🛡️ ActGuard: как остановить prompt injection, прежде чем AI-агент выполнит опасную команду
Вредоносная инструкция в письме или документе может заставить AI-агента вызвать инструмент, передать данные или изменить рабочие файлы. ActGuard перехватывает этот момент: анализирует выбранный tool call, проверяет его аргументы и ищет фрагмент внешнего контента, повлиявший на решение.
Это open source фреймворк для защиты LLM-агентов от indirect prompt injection.
⚙️ Три уровня защиты
1. Прогноз действий. Агент заранее прогнозирует, какие инструменты могут понадобиться на следующем шаге. Это ориентир для аудита, а не жёсткий allowlist, поэтому агент сохраняет возможность менять план.
2. Поиск причины. Если выбран неожиданный инструмент, ActGuard исследует внешние данные, повлиявшие на решение. Отдельно проверяются аргументы вызова: даже разрешённый инструмент может получить подменённый URL, адрес или команду.
3. Очистка контекста. LLM-verifier проверяет подозрительные фрагменты. Подтверждённый payload маскируется, после чего агент генерирует действие заново и проходит повторный аудит. Полезный контент сохраняется.
📊 Что показали тесты
На бенчмарке AgentDyn с DeepSeek-V4-Flash результаты выглядели так:
🔹 Успешность атак снизилась с 51,07% до 2,14%.
🔹 Успешность пользовательских задач при атаке выросла с 35,36% до 47,50%.
🔹 Среднее время выполнения задачи увеличилось с 53,5 до 105,74 секунды.
⚠️ Ограничения
ActGuard увеличивает latency и зависит от качества локализации вредоносного фрагмента. Пропущенный payload может остаться в контексте, а ложное срабатывание способно удалить полезные данные. Результаты получены на бенчмарках и не доказывают готовность инструмента к production.
🔗 GitHub: ActGuard
🔗 Исследование на arXiv
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AISecurity #AIAgents #PromptInjection #LLMSecurity #AgentSecurity #OpenSource #RedTeam #AgentDojo #SecureTechTalks
Вредоносная инструкция в письме или документе может заставить AI-агента вызвать инструмент, передать данные или изменить рабочие файлы. ActGuard перехватывает этот момент: анализирует выбранный tool call, проверяет его аргументы и ищет фрагмент внешнего контента, повлиявший на решение.
Это open source фреймворк для защиты LLM-агентов от indirect prompt injection.
⚙️ Три уровня защиты
1. Прогноз действий. Агент заранее прогнозирует, какие инструменты могут понадобиться на следующем шаге. Это ориентир для аудита, а не жёсткий allowlist, поэтому агент сохраняет возможность менять план.
2. Поиск причины. Если выбран неожиданный инструмент, ActGuard исследует внешние данные, повлиявшие на решение. Отдельно проверяются аргументы вызова: даже разрешённый инструмент может получить подменённый URL, адрес или команду.
3. Очистка контекста. LLM-verifier проверяет подозрительные фрагменты. Подтверждённый payload маскируется, после чего агент генерирует действие заново и проходит повторный аудит. Полезный контент сохраняется.
📊 Что показали тесты
На бенчмарке AgentDyn с DeepSeek-V4-Flash результаты выглядели так:
🔹 Успешность атак снизилась с 51,07% до 2,14%.
🔹 Успешность пользовательских задач при атаке выросла с 35,36% до 47,50%.
🔹 Среднее время выполнения задачи увеличилось с 53,5 до 105,74 секунды.
⚠️ Ограничения
ActGuard увеличивает latency и зависит от качества локализации вредоносного фрагмента. Пропущенный payload может остаться в контексте, а ложное срабатывание способно удалить полезные данные. Результаты получены на бенчмарках и не доказывают готовность инструмента к production.
🔗 GitHub: ActGuard
🔗 Исследование на arXiv
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AISecurity #AIAgents #PromptInjection #LLMSecurity #AgentSecurity #OpenSource #RedTeam #AgentDojo #SecureTechTalks