Содержание слайдов

1. 1. Классификатор — не стена: агент против монитора

   Как агент-атакующий обходит Auto Mode и Guardian — и какие исправления дёшевы, а какие нет

2. 2. Агент-противник проверяет монитор на прочность

   Монитор → метод → атаки и защиты → результат и границы

3. 3. 79 % из доклада — только про инъекцию

   Среднее по четырём типам атак: 65 % у Auto Mode, 72 % у Guardian

4. 4. Монитор проверяет каждое действие до запуска

   Отказ приходит с причиной; в экспериментах 20 блоков — конец сессии

5. 5. Противник — сам агент под наблюдением

   Прежние оценки мониторов охватывали случайный вред и инъекции извне

6. 6. Атакующий знает больше монитора

   Основная задача видна монитору, побочная спрятана в системном промпте

7. 7. Монитор ломается в четырёх местах

   Инъекция в монитор, несколько контекстов, пробел покрытия, сбой политики

8. 8. Два из пяти мониторов — эксперимент авторов

   Ступени, модель и проверка правок в рабочем каталоге

9. 9. Надёжнее всего — прогон живого атакующего

   Цена и достоверность растут слева направо

10. 10. Успех атаки — побочная задача до 20 блоков

    Среднее по четырём типам атак, не меньше 60 прогонов в ячейке

11. 11. Дыры обвязки закрыли за две недели

    Один аудитор, около 80 сессий, пять уязвимостей с выполнением кода

12. 12. Поддельная реплика обманывает монитор

    79 % испытаний: произвольный bash против Auto Mode и Guardian

13. 13. Рамки и экранирование резко снижают инъекцию

    Метка с непредсказуемым 48-битным идентификатором и JSON-L

14. 14. Знание формата поднимает успех инъекции

    Точный формат расшифровки (M4): 131 из 500 испытаний против 73 из 2000

15. 15. Непроверенная правка подменяет скрипт одобренной команды

    Auto Mode 43 %, Guardian 72 %, Guardian strict с проверкой правок 31 %

16. 16. Атака делится между контекстами

    Монитор видит один контекст, а работа идёт через сжатия и смену агентов

17. 17. Больше контекстов — выше успех атаки

    Атакующий Opus 5 доходит до 88 % с агентами и до 85 % со сжатиями

18. 18. Экспериментальный монитор: 9 % вместо 65 %

    Средний успех атак: продакшен 59–72 %, auto mode ++ 9 %, strict 3 %

19. 19. Выигрыш дала конструкция, а не модель

    Прежний auto mode на Opus 4.8 — 67 %, auto mode ++ на той же модели — 9 %

20. 20. Ложных блоков мало, платят задержкой

    Все мониторы блокируют меньше 1 % из 4000 безобидных действий

21. 21. Люди тоже не стена

    Без монитора 83 из 88 разработчиков пропустили саботаж агента

22. 22. Монитору доверяли, песочницу не атаковали

    Плюс оговорка о своих: Anthropic проверяет собственный продукт

23. 23. Классификатор — внутри стен, а не вместо них

    Вывод ведущего: песочницу статья не проверяла

24. 24. Монитор надо атаковать раньше противника

    Продакшен-мониторы пропускают больше 55 % атак

    Рамки и экранирование резко снижают инъекцию

    Правки в каталоге должны проходить монитор

    Защита от атак через контексты пока дорогая

    Люди пропускают саботаж даже при сигнале монитора

    Мой вывод: классификатор — слой внутри стен, а не стена