Newest papers

After the Attacker Leaves: Benchmarking Carryover Attacks on LLM Agents

Zhiyue Xu, Xukai Wang, Zhiyuan Huang, Mingjie Zhan, Jian Zhao, Xu-Yao Zhang · 2026 · arXiv

DOI: 10.48550/arXiv.2610.28425 · open-access PDF

German

Moderne LLM-Agenten bestehen über zwei Kanäle hinweg: Langlebige Speicherdateien, die stillschweigend auf den Systemanruf abgesetzt werden, und geplante Aufgaben, die den Agent ohne Benutzerinput wecken. Eine einmalige indirekte Anruf-Injektion, die sich an einen der beiden Kanäle verpflichtet hat, kann über Sitzungen hinweg lange nach dem Verlassen des Angreifers wieder aufschießen, Bedrohungen, die wir Carryover-Angriffe bezeichnen. Bestehende Benchmarks für die Anruf-Injektion bewerten Angriffe nur in der Sitzung, in der bösartige Inhalte zuerst beobachtet werden, wodurch das Tor regelt, wann und wie oft eine gepflanzte Nutzlast später unmessen wieder aufschießt.

Machine translation (Meta M2M100); the English original follows.

Abstract

Modern LLM agents persist state across sessions via two channels: long-lived memory files silently prepended to the system prompt, and scheduled tasks waking the agent without user input. A one-time indirect prompt injection committed to either channel can re-fire across sessions long after the attacker leaves, threats we term carryover attacks. Existing prompt-injection benchmarks evaluate attacks only in the session where malicious content is first observed, leaving the gate governing when and how often a planted payload later re-fires unmeasured. We present CarryoverBench: 12 personal-assis

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange