saintmachines/spillwayDéfense contre l'injection de prompt pour les agents utilisant des outils : la structure décide où les agents agissent, un modèle examine les refus.
AgentDojo v1.2.2, trois backbones × quatre suites. Le juge est activé dans ces résultats et désactivé par défaut dans la bibliothèque. Valeurs et conditions. Ouvrir la page interactive.
SPILLWAY, une défense contre l'injection de prompts pour les agents utilisant des outils : la structure décide où un agent agit, un modèle examine les refus.
Du texte dans un e-mail ou une page web peut orienter un agent vers l'adresse d'un attaquant. SPILLWAY vérifie les destinataires par rapport à la tâche de l'utilisateur et aux champs typés des retours d'outils.
Woosang Lim1,2,* · Yeseul Chang3 · Jaewoo Lee3
1SAINT Machines · 2KAIST · 3Université Chung-Ang
* Auteur correspondant
Démo · Essayer · Résultats · Page du projet · Intégration applicative · Article (PDF) · Reproduire · Citer · MUSTER
Une version antérieure a été acceptée au Third Workshop on Agents in the Wild: Safety, Security, and Beyond (NeurIPS 2026).
pip install git+https://github.com/saintmachines/[email protected]
Source : AgentDojo v1.2.2 Workspace, tâche utilisateur 19 avec tâche d'injection 2, sur gpt-4o-mini. Les sept exécutions sont sept des huit derrière le Tableau 1. Cet épisode a été choisi parce que les autres défenses présentées y échouent de différentes manières. L'exécution de ROPE, la huitième, n'est pas présentée. Elle réalise aussi les trois : son appel d'invitation a été bloqué et les deux tâches à faire se sont exécutées. Ouvrez la démo interactive pour lire les appels de chaque exécution.