取得した性能指標は、偽陽性率が 0.1 % 以下であり、さまざまなドメインとインジェクションタイプに対して高い真陽性率を維持していることを示す。これにより、LLM の役割混乱をリアルタイムで監視できる可能性が示唆された。
すべての人に一次情報を
大型言語モデル（LLM）は、ツールから返ってくるテキストに偽の特殊トークンと人為的な内容を組み合わせることで、ユーザーとして振る舞わせる攻撃を受けやすいことが明らかになった。
研究では、AgentDojo ウェークスペースファミリーで実施したテストにより、異なるLLMでの攻撃成功率は 63.1 % から 103.6 % まで幅があり、最大で GPT‑5.4 が 96.2 % の injection‑to‑control 比で成功したと報告された。
| Model | Control | Injection | Ratio |
|---|---|---|---|
| GPT-5.4 | 49.8% | 47.8% | 96.2% |
| Claude Opus 4.8 | 34.8% | 22.0% | 63.1% |
| Claude Opus 5 | 28.6% | 29.7% |
| 103.6% |
| Claude Sonnet 5 | 65.5% | 43.2% | 65.9% |
|---|
| Gemini 3 Pro | 66.6% | 61.7% | 92.6% |
|---|
| Gemini 3.1 Pro | 46.9% | 45.2% | 96.3% |
|---|
対策として、モデル内部の活性化を用いた線形プローブを軽量に学習させ、各トークンの「話者」を推定する手段を開発した。プローブは、ツール応答のトークンがモデルにユーザーから来たと誤認される場合をスパーフォーキングとみなし検知でき、テストセット全体でほぼ高い区別を示した。
取得した性能指標は、偽陽性率が 0.1 % 以下であり、さまざまなドメインとインジェクションタイプに対して高い真陽性率を維持していることを示す。これにより、LLM の役割混乱をリアルタイムで監視できる可能性が示唆された。
図1には、AgentDojo における攻撃成功率と injection‑to‑control 比がまとめられ、図5では線形プローブの検知性能が比較された。