論文の概要: Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol
- arxiv url: http://arxiv.org/abs/2610.36108v1
- Date: Mon, 26 Oct 2026 18:20:24 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-28 21:04:31.399531
- Title: Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol
- Title（参考訳）: Log-to-Leak: Model Context Protocol を用いたツール利用 LLM エージェントへのプロンプトインジェクション攻撃
- Abstract要約: LLM エージェントは Model Context Protocol (MCP) を通じて外部ツールにアクセスしやすくなっている。
Log-To-Leak(ログ・トゥ・リーク)は、最後の正当な呼び出しの後、個別のアタッカーが制御する呼び出しを誘導するポストホックロギング攻撃である。
5つのMPPサーバと4つのLCMエージェントを,有効性,有用性,効率性にまたがる5つの指標を用いて評価した。
- 参考スコア（独自算出の注目度）: 7.073753197587707
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: LLM agents increasingly access external tools through the Model Context Protocol (MCP), but the natural-language metadata used to describe those tools creates a prompt-injection surface. Within this established tool-poisoning surface, we study Log-To-Leak, an additive post-hoc logging attack that induces a separate attacker-controlled call after the final legitimate call. Its payload targets the user query, MCP server name, server response, and agent response. We operationalize the injected directive through Trigger, Tool Binding, Justification, and Pressure, and separately measure call success, payload fidelity, and preservation of legitimate behavior. We evaluate five MCP servers and four LLM agents using five metrics spanning effectiveness, utility, and efficiency. Across 18 model-server pairs with valid tool execution, Log-To-Leak achieves an attack success rate (ASR) of 62.64-100% and conditional logging accuracy (LA) of 76.55-95.64%; 16 pairs have absolute target-task completion changes of at most 6.63 percentage points. Three evaluated defenses leave residual ASR above 55% on GitHub MCP with GPT-4o, while an instruction detector flags 85.53% of benign descriptions. These results show that successful task completion can coexist with unauthorized post-hoc disclosure and motivate host-controlled authorization for secondary tool calls.
- Abstract（参考訳）: LLMエージェントは、モデルコンテキストプロトコル(MCP)を通じて外部ツールにアクセスしやすくするが、これらのツールを記述するために使用される自然言語メタデータは、プロンプトインジェクションサーフェスを生成する。
この確立したツールポゾンサーフェス内では、最終正当性呼び出し後に別のアタッカー制御コールを誘導する追加のポストホックロギング攻撃であるLog-To-Leakについて検討する。
ペイロードはユーザクエリ、MPPサーバ名、サーバ応答、エージェント応答をターゲットとしている。
Trigger, Tool Binding, Justification, and Pressureによるインジェクティブを運用し, コール成功, ペイロード忠実度, 正当な動作の保存を別々に測定する。
5つのMPPサーバと4つのLCMエージェントを,有効性,有用性,効率性にまたがる5つの指標を用いて評価した。
有効なツール実行を伴う18のモデルサーバ対のうち、Log-To-Leakは62.64-100%の攻撃成功率(ASR)と76.55-95.64%の条件付きロギング精度(LA)を達成した。
3つの評価された防御は、GPT-4oでGitHub MCPで55%以上の残留ASRを残し、命令検出器は85.53%の良心的な記述をフラグ付けする。
これらの結果から, タスク完了が未承認のポストホック開示と共存し, セカンダリツールコールのホスト制御による認証を動機付ける可能性が示唆された。
関連論文リスト
- ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - Joint Optimization of Tool Creation and Use for Large Language Model Agents [69.07066297088187]
SMITH (-grounded Multi-task Iterative Tool Honing) は、単一のポリシー内でツールの作成とツールの使用を訓練する。
SMITHで訓練された4B Qwen3は、正確に検証された13の手続き的推論タスクで、保持されたタスクで平均79.8のマクロ平均精度に達する。
また、TabMWP-Hardでは40.4、ドメイン外のGQAでは42.6に到達している。
論文 参考訳（メタデータ） (2026-08-25T13:59:34Z) - TraceGrant: A Contract-Governed Security Framework for the Task-Effect Lifecycle of Networked LLM Agents [7.080139152914316]
本稿では,ネットワーク化されたLLMエージェントのタスク・エフェクト・ライフサイクルを管理するセキュリティ・フレームワークであるTraceGrantを紹介する。
実行前にTraceGrantは、信頼されたユーザリクエストからタスク・エフェクト境界を確立する。
実行中、承認された証拠は、契約によって既に確立された権限のみをインスタンス化することができる。
実行後、実際のツール結果に対してタスク完了が検証される。
論文 参考訳（メタデータ） (2026-08-21T14:05:42Z) - AgentCheck: A Reproduce-Intervene-Mitigate Workbench for LLM Agents over MCP [0.0]
AgentCheckは、実際のツールに対してエージェントを実行し、すべてのツール応答を記録し、その後、障害(12タイプ)インジェクタによって妨害されたレスポンスでエージェントを再実行します。
マッチングツールコールはキャッシュからリプレイされ、その後、エージェントが分岐した後にツールコールがライブになる。
開発者は緩和をトグルし、同じ障害に対して再実行し、障害が消滅するかどうかを確認する。
論文 参考訳（メタデータ） (2026-07-13T05:14:12Z) - T-MAP: Red-Teaming LLM Agents with Trajectory-aware Evolutionary Search [49.99459363244884]
提案手法は, 対向的プロンプトの発見を導くために, 実行トラジェクトリを利用するトラジェクトリ対応の進化探索手法であるT-MAPを提案する。
本手法は,安全ガードレールをバイパスするだけでなく,実際のツールインタラクションによる有害な目標を確実に実現するための攻撃の自動生成を可能にする。
論文 参考訳（メタデータ） (2026-03-21T12:33:34Z) - AgentSentry: Mitigating Indirect Prompt Injection in LLM Agents via Temporal Causal Diagnostics and Context Purification [25.817251923574286]
大規模言語モデル(LLM)エージェントのための新しい推論時間検出・緩和フレームワークを提案する。
AgentSentryは、時間的因果的テイクオーバーとしてマルチターンIPIをモデル化する最初の推論時防御である。
我々は, textscAgentDojo ベンチマークにおいて, 4つのタスクスイート, 3つの IPI 攻撃ファミリー, 複数のブラックボックス LLM に対する AgentSentry の評価を行った。
論文 参考訳（メタデータ） (2026-02-26T07:59:10Z) - Sponge Tool Attack: Stealthy Denial-of-Efficiency against Tool-Augmented Agentic Reasoning [58.432996881401415]
最近の作業では、エージェント推論を可能にするために、外部ツールで大きな言語モデル(LLM)を拡張している。
本稿では,入力プロンプトを書き換えることのみでエージェント推論を妨害するスポンジツールアタック(STA)を提案する。
STAは、意味的忠実度の高い原文からの良心的な即興的な書き直しを生成する。
論文 参考訳（メタデータ） (2026-01-24T19:36:51Z) - ToolSafe: Enhancing Tool Invocation Safety of LLM-based agents via Proactive Step-level Guardrail and Feedback [53.2744585868162]
エージェントのデプロイには、ステップレベルのツールの実行動作をリアルタイムで監視することが不可欠だ。
LLMエージェントにおけるステップレベルツール起動安全検出のための新しいベンチマークであるTS-Benchを構築した。
次に,マルチタスク強化学習を用いたガードレールモデルTS-Guardを開発した。
論文 参考訳（メタデータ） (2026-01-15T07:54:32Z) - Guided Reasoning in LLM-Driven Penetration Testing Using Structured Attack Trees [1.2397617816774036]
サイバーセキュリティの侵入テストのための既存のLarge Language Models (LLMs) は自己誘導推論に依存している。
我々は,MITRE ATT&CK Matrix から構築された決定論的タスクツリーを組み込んだ LLM エージェントの侵入試験のためのガイド付き推論パイプラインを提案する。
Llama-3-8B, Gemini-1.5, GPT-4を用いてLLMを71.8%, 72.8%, 78.6%のサブタスクに誘導した。
論文 参考訳（メタデータ） (2025-09-09T17:19:33Z) - SOPBench: Evaluating Language Agents at Following Standard Operating Procedures and Constraints [59.645885492637845]
SOPBenchは、各サービス固有のSOPコードプログラムを実行可能な関数の有向グラフに変換する評価パイプラインである。
提案手法では,各サービス固有のSOPコードプログラムを実行可能関数の有向グラフに変換し,自然言語SOP記述に基づいてこれらの関数を呼び出しなければならない。
我々は18の先行モデルを評価し、上位モデルでさえタスクが困難であることを示す。
論文 参考訳（メタデータ） (2025-03-11T17:53:02Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。