SPILLWAY

_{AgentDojo v1.2.2、3 バックボーン × 4 スイート。これらの結果ではジャッジが有効で、ライブラリではデフォルトでオフ。値と条件。インタラクティブページを開く。}

SPILLWAY、ツールを使うエージェント向けのプロンプトインジェクション防御：構造がエージェントの行動先を決め、モデルが拒否をレビューする。

メールやウェブページ内のテキストは、エージェントを攻撃者のアドレスへ誘導しうる。SPILLWAY は受信者をユーザーのタスクとツール戻り値の型付きフィールドに対して検証する。

Woosang Lim^1,2,* · Yeseul Chang³ · Jaewoo Lee^3
1SAINT Machines · ²KAIST · ³Chung-Ang University
* 責任著者

デモ · 試す · 結果 · プロジェクトページ · アプリ統合 · 論文 (PDF) · 再現 · 引用 · MUSTER

初期バージョンは Third Workshop on Agents in the Wild: Safety, Security, and Beyond (NeurIPS 2026) に採択されました。

pip install git+https://github.com/saintmachines/[email protected]

動作を確認する

_{出典: AgentDojo v1.2.2 Workspace、ユーザータスク19とインジェクションタスク2、gpt-4o-mini上。7つの実行は表1の背後にある8つのうちの7つである。このエピソードが選ばれたのは、示されている他の防御がそれぞれ異なる形でこれに失敗するためである。ROPEの実行（8つ目）は示されていない。これも3つすべてを達成している。その招待呼び出しはブロックされ、両方のToDoが実行された。インタラクティブデモを開くと、各実行の呼び出しを読むことができる。}

SPILLWAYの実行、呼び出しごと

結果

以下のすべての数値は論文によるものである。SPILLWAYの行はジャッジを使用しており、ライブラリではデフォルトで無効になっている。

表A. AgentDojo広範グリッド、12セル平均（論文の表2）

SPILLWAYはリークするセルが1つもなく、攻撃下でのユーティリティが最も高い唯一の手法である。モデルベースの防御は12セルのうち3〜11セルでリークする。