論文の概要: CARI: Cross-Boundary Adversarial Runtime Injection in Coding-Agent Workflows

• arxiv url: http://arxiv.org/abs/2610.38799v1
• Date: Wed, 28 Oct 2026 20:04:20 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-11-03 08:36:32.996305
• Title: CARI: Cross-Boundary Adversarial Runtime Injection in Coding-Agent Workflows
• Title（参考訳）: CARI: コーディングベースのワークフローにおける境界を越えたランタイムインジェクション
• Abstract要約: コーディングエージェントは、さまざまな開発者、チーム、あるいはサービスが所有するソフトウェアを開発し、テストし、統合する。 悪意のあるあるいは妥協されたピア開発ロールは、開発中のソフトウェアのライブコンポーネントを操作することができる。 我々は、このミスマッチを利用した直接実行時フィードバック注入設定であるCross-Boundary Adrial Injection (CARI)を紹介する。
• 参考スコア（独自算出の注目度）: 23.825464188193834
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Coding agents increasingly develop, test, and integrate software whose components are owned by different developers, teams, or services. This exposes a distinct attack surface: a malicious or compromised peer development role can manipulate a live component of the software under development (e.g., a backend service, test harness, CI job, or deployment service) and influence the runtime feedback that another role's coding agent must process to complete its task. Although such a component has legitimate diagnostic authority to report its own state, it has no action authority over the victim's local files, credentials, shell, or development environment. We introduce Cross-Boundary Adversarial Runtime Injection (CARI), a direct runtime-feedback injection setting that exploits this authority mismatch. Rather than explicitly compromising the victim's prompt, model, tools, or local environment, the attacker covertly embeds malicious instructions in task-relevant runtime feedback produced by a peer-controlled development component. The victim then interprets that feedback as part of normal debugging or recovery, and may translate the diagnostic guidance into unauthorized victim-side actions. We instantiate ten different attacks based on CARI, spanning resource exhaustion, information exposure, and development-state manipulation. Across four programming languages and five code-capable models, CARI succeeds in 2,845/3,000 (94.8%) trials. Furthermore, CARI transfers effectively to product-level coding agents, achieving 61.3% attack success on Codex and 58.7% on Claude Code. By contrast, prompt-level defenses exhibit a security-utility trade-off: generic warnings are ineffective, whereas explicit policies suppress attacks but substantially over-refuse legitimate actions.
• Abstract（参考訳）: コーディングエージェントは、さまざまな開発者、チーム、あるいはサービスが所有するソフトウェアを開発し、テストし、統合する。 悪意のあるあるいは妥協されたピア開発ロールは、開発中のソフトウェアのライブコンポーネント(バックエンドサービス、テストハーネス、CIジョブ、デプロイメントサービスなど)を操作でき、他のロールのコーディングエージェントがタスクを完了するために処理しなければならないランタイムフィードバックに影響を与える。 このようなコンポーネントには、自身の状態を報告するための正当な診断権限があるが、被害者のローカルファイル、認証情報、シェル、開発環境に対する行動権限はない。 我々は、この権限のミスマッチを利用する、直接のランタイムフィードバックインジェクション設定であるCross-Boundary Adversarial Runtime Injection (CARI)を紹介します。 被害者のプロンプト、モデル、ツール、あるいはローカル環境を明示的に妥協するのではなく、攻撃者はピアコントロールされた開発コンポーネントによって生成されたタスク関連ランタイムフィードバックに悪意のある命令を隠蔽する。 被害者はそのフィードバックを通常のデバッグやリカバリの一部として解釈し、診断ガイダンスを無許可の被害者側のアクションに変換する。 リソースの枯渇,情報露出,開発状態操作など,CARIに基づく10種類の攻撃をインスタンス化する。 4つのプログラミング言語と5つのコード対応モデルで、CARIは2,845/3,000 (94.8%)の試験に成功している。 さらに、CARIは製品レベルのコーディングエージェントに効果的に移行し、Codexで61.3%、Claude Codeで58.7%の攻撃成功を達成した。 一般的な警告は効果がないが、明示的なポリシーは攻撃を抑えるが、実質上は正当な行動は否定する。

関連論文リスト

• ASPIRE: Agentic Safety & Prompt Injection Red-teaming Engine [51.17686708121503]
  LLMエージェントは信頼できないコンテンツを検索し、ツールを通して行動し、間接的なインジェクションリスクを発生させる。 我々は,オープンな行動レベルの脆弱性発見のためのエージェントセーフティ&プロンプトインジェクション・レッドチームエンジンであるASPIREを紹介する。
  論文  参考訳（メタデータ） (2026-10-06T18:18:40Z)
• SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
  コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。 操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。 SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
  論文  参考訳（メタデータ） (2026-08-31T03:39:43Z)
• IssueTrojanBench: Benchmarking AI Coding Agents Against Malicious Issue Requests [6.180456551480933]
  本稿では、最先端AI符号化エージェントに対する悪意ある問題要求の体系的評価について述べる。 我々の結果は、非デプロイの現代のコーディングエージェントの重大な脆弱性を明らかにします。 我々の発見は、AIコーディングエージェントを保護するために、より強力なエージェントとモデルレベルの安全メカニズムが緊急に必要であることを示している。
  論文  参考訳（メタデータ） (2026-07-22T22:20:02Z)
• Coding Agents Are Guessing: Measuring Action-Boundary Violations in Underspecified DevOps Instructions [16.871217408296932]
  符号化エージェントにおける動作境界違反を測定するためのベンチマークであるUnderSpecBenchを提案する。 UnderSpecBenchには、ドキュメント化されたインシデントやCVE、ツールの動作を基盤とする69のタスクファミリが含まれている。 タスクの難易度から不特定性を分離するために、各タスクは同じ環境と地道な安全なアクションを維持します。
  論文  参考訳（メタデータ） (2026-07-02T15:11:39Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Trojan's Whisper: Stealthy Manipulation of OpenClaw through Injected Bootstrapped Guidance [23.059379933610163]
  ガイダンスインジェクション(Guidance Injection)は、ブートストラップのガイダンスファイルに敵の運用ストーリーを埋め込むステルス攻撃ベクターである。 エクスプロイト,ワークスペース破壊,特権エスカレーション,持続的バックドア設置など,13の攻撃カテゴリにまたがる26の悪意あるスキルを構築した。 我々の攻撃は16.4%から64.2%の確率で成功し、悪意のある行動の大半はユーザーの確認なしに自律的に実行される。
  論文  参考訳（メタデータ） (2026-03-20T14:17:56Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)
• RedCodeAgent: Automatic Red-teaming Agent against Diverse Code Agents [70.24175620901538]
  コードエージェントは、強力なコード生成機能とコードインタプリタとの統合により、広く採用されている。 現在の静的安全性ベンチマークとレッドチームツールは、出現する現実世界のリスクシナリオを特定するのに不十分である。 我々はRedCodeAgentを提案する。RedCodeAgentは、多様なコードエージェントの脆弱性を体系的に発見するように設計された、最初の自動リピートエージェントである。
  論文  参考訳（メタデータ） (2025-10-02T22:59:06Z)
• Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
  Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。 攻撃パラダイムを初期感染と持続性という2つの段階に分類する。 当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
  論文  参考訳（メタデータ） (2025-09-19T04:10:52Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。