複数のAIエージェント間で広がるプロンプト注入への対策
Beyond Single-Model Injection: A Threat Model and Defense Architecture for Prompt Injection in Multi-Agent Systems
この論文をやさしく読む
ひとことで言うと
複数のAIエージェントが連携するシステム特有のプロンプト注入経路を分類し、構造的な防御を評価した研究である。
何に役立つ？
メッセージ、ツール、調整役をまたぐ攻撃経路を洗い出し、各境界の防御を設計する際の参考になる。報告値は論文の6エージェント評価環境での結果である。
この研究の面白いところ
14の攻撃経路を試し、四つの防御を組み合わせると注入成功率が31.2％から4.2％へ下がったと報告する。
どこまで分かった？
要旨の実験対象は実運用を代表する構成の6エージェントシステムであり、ほかの構成でも同じ成功率になるとは示していない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
既存のプロンプト注入研究は、攻撃者が細工した入力で一つの大規模言語モデルを操る、単一モデルのチャットボットを主に対象としてきた。複数エージェントのシステムでは、単一モデルにはない三つの仕組みによって脅威が増す。エージェント間のメッセージは入口の防御から見えない注入経路を作り、共有ツールへのアクセスはエージェント間の権限昇格を可能にし、信頼の伝播は侵害されたエージェントが上位の調整役へ影響を及ぼすことを許す。本研究は14の攻撃経路を四つに分類する脅威モデルを構築した。内訳は、ユーザー入力からの直接注入が3経路、ツール出力からの間接注入が4経路、メッセージ伝達を介するエージェント間注入が4経路、調整役の操作を介する連鎖的な注入が3経路である。実運用を代表する構成の6エージェントシステムに対し、14経路すべてを試したところ、システムプロンプトの防護策があってもエージェントの67％は少なくとも一種類の許可範囲違反に脆弱であり、ツール出力からの間接注入は試行の43％で成功した。四つの構造的な防御により、注入全体の成功率は31.2％から4.2％に下がった。発信元の追跡を伴うメッセージ署名ではエージェント間注入が91％減り、エージェントの境界で入出力を無害化すると間接注入が78％減った。役割ごとに権限を限定したツールアクセスは権限昇格を完全になくし、エージェント間通信パターンの異常検知は連鎖的な試行の84％を検出した。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-19（UTC）
- 最新改訂
- 2026-09-19 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-19 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Existing prompt injection research focuses on single-model chatbot scenarios, where an attacker manipulates one LLM through crafted input. Multi-agent systems amplify this threat through three mechanisms absent from single-model settings: inter-agent message passing creates injection channels invisible to perimeter defenses, shared tool access enables privilege escalation across agent boundaries, and trust propagation allows a compromised agent to influence upstream orchestrators. We construct a threat model enumerating 14 attack vectors across four categories: direct injection via user input (3 vectors), indirect injection via tool outputs (4 vectors), inter-agent injection via message passing (4 vectors), and cascading injection through orchestrator manipulation (3 vectors). Testing all 14 vectors against a 6-agent production-representative system, we find that 67% of agents are vulnerable to at least one scope violation even with system-prompt-level guardrails, and indirect injection via tool outputs succeeds in 43% of attempts. Four architectural defenses reduce overall injection success from 31.2% to 4.2%: message signing with provenance tracking (inter-agent injection down 91%), input/output sanitization at agent boundaries (indirect injection down 78%), privilege-scoped tool access per agent role (privilege escalation eliminated entirely), and anomaly detection on inter-agent communication patterns (84% of cascading attempts caught).
著者のコメント
Accepted at the AIWILD Workshop, ICML 2026. Camera-ready version
arXiv ID: 2609.22949 ／ 要約の誤りについて