saintmachines/spillwayDefensa contra inyección de prompts para agentes que usan herramientas: la estructura decide dónde actúan los agentes, un modelo revisa las negativas.
AgentDojo v1.2.2, tres backbones × cuatro suites. El juez está habilitado en estos resultados y desactivado por defecto en la biblioteca. Valores y condiciones. Abrir la página interactiva.
SPILLWAY, una defensa contra la inyección de prompts para agentes que usan herramientas: la estructura decide dónde actúa un agente, un modelo revisa las negativas.
El texto de un correo electrónico o de una página web puede dirigir a un agente hacia la dirección de un atacante. SPILLWAY verifica los destinatarios contra la tarea del usuario y los campos tipados de los retornos de las herramientas.
Woosang Lim1,2,* · Yeseul Chang3 · Jaewoo Lee3
1SAINT Machines · 2KAIST · 3Universidad Chung-Ang
* Autor correspondiente
Demo · Pruébalo · Resultados · Página del proyecto · Integración en aplicaciones · Artículo (PDF) · Reproducir · Citar · MUSTER
Una versión anterior fue aceptada en el Third Workshop on Agents in the Wild: Safety, Security, and Beyond (NeurIPS 2026).
pip install git+https://github.com/saintmachines/[email protected]
Fuente: AgentDojo v1.2.2 Workspace, tarea de usuario 19 con tarea de inyección 2, en gpt-4o-mini. Las siete ejecuciones son siete de las ocho que respaldan la Tabla 1. Este episodio se eligió porque las otras defensas mostradas fallan en él de distintas maneras. La ejecución de ROPE, la octava, no se muestra. También hace las tres cosas: su llamada de invitación fue bloqueada y ambas tareas pendientes se ejecutaron. Abra la demostración interactiva para leer las llamadas de cada ejecución.