何が起きたか
2026年11月3日に提出された論文は、「パラメータポイズニング」を、意図されたツールアクションを保持しつつ、タスクに重要な1つ以上のツール引数（受信者、パス、金額）を操作する間接プロンプトインジェクションの変種として定義しています。そのため、新しいアクションはトリガーされず、アクションに焦点を当てたプロンプトインジェクション防御はこれを見逃します。防御がない場合、攻撃成功率は93.06%に達します。この論文は評価用のFactAuthBenchを導入し、3段階の防御であるAuthorityFlowを提案します。これは情報フィールドに対するタスク固有の信頼階層を構築し、各ツール引数の背後にある情報フローを追跡し、現在のタスク下でそのパラメータに対してソースフィールドが信頼されている場合にのみ値を受け入れます。これにより成功率は9.03%に低下し、82.64%の良性ユーティリティを維持します。
なぜ重要か
アクションレベルのガードは構造的に不十分です。なぜなら、正当なアクションが保持され、引数だけが破損されるからです。展開されたエージェントにとって、ツール引数（受信者、金額、パス、宛先）をポイズニングすると、データの持ち出しをリダイレクトしたり、誤ったターゲットへの副作用を引き起こしたりしながら、既存の間接プロンプトインジェクション検出を回避できます。防御側は、アクション監視だけでなく、引数レベルの信頼推論が必要です。
攻撃経路
意図されたツール呼び出しを維持しつつ、攻撃者選択の値を1つ以上のタスクに重要な引数に置き換える間接プロンプトインジェクションであり、エージェントが攻撃者制御のパラメータで正当なアクションを実行し、アクションレベルのインジェクション検出を回避します。
影響を受けるシステム
ツール呼び出しを使用するLLMエージェント; 提案された防御AuthorityFlow; ベンチマークFactAuthBench。
緩和策
各ツール引数を生成する情報フローを追跡し、現在のタスク下でそのパラメータに対してソースフィールドが信頼されている場合にのみ値を受け入れ、高影響パラメータにパラメータレベル（アクションレベルだけでなく）の信頼チェックと人間参加型承認を展開します。