この論文は、LLM エージェントにおけるプロンプトインジェクション（PI）の脅威の全体像についての知識の体系化（Systematization of Knowledge、SoK）である。78 本の論文（2025 年 10 月 20 日時点で収集）の体系的文献レビューに基づき、PI 攻撃をペイロード生成戦略（ヒューリスティック型と最適化ベース型）によって、PI 防御を介入段階（テキストレベル、モデルレベル、実行レベル）によって分類する体系を確立している。また、AGENTPI を導入している。これは、動的でコンテキストに依存するタスクにおいて、コンテキストを考慮した攻撃の下でエージェントの実行の完全性を評価するために明示的に設計された初のベンチマークである。そうしたタスクでは、エージェントの行動はユーザーの最初のプロンプトによって完全に決まるのではなく、環境から取得した観測に機能的に依存する。
主なポイント
- 論文の攻撃の分類体系は、ヒューリスティックなペイロード生成手法と最適化ベースの手法（たとえば、ステルス性の高いペイロードを生成するためのファジングや勾配による誘導）を区別している。最適化ベースの攻撃は、クエリ効率の面で課題を抱えるか、標的モデルへのホワイトボックスアクセスを必要とすることが多いと指摘している。
- 論文の防御の分類体系は、手法を介入段階によってまとめている。テキストレベル（区切り文字、サンドイッチング、言い換え、指示ベースの防御など）、モデルレベル、実行レベル（ツールのフィルタリングや、Progent や Melon のようなポリシーベースの手法など）である。制御フローとデータフローを分離する隔離ベースの手法は、複雑なタスクにおけるエージェントの有用性を大きく損ないうると指摘している。
- この SoK の分析の中心的な知見は、既存の防御やベンチマークの大半が静的な入力に焦点を当てており、エージェントが実行時の環境からの観測に依拠して行動を決めることを認められているコンテキスト依存のタスクを見落としているという点である。論文の AGENTPI ベンチマークは、このギャップに対処するために設計されている。
- AGENTPI の 5 種類のコンテキストを考慮した攻撃は、制御フロー、ロジックフロー、権限フローにまたがる。制御フローには、許可されていないツールへの逸脱を強いるアクション切り替えと、正しいアクションの種類を保ったまま抽出された引数を改ざんするパラメータ操作がある。ロジックフローには、偽の事実を捏造して条件付き実行を誘導する分岐のすり替えと、集計や並べ替えといった認知的な操作に干渉する推論の破壊がある。権限フローには、ユーザーが外部コンテキストに明示的に権限を委譲したことを悪用し、元の意図が暗黙に持つ安全境界を超えさせる委譲の悪用がある。
- GPT-4o-mini を対象に、テキストレベルと実行レベルのカテゴリにまたがる 9 つの防御構成を実証的に評価した結果、論文は、Progent や Melon のような実行レベルの防御がアクション切り替え攻撃と委譲悪用攻撃の攻撃成功率をほぼゼロにまで下げる一方で、深刻なセキュリティと有用性のトレードオフを伴うと報告している。たとえば Progent はアクション切り替えに対して最も低い攻撃成功率を達成するが、有用性が 0.3 未満にまで落ちる「壊滅的な有用性の低下」を引き起こす。これに対し、テキストレベルの防御（区切り文字、言い換えなど）はベースラインと同程度の有用性を保つものの、セキュリティ上の効果はごくわずかである。
- 論文はまた、一部の実行レベルの防御（Progent など）が防御なしのベースラインよりも低いレイテンシを示すのは、真に効率的だからではなく、生成を打ち切る積極的な「早期拒否」ポリシーによる副産物であること、そして実行レベルの防御はベースラインの最大 3 倍の計算コストをもたらしうることも報告している。
- 論文の結論は、現在の防御はコンテキストを考慮したロジック操作に対して推論の完全性を保てないことが多く、高い信頼性、高い有用性、低いレイテンシを同時に達成するのに苦労していると述べ、未解決の課題として、きめ細かなアテンションのアクセス制御、人間と AI を組み合わせた介入、リソースを考慮した可用性の防御などを提案している。
補足
抽出されたテキストでは、ところどころで論文の 2 段組レイアウトが交互に混ざっており、いくつかの表や図は OCR/Markdown 変換によって視覚的に崩れている。上記でまとめた知見は、崩れた表のレイアウトからではなく、論文の読み取り可能な本文（第 6〜8 節）から引いたものである。