論文の概要: Capability Gates Are Not Authorization: Confused-Deputy Failures in LLM Agent Frameworks

• arxiv url: http://arxiv.org/abs/2606.28679v1
• Date: Sat, 27 Jun 2026 01:33:19 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-06-30 18:07:15.641001
• Title: Capability Gates Are Not Authorization: Confused-Deputy Failures in LLM Agent Frameworks
• Title（参考訳）: 機能ゲートは認可されていない: LLMエージェントフレームワークの混乱した処理障害
• Abstract要約: LangChain/LangGraph、LlamaIndex、Stripe Agent Toolkitは、実行前に具体的な引数値で、各モデル指定呼び出しを再認可するかどうかを監査します。 ピン留めされたオープンソースコミット全体で、これら3つはすべてデフォルトでゲーティング機能を提供するが、決定論的フェールクロースされたコール単位の値認証ゲートをデフォルトで提供するものは存在しない。 エージェントツールコールのための5段階のPDP/PEPであるScopeGateを紹介した。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Tool-using LLM agents increasingly read untrusted content while holding side-effecting tools such as payments, email, CRM, and infrastructure APIs, yet common framework defaults still conflate tool exposure with authorization. We audit whether LangChain/LangGraph, LlamaIndex, and the Stripe Agent Toolkit re-authorize each model-emitted call, with concrete argument values, before execution. Across pinned public-source commits, all three provide capability gating by default, but none provides a deterministic fail-closed per-call value authorization gate by default. We introduce ScopeGate, a five-stage PDP/PEP for agent tool calls: scope, authorization, money ceiling, idempotency, and default deny. Evaluation shows the identical unauthorized payout call executes under LangChain's default dispatch (with a companion LlamaIndex PoC) but is denied by ScopeGate; the tested control reports 0/48 static bypasses, 0/29 unauthorized attempts (40-iteration adaptive run), 0/10 benign false-denies, and Latam-GPT payment-agent containment at 10/10. ASR denotes attempted unauthorized action, containment is not a cure, deployment-tier claims are inference over measured model classes, and no CVE is asserted.
• Abstract（参考訳）: ツールを使用するLLMエージェントは、支払い、Eメール、CRM、インフラストラクチャAPIといった副作用のあるツールを保持しながら、信頼できないコンテンツを読み取る傾向にある。 LangChain/LangGraph、LlamaIndex、Stripe Agent Toolkitは、実行前に具体的な引数値で、各モデル指定呼び出しを再認可するかどうかを監査します。 ピン留めされたオープンソースコミット全体で、これら3つはすべてデフォルトでゲーティング機能を提供するが、決定論的フェールクロースされたコール単位の値認証ゲートをデフォルトで提供するものは存在しない。 エージェントツールコールのための5段階のPDP/PEPであるScopeGateを紹介した。 評価では、LangChainのデフォルトのディスパッチ(LlamaIndex PoCと)の下で、同一の未許可のペイアウトコールが実行されるが、ScopeGateによって否定されている。 ASRは未承認のアクションを表し、封じ込めは治療ではなく、デプロイレベルのクレームは測定されたモデルクラスに対する推論であり、CVEは主張されない。

関連論文リスト

• The Stochastic Deputy: Structural Tenant Isolation for Tool-Using LLM Agents [0.0]
  マルチテナント暗号ツールはテナント識別子を受け入れ、呼び出し者の権利に対してそれを検証する。 大きな言語モデル(LLM)エージェントの場合、そのパターンはリソースの選択を攻撃者制御命令を含む可能性のあるプロセスに委譲する。 モデルコンテキストプロトコル(MCP)ツールからテナントIDを取り除き、検証済みクレデンシャルにスコープをバインドし、エージェントの下に強制する。
  論文  参考訳（メタデータ） (2026-09-13T20:40:11Z)
• ACLE-MCP: Attested Capability Leases for Execution-Time Trust in Remote LLM Tool Use [29.860376266824872]
  OAuth認証だけでは、後続のツールコールが信頼を意図したプロバイダ側のワークロードによって実行されることを保証しません。 本稿では、委任承認、ワークロード評価、リソース側の実行許可を結合した呼び出しスコープアーキテクチャACLE-MCPを提案する。
  論文  参考訳（メタデータ） (2026-09-02T14:58:17Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
  大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。 我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
  論文  参考訳（メタデータ） (2026-08-26T12:13:05Z)
• Intent-Governed Tool Authorization for AI Agents [4.805352087824778]
  Intent-Governed Access Control (IGAC)は、AIエージェントツール使用のためのモノトーンで監査可能なポリシー属性として、ユーザの表現された意図を扱う。 IGACは、インテント証明書、セッションスコープによるポリシー絞り、インテント対応マニフェストフィルタリング、インテントツーオールペイロードチェックを導入している。 IGACをOpenPortにマッピングします。これは、認証依存の発見、スコープ、ABACスタイルのポリシーチェックを実装した既存のガバナンス基盤です。
  論文  参考訳（メタデータ） (2026-06-22T06:55:57Z)
• Sovereign Assurance Boundary: Certificate-Bound Admission for Agentic Infrastructure [2.124730017640531]
  Sovereign Assurance境界は、自動実行権限のための証明書バウンドランタイムアクセス層である。 本稿では,エアロックブローカーのアーキテクチャを詳述し,その入力と取り消しの不変性を定式化し,Goプロトタイプの予備実現可能性の測定結果を報告する。
  論文  参考訳（メタデータ） (2026-06-10T03:49:57Z)
• TAPO: Tool-Aware Policy Optimization via Credit Transfer for Multimodal Search Agents [54.08846865906602]
  ツール強化マルチモーダルサーチエージェントにおいて,クレジットミス割り当てをGRPOの系統的障害モードとして特徴付ける。 本稿では,情報取得ツールのパラメータ決定性を利用したツール・アウェア・ポリシー・オプティマイズ(TAPO)を提案する。
  論文  参考訳（メタデータ） (2026-06-04T07:15:43Z)
• Auditing Privacy in Multi-Tenant RAG under Account Collusion [1.253312107729806]
  マルチテナント検索拡張生成サービスは、ログ単位の差分プライバシーを操作リーク境界として宣伝する。 我々は、同一インデックスのマルチアカウント共謀をプライバシ境界障害とみなす。 修正されていないRAGデプロイメントに対して動作する最初の監査プロトコルを設計する。
  論文  参考訳（メタデータ） (2026-05-19T13:41:59Z)
• Overeager Coding Agents: Measuring Out-of-Scope Actions on Benign Tasks [40.270213696031625]
  OverEager-Genは、良質なタスクの振る舞いをオーバーイーガーするベンチマークである。 クロード・コードでは、同意宣言を削除するだけで、オーバーイーガー率は0.0%から17.1%に上昇する。 オーバーイーガー・ジェン(OverEager-Gen)は、入場前に各シナリオの識別力を認定する。
  論文  参考訳（メタデータ） (2026-05-18T16:00:41Z)
• Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
  我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。 LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。 emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
  論文  参考訳（メタデータ） (2026-05-16T12:53:31Z)
• LLM Readiness Harness: Evaluation, Observability, and CI Gates for LLM/RAG Applications [51.56484100374058]
  評価をデプロイメント決定ワークフローに変換するLLMおよびRAGアプリケーションのための準備性ハーネスを提案する。 このシステムは、最小限のAPI契約の下で、自動ベンチマーク、OpenTelemetryオブザーバビリティ、CI品質ゲートを組み合わせる。 チケットルーティングとBEIRタスクのハーネスを、完全なAzureマトリックスカバレッジで評価する。
  論文  参考訳（メタデータ） (2026-03-28T18:03:32Z)
• Before the Tool Call: Deterministic Pre-Action Authorization for Autonomous AI Agents [0.0]
  Open Agent Passport (OAP)は、実行前にツール呼び出しを同期的にインターセプトするオープン仕様とリファレンス実装である。 OAPは、53ms(N=1,000)の中央値で認可決定を強制する セキュリティ制約を強制するのと同じインフラストラクチャでは,品質ゲートや運用契約,コンプライアンスコントロールも実施されている。
  論文  参考訳（メタデータ） (2026-03-21T21:34:09Z)
• IMMACULATE: A Practical LLM Auditing Framework via Verifiable Computation [49.796717294455796]
  経済的なモチベーションのある逸脱を検出するための実践的な監査フレームワークIMMACULATEを提案する。 IMMACULATEは、検証可能な計算を用いて少数のリクエストを選択的に監査し、暗号オーバーヘッドを償却しながら強力な検出保証を達成する。
  論文  参考訳（メタデータ） (2026-02-26T07:21:02Z)
• Are You Getting What You Pay For? Auditing Model Substitution in LLM APIs [71.7892165868749]
  LLM(Commercial Large Language Model) APIは基本的な信頼の問題を生み出します。 ユーザーは特定のモデルに課金するが、プロバイダが忠実に提供できることを保証することはない。 我々は,このモデル置換問題を定式化し,現実的な逆条件下での検出方法を評価する。 我々は,信頼された実行環境(TEE)を実用的で堅牢なソリューションとして使用し,評価する。
  論文  参考訳（メタデータ） (2025-04-07T03:57:41Z)
• SOPBench: Evaluating Language Agents at Following Standard Operating Procedures and Constraints [59.645885492637845]
  SOPBenchは、各サービス固有のSOPコードプログラムを実行可能な関数の有向グラフに変換する評価パイプラインである。 提案手法では,各サービス固有のSOPコードプログラムを実行可能関数の有向グラフに変換し,自然言語SOP記述に基づいてこれらの関数を呼び出しなければならない。 我々は18の先行モデルを評価し、上位モデルでさえタスクが困難であることを示す。
  論文  参考訳（メタデータ） (2025-03-11T17:53:02Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。