論文の概要: ANGLER: Verifier-Grounded Benchmarking with an Adaptive Attacker for Web Agents
- arxiv url: http://arxiv.org/abs/2610.41272v1
- Date: Fri, 30 Oct 2026 05:25:48 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-11-02 22:05:31.622035
- Title: ANGLER: Verifier-Grounded Benchmarking with an Adaptive Attacker for Web Agents
- Title（参考訳）: ANGLER: Webエージェントのアダプティブアタックによる検証付きベンチマーク
- Abstract要約: REEFは、Webエージェントのセキュリティ脆弱性を測定するための忠実な検証を備えた、レッドチーム実行環境のベンチマークである。
ANGLERは、レッドチームのための適応型ニアミス誘導ルアー進化フレームワークである。
ANGLERの攻撃成功率は20.36%であり、非適応的な設定では15.24%である。
- 参考スコア（独自算出の注目度）: 13.705348731714814
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Web agents are increasingly deployed to complete tasks autonomously on real websites, where adversarially injected content can induce them to perform unauthorized actions. Existing evaluations primarily use fixed attacks or focus on a single attack type, and evaluate attacks at the text level rather than through real state changes, thus underestimating how vulnerable agents are to diverse attacks. To address the gap, we introduce REEF, a benchmark of red-teaming executable environments with faithful verification for measuring the security vulnerabilities of web agents. REEF covers 9 verifier-grounded websites spanning travel, commerce, productivity, media, and communication, and pairs every authentic benign task with a malicious objective delivered through 5 attack types at both the user and the environment level. REEF's state-based verifiers provide the execution feedback that drives ANGLER, an adaptive near-miss-guided lure evolution framework for red-teaming. Rather than evaluating a fixed attack set, ANGLER uses outcomes from prior rollouts to guide LLM-based attack mutation and candidate selection, prioritizing near-miss seeds during refinement. Across 8 VLM-based web agents, ANGLER achieves an end-to-end attack success rate (ASR) of 20.36%, compared with 15.24% for the non-adaptive setting. Compared with attack-free execution on the same benign tasks, attacks generated by ANGLER reduce benign task success rate (BSR) from 61.9% to 44.4%.
- Abstract（参考訳）: Webエージェントは、現実のWebサイト上で自律的にタスクを完了するためにデプロイされ、敵に注入されたコンテンツは、無許可のアクションを実行するように誘導される。
既存の評価では、主に固定攻撃や単一の攻撃タイプに焦点を当て、実際の状態の変化ではなく、テキストレベルで攻撃を評価しているため、さまざまな攻撃に対して脆弱なエージェントがどの程度脆弱であるかを過小評価する。
このギャップに対処するために、Webエージェントのセキュリティ脆弱性を測定するための忠実な検証を備えた、レッドチーム実行環境のベンチマークであるREEFを紹介した。
REEFは、旅行、商業、生産性、メディア、コミュニケーションにまたがる9つの検証済みウェブサイトをカバーする。
REEFのステートベース検証は、アダプティブニアミス誘導ルアー進化フレームワークであるANGLERを駆動する実行フィードバックを提供する。
固定された攻撃セットを評価する代わりに、ANGLERは、事前のロールアウトの結果を使用して、LLMベースの攻撃突然変異と候補選択を誘導し、精製中のニアミス種子を優先順位付けする。
VLMベースの8つのWebエージェントのうち、ANGLERは20.36%のエンドツーエンドの攻撃成功率(ASR)を達成している。
同じ良性タスクでのアタックフリー実行と比較して、ANGLERが生成した攻撃は、良性タスク成功率(BSR)を61.9%から44.4%に削減した。
関連論文リスト
- Self-Reflection Fine-Tuning: Enhancing Agent Security against Prompt Injection Attacks from Failure Experience [83.9792313419956]
Self-Reflection Fine-Tuning(SRFT)は、エージェントが自身の障害経験から学習することで堅牢性を向上させるためのトレーニングフレームワークである。
我々はこのフレームワークをLlama-3.1-8B-InstructとQwen3-8B上に構築したSR-Agentでインスタンス化し、静的および適応的なプロンプトインジェクションベンチマークで評価する。
論文 参考訳（メタデータ） (2026-10-03T03:45:44Z) - Defending against Adaptive Prompt Injection Attacks via Reasoning-enabled Task Alignment [25.752599132396437]
間接的なプロンプトインジェクションは、エージェントがタスク実行中に検索するサードパーティデータに悪意のある命令を埋め込むことによって、LLMベースのエージェントをハイジャックする。
既存のディフェンスでは、静的なベンチマークでほぼゼロの攻撃成功率を報告しているが、最近のアダプティブ評価では、攻撃者がデプロイされたディフェンスに対して最適化を許せば、これらの結果は崩壊する。
本稿では,攻撃者が制御するデータではなく,ユーザタスクに対する防衛判断を基礎としたトレーニングベースのRETAを提案する。
論文 参考訳（メタデータ） (2026-06-13T19:15:44Z) - Who Pays the Price? Stakeholder-Centric Prompt Injection Benchmarking for Real-world Web Agents [93.19140872946842]
大規模言語モデル(LLM)によって駆動されるWebエージェントは、現実の環境にますますデプロイされる。
これにより、一見良質なコンテンツがエージェントの振る舞いを操作する敵の命令を埋め込む、プロンプト・インジェクション・アタックに対して脆弱になる。
実世界のWebエージェントシステムにおいて,損害を体系的に分類し,属性付けするベンチマークである textbfsysname を導入する。
論文 参考訳（メタデータ） (2026-06-11T14:12:43Z) - Assessing Automated Prompt Injection Attacks in Agentic Environments [36.488797554085345]
LLMエージェントに対する自動プロンプトインジェクションアタックの総合的評価を行った。
我々は、AgentDojoフレームワーク内のエージェント設定に、White-box(GCG)とBlack-box(TAP)の両方のメソッドを適用する。
論文 参考訳（メタデータ） (2026-06-09T07:54:58Z) - ARGUS: Defending LLM Agents Against Context-Aware Prompt Injection [28.414099578635373]
AgentLureは、コンテキスト依存タスクとコンテキスト認識インジェクション攻撃をキャプチャするベンチマークである。
この制限に対処するため,我々は,LDMエージェントの事前判定監査を実施する防衛機構であるARGUSを提案する。
論文 参考訳（メタデータ） (2026-05-05T05:37:00Z) - MUZZLE: Adaptive Agentic Red-Teaming of Web Agents Against Indirect Prompt Injection Attacks [10.431616150153992]
MUZZLEは、間接的なプロンプトインジェクション攻撃に対するWebエージェントのセキュリティを評価する自動化フレームワークである。
エージェントの観察された実行軌跡に基づいて攻撃戦略を適用し、失敗した実行からのフィードバックを使用して攻撃を反復的に洗練する。
MUZZLEは、機密性、可用性、プライバシ特性に反する10の敵目標を持つ4つのWebアプリケーションに対する37の新たな攻撃を効果的に発見する。
論文 参考訳（メタデータ） (2026-02-09T21:46:18Z) - ReasAlign: Reasoning Enhanced Safety Alignment against Prompt Injection Attack [52.17935054046577]
本稿では、間接的インジェクション攻撃に対する安全性アライメントを改善するためのモデルレベルのソリューションであるReasAlignを提案する。
ReasAlignには、ユーザクエリの分析、競合する命令の検出、ユーザの意図したタスクの継続性を維持するための構造化された推論ステップが組み込まれている。
論文 参考訳（メタデータ） (2026-01-15T08:23:38Z) - It's a TRAP! Task-Redirecting Agent Persuasion Benchmark for Web Agents [52.81924177620322]
大規模な言語モデルを利用したWebベースのエージェントは、メール管理やプロフェッショナルネットワーキングといったタスクにますます利用されている。
動的Webコンテンツへの依存は、インジェクション攻撃の引き金に弱い: インターフェース要素に隠された敵対的命令は、エージェントが元のタスクから逸脱するように説得する。
本稿では,タスクリダイレクトエージェントの説得ベンチマーク(TRAP)について紹介する。
論文 参考訳（メタデータ） (2025-12-29T01:09:10Z) - AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。
我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。
攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
論文 参考訳（メタデータ） (2025-05-09T07:40:17Z) - Adaptive Attacks Break Defenses Against Indirect Prompt Injection Attacks on LLM Agents [3.5248694676821484]
我々は8つの異なる防御効果を評価し、それら全てを適応攻撃を用いてバイパスし、連続して50%以上の攻撃成功率を達成する。
本研究は,ロバスト性と信頼性を確保するために,防御設計における適応攻撃評価の必要性を明らかにするものである。
論文 参考訳（メタデータ） (2025-02-27T04:04:50Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。