saintmachines/spillwayЗащита от prompt-injection для агентов, использующих инструменты: структура определяет, где действуют агенты, а модель проверяет отказы.
AgentDojo v1.2.2, три бэкбона × четыре набора. Судья включён в этих результатах и по умолчанию выключен в библиотеке. Значения и условия. Открыть интерактивную страницу.
SPILLWAY, защита от prompt-injection для агентов, использующих инструменты: структура определяет, где действует агент, модель проверяет отказы.
Текст в письме или на веб-странице может направить агента на адрес атакующего. SPILLWAY сверяет получателей с задачей пользователя и типизированными полями возвращаемых значений инструментов.
Woosang Lim1,2,* · Yeseul Chang3 · Jaewoo Lee3
1SAINT Machines · 2KAIST · 3Университет Чун-Ан
* Автор, ответственный за переписку
Демо · Попробовать · Результаты · Страница проекта · Интеграция в приложение · Статья (PDF) · Воспроизвести · Цитировать · MUSTER
Более ранняя версия была принята на Третий воркшоп по агентам в реальном мире: безопасность, защищённость и не только (NeurIPS 2026).
pip install git+https://github.com/saintmachines/[email protected]
Источник: AgentDojo v1.2.2 Workspace, пользовательская задача 19 с задачей инъекции 2, на gpt-4o-mini. Семь запусков — это семь из восьми, стоящих за Таблицей 1. Этот эпизод выбран потому, что другие показанные защиты проваливают его по-разному. Запуск ROPE, восьмой, не показан. Он также делает всё три: его вызов приглашения был заблокирован, и оба пункта списка дел выполнены. Откройте интерактивную демонстрацию, чтобы прочитать вызовы каждого запуска.