Newest papers

After the Attacker Leaves: Benchmarking Carryover Attacks on LLM Agents

Zhiyue Xu, Xukai Wang, Zhiyuan Huang, Mingjie Zhan, Jian Zhao, Xu-Yao Zhang · 2026 · arXiv

DOI: 10.48550/arXiv.2610.28425 · open-access PDF

French

Les agents LLM modernes persistent dans l'état à travers les sessions via deux canaux: les fichiers de mémoire de longue durée silencieusement prépayés à la notification du système et les tâches planifiées éveillant l'agent sans l'entrée de l'utilisateur. Une injection indirecte d'une seule fois engagée à l'un des deux canaux peut être réinjectée à travers les sessions longtemps après que l'attaquant a quitté, les menaces que nous appelons attaques de transfert. Les critères de référence existants d'injection de la notification n'évaluent les attaques que lors de la session où le contenu malveillant est observé pour la première fois, laissant la passerelle régir quand et à quelle fréquence une charge utile plantée est ensuite réinject

Machine translation (Meta M2M100); the English original follows.

Abstract

Modern LLM agents persist state across sessions via two channels: long-lived memory files silently prepended to the system prompt, and scheduled tasks waking the agent without user input. A one-time indirect prompt injection committed to either channel can re-fire across sessions long after the attacker leaves, threats we term carryover attacks. Existing prompt-injection benchmarks evaluate attacks only in the session where malicious content is first observed, leaving the gate governing when and how often a planted payload later re-fires unmeasured. We present CarryoverBench: 12 personal-assis

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange