の供給や,アーティファクト交換,意思決定再利用,ターゲット/アクション結合(リレーショナル・リフォーミング)を行うためのスキル・アタック(CoSA)を導入する。
CoSAは既存のスキルとランタイムの許可をそのまま残している。
自律的なスキル選択の下でこの脅威を評価するために、私たちは、実際のスキルとコントロールされたサービスから構築されたCoSA-Benchを紹介します。
5つのLDMと3つのエージェントハーネスの合計で、各プールの5%に制限された加算は、政策違反率を35.02%から58.45%に引き上げ、23.43ポイントも上昇した。
トレース分析は、追加を含むクロススキル依存関係への準拠から違反への遷移をリンクする。
最後に,逐次動作前に情報の流れと承認をチェックする軽量なハーネスレベルガードを開発する。
OpenClawの5つのモデルにわたる採用タスクでは、ガードは違反を65.28%から6.67%に減らし、マッチした良性制御におけるポリシーに準拠したタスク完了は66.67%から65.00%に減らした。
関連論文リスト
- SEEK: Skill Extraction with Evolving Knowledge against Frontier Science Agents [50.752057664420654]
8つのオープンソースおよびクローズドソースのサイエンスエージェントプラットフォームで、40の保護されたスキルのベンチマークを構築します。
基準ベース, 基準フリー評価において, 直接的, 固定的, 包括的誘導的反復探索を比較した。
我々は,永続記憶における応答由来の証拠を集約し,再利用可能な攻撃スキルを進化させる,ブラックボックスの自己進化型レッドピーキングエージェントであるSEEKを提案する。
論文 参考訳（メタデータ） (2026-10-25T15:19:13Z) - Detecting Insecure Compositions of Clean Agent Skills via Capability-Flow Graph Analysis [33.44200039601178]
AIエージェントは、必要に応じてエージェントを実行するために、各スキルが命令、スクリプト、リソースをカプセル化する、サードパーティのスキルを呼び出すことによって、その能力をますます拡張する。
本稿では,多くの良心的スキルを同時に展開することで,構成的セキュリティリスクがもたらされることを示す。
我々は,スキルを型付き能力流として扱うことにより,安全でないスキル構成を検出するKnotScryerを開発した。
論文 参考訳（メタデータ） (2026-10-23T04:47:10Z) - Evolving Together, Failing Apart: The Skill-Policy Co-evolution Trap in Self-Improving Agents [95.92890289314823]
スキル・ポリティクスの共進化は自己改善エージェントにとって有望なパラダイムである。
現在の評価は、彼らが訓練した最終銀行の政策を左右するものだ。
しかし、デプロイ後、ポリシーモデルの再トレーニングよりも頻繁に、スキルを書き直したり、追加したり、削除したりすることができる。
論文 参考訳（メタデータ） (2026-10-14T19:29:45Z) - CoRedSkill: Stealthy Skill Composition Attacks via AST-Guided Injection [24.65664648193618]
CoRedSkill(コレッドスキル)は、協力するスキルを通じてステルス攻撃を発生させる構成的赤チーム方式である。
我々は50のタスクと3つの攻撃目標をカバーする150のケースのベンチマークを構築し、攻撃成功、タスク完了、監査検出を評価した。
論文 参考訳（メタデータ） (2026-10-14T11:52:03Z) - Chaining Skills to Hijack LLM Agents [13.991514285520788]
LLMエージェントは、特定のタスクのパフォーマンスを改善するためにスキルを使用する。
スキルはオープンソースリポジトリから生まれる可能性があるため、このハンドオフはアタッカーが管理するクレームを後から行うことができる。
本稿では,ユーザタスクやアタッカーが選択したアクションに合わせて,敵のスキルチェーンを構築し,洗練するAPEXを紹介する。
論文 参考訳（メタデータ） (2026-10-01T12:28:49Z) - Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems [79.08507314067253]
スキルカスケード攻撃では、悪意のある目的が複数のスキルに分散され、それぞれの変更が独立して良さそうに見えるが、それらの組み合わせの実行は有害である。
本研究は, コンポーネントレベルの完全性とシステムレベルの安全性のギャップを浮き彫りにし, 個別のスキルではなく, クロススキルの相互作用を理由とする防御を呼び掛けた。
論文 参考訳（メタデータ） (2026-09-24T18:00:18Z) - ClashBench: Conflicts Leading Agents to Seize and Harm [90.19875881996693]
エージェントシステムでは、複数のエージェントセッションが、同じ環境で既存のユーザタスクと並行して実行されるようになっている。
十分な特権が与えられると、エージェントはそれを報告するのではなく、既存のタスクを終了または中断することでリソースの衝突を解決することができる。
この作業は、破壊的なリソースプリエンプションと呼ばれるこの障害モードを特定し、形式化します。
論文 参考訳（メタデータ） (2026-09-17T08:38:27Z) - A Finger on the Scale: Covert Policy Steering through Agentic Skills [42.71897827897363]
再利用可能なエージェントスキルは、タスクプロシージャ、ツールユースガイダンス、出力制約を備えた大きな言語モデル(LLM)エージェントを拡張する。
我々は、その宣言された機能とユーザ認証された目的と整合し続けるために、スキルによるポリシーを必要とするスキルポリシーの整合性を定式化する。
SkillShiftは、明示的なコマンドインジェクションやタスクハイジャックを使わずに、隠蔽ポリシーステアリングのための制約付きブラックボックスフレームワークである。
論文 参考訳（メタデータ） (2026-09-02T13:15:14Z) - Coalition-Aware Skill Reliability for Self-Evolving Agents [49.43736235959317]
エージェントのスキルバンクに蓄積したスキルが、実際にポジティブなメカニスティックな貢献をするかどうかを検討する。
銀行レベルが上昇する連立政権の公害は、負の連立政権レベルのスキル貢献を隠蔽し、クロスドメイン・ユーティリティ・リバーサル(クロスドメイン・リヴァーサル)であり、ソース・ベネシカル・スキルが移転後の効果を逆転させることを示している。
これらの知見は, スキル蓄積時の連帯認識スキル選択と, 移行後のラベルフリースキルマスキングの2つの信頼性介入の動機となった。
論文 参考訳（メタデータ） (2026-08-23T21:35:22Z) - Proteus: A Self-Evolving Red Team for Agent Skill Ecosystems [0.0]
エージェントスキルは実行可能な振る舞いとコンテキスト設定ドキュメンテーションの両方を公開する。
現実的な攻撃者は、監査と実行時のフィードバックを使って、繰り返しスキルを書き直すことができる。
Proteusは形式化された5軸スキルアタックスペースを検索する。
論文 参考訳（メタデータ） (2026-05-12T10:05:54Z) - On-Policy Self-Evolution via Failure Trajectories for Agentic Safety Alignment [54.30690671490447]
既存の安全アライメント信号は、主に応答レベルまたは政治外である。
FATEは、検証済みの失敗を専門家のデモンストレーションなしで修復管理に変換する。
FATEは攻撃成功率を33.5%、有害なコンプライアンスを82.6%削減し、外的軌道安全診断を6.5%改善する。
論文 参考訳（メタデータ） (2026-05-12T09:56:28Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。