論文の概要: Securing Multi-Tool AI Agent Chains With Dynamic, Real-Time Compositional Policies
- arxiv url: http://arxiv.org/abs/2607.03423v1
- Date: Fri, 03 Jul 2026 15:36:44 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-07 22:26:29.608487
- Title: Securing Multi-Tool AI Agent Chains With Dynamic, Real-Time Compositional Policies
- Title（参考訳）: 動的でリアルタイムなコンポジションポリシによるマルチツールAIエージェントチェーンのセキュア化
- Abstract要約: マルチツールエージェントチェーンの構成セキュリティに対する2相アプローチを提案する。
セッションチェックアウトでは、Most Restrictive Setアルゴリズムは、ツールごとのセキュリティポリシーを単一の効果的なポリシーに構成する。
フェーズ2では、エージェントが触れるデータの感度をモノトニックな汚染状態を通じて追跡し、蓄積した露出がその後のツールをポリシー違反と呼ぶ場合、セッションを無効にする。
- 参考スコア（独自算出の注目度）: 0.32584139093118714
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Modern AI agent implementations such as frontier coding agents chain multiple tools at runtime that create a security surface that per-tool guardrails are unable to address, as individually permitted tools can violate organizational policies when composed. We propose the Dynamic Security Control Compositor (DSCC), a two-phase approach to compositional security for multi-tool agent chains. In Phase 1, at session checkout, a Most Restrictive Set (MRS) algorithm composes per-tool security policies into a single effective policy with a formal monotonicity invariant that extending a chain can only tighten the result, blocking incompatible combinations before any tool executes. Outputs of any tool call propagate their classification constraints into a session-level taint state, so subsequent invocations must satisfy the most restrictive constraints seen so far. In Phase 2, at runtime, the system tracks the sensitivity of data the agent touches through a monotonic taint state and revokes the session if the accumulated exposure would make a subsequent tool call a policy violation. Together, these phases provide defense in depth, where static composition prevents unsafe chains from starting, and runtime taint tracking catches violations that emerge from the specific data used. We provide a reference implementation on 32 tools governed by 16 NIST SP 800-53 aligned policies and evaluate it under two composition modes. In the default clearance mode, permitted combinations are partitioned into classification-level clusters, blocking 79.2% of policy pairs and 95.5% of triples. The alternative taint mode admits mixed-classification chains within the exfiltration boundary, blocking 42.5% and 60.5% respectively. We discuss the governance implications for organizations deploying multi-tool agents, including the utility-security tradeoff and the changes needed to operationalize chain-aware policies.
- Abstract（参考訳）: フロンティアコーディングエージェントのような現代のAIエージェントの実装は、ツールごとのガードレールが対処できないセキュリティサーフェスを作成する複数のツールを実行時にチェーンする。
マルチツールエージェントチェーンの構成セキュリティのための2段階のアプローチである動的セキュリティ制御コンポータ(DSCC)を提案する。
セッションチェックアウトのフェーズ1では、Mest Restrictive Set (MRS) アルゴリズムが、ツールが実行される前に互換性のない組み合わせをブロックし、チェーンを拡張することしかできない形式的な単調な不変性を持つ単一の効果的なポリシーに、ツールごとのセキュリティポリシーを構成する。
任意のツール呼び出しの出力は、その分類制約をセッションレベルのテナント状態に伝達するので、その後の呼び出しは、これまで見てきた最も制限的な制約を満たさなければならない。
フェーズ2では、エージェントが触れるデータの感度をモノトニックな汚染状態を通じて追跡し、蓄積した露出がその後のツールをポリシー違反と呼ぶ場合、セッションを無効にする。
これらのフェーズを合わせて、静的なコンポジションが安全でないチェーンの開始を防ぎ、実行時のtaintトラッキングが使用される特定のデータから発生する違反をキャッチする。
16のNIST SP 800-53対応ポリシーで管理される32のツールに対して参照実装を行い、2つの合成モードで評価する。
デフォルトクリアランスモードでは、許可された組み合わせを分類レベルクラスタに分割し、ポリシーペアの79.2%とトリプルの95.5%をブロックする。
代替のテイントモードでは、濾過境界内での混合分類連鎖を認め、それぞれ42.5%と60.5%をブロックする。
ユーティリティセキュリティのトレードオフや,チェーン対応ポリシの運用に必要な変更など,マルチツールエージェントをデプロイする組織におけるガバナンスの影響について論じる。
関連論文リスト
- HazardAuditor: From Executable Threats to Safer Computer-Use Agents [50.06351661912873]
既存のガードモデルは静的なプロンプトと応答をターゲットとしている。
既存の安全プラットフォームは、正規化された監督ではなく、ガードモデルで学ぶ必要がある評価判断を生成する。
両ギャップを埋める実行基盤フレームワークであるHazardAuditorを紹介します。
論文 参考訳（メタデータ） (2026-09-14T07:09:33Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - Shieldstral [183.97744446582863]
Shieldstralはポリシー適応型マルチモーダル安全分類器で、テキスト安全性ベンチマークで約7$timesのモデルに適合または性能を向上する。
本稿では、約54.1Mサンプルのキュレーションと生成をカバーしたデータ構築レシピと、政策適応性を評価するためのきめ細かい評価セットを提案する。
論文 参考訳（メタデータ） (2026-07-28T15:27:53Z) - SingGuard: A Policy-Adaptive Multimodal LLM Guardrail with Dynamic Reasoning [0.0]
マルチモーダル会話における安全評価のためのポリシー適応型ガードレールモデルファミリーである textbfSingGuard を提案する。
SingGuardはアクティブポリシーをランタイム入力として扱う。
ターゲットコンテンツをアクティブポリシールールに対してルールでチェックし、安全ラベルとトリガルールの両方を予測する。
論文 参考訳（メタデータ） (2026-06-22T05:37:43Z) - Auditing Agent Harness Safety [81.22315979618612]
LLMエージェントは、ツールをディスパッチし、リソースを割り当て、特別なコンポーネント間でメッセージをルーティングする実行ハーネスの中でますます動作します。
ほとんどの安全ベンチマークは最終出力または終端状態のみをスコアするが、多くの違反は終端ではなく、軌道の途中で発生する。
HarnessAuditは、境界コンプライアンス、実行の忠実さ、システムの安定性など、完全な実行軌跡を監査するフレームワークである。
論文 参考訳（メタデータ） (2026-05-14T02:14:28Z) - SafeHarness: Lifecycle-Integrated Security Architecture for LLM-based Agent Deployment [19.947119280467934]
セーフハーネス(Safeharness)は、4つの防衛レイヤがエージェントライフサイクルに直接織られるセキュリティアーキテクチャである。
ベンチマークデータセットの安全性を、多様なハーネス構成で評価する。
論文 参考訳（メタデータ） (2026-04-15T08:59:00Z) - Semantic Intent Fragmentation: A Single-Shot Compositional Attack on Multi-Agent AI Pipelines [0.9772267314090434]
LLMオーケストレーションシステムに対する攻撃クラスとして,SIF(Semantic Intent Fragmentation)を導入する。
SIFは、バルクスコープ、サイレントデータ抽出、組み込みトリガデプロイメント、擬似識別アグリゲーションの4つのメカニズムを利用する。
GPT-20Bオーケストレータは71%のケースでポリシー違反の計画を作成し、各サブタスクは良心的に見える。
論文 参考訳（メタデータ） (2026-04-08T18:19:03Z) - Primary-Fine Decoupling for Action Generation in Robotic Imitation [91.2899765310853]
ロボット操作動作シーケンスにおけるマルチモーダル分布は、模倣学習にとって重要な課題である。
PF-DAG(プライマリ・フィン・デカップリング・フォー・アクション・ジェネレーション、プライマリ・フィン・デカップリング・フォー・アクション・ジェネレーション、プライマリ・フィン・デカップリング・フォー・アクション・ジェネレーション、プライマリ・フィン・デカップリング・フォー・アクション・ジェネレーション、プライマリ・フィン・デカップリング・フォー・アクション・ジェネレーション、プライマリ・フィン・デカップリング・フォー・アクション・ジェネレーション、PF-DAG)を提案する。
PF-DAGは、Adroit、DexArt、MetaWorldベンチマークの56タスクで最先端のベースラインを上回っている。
論文 参考訳（メタデータ） (2026-02-25T08:36:45Z) - QuadSentinel: Sequent Safety for Machine-Checkable Control in Multi-agent Systems [22.833567409552074]
textscQuadSentinelは、安全ポリシーをマシンチェック可能なルールにコンパイルする4エージェントガードである。
textscQuadSentinelは偽陽性を減らしながらガードレールの精度とルールリコールを改善する。
論文 参考訳（メタデータ） (2025-12-18T07:58:40Z) - Analyzing and Internalizing Complex Policy Documents for LLM Agents [53.14898416858099]
大規模言語モデル(LLM)ベースのエージェントシステムは、多様なビジネスルールをコードするコンテキスト内ポリシー文書に依存している。
これは、パフォーマンスを保ちながら、ポリシー文書をモデルプリエントに組み込む内部化手法の開発を動機付けます。
CC-Genは4つのレベルにまたがる制御可能な複雑度を持つエージェントベンチマークジェネレータである。
論文 参考訳（メタデータ） (2025-10-13T16:30:07Z) - STAC: When Innocent Tools Form Dangerous Chains to Jailbreak LLM Agents [38.755035623707656]
本稿では,エージェントツールの利用を生かした新しいマルチターンアタックフレームワークSTACについて紹介する。
我々は,483のSTACケースを自動生成し,評価するために,1,352セットのユーザエージェント環境相互作用を特徴とするフレームワークを適用した。
GPT-4.1を含む最先端のLSMエージェントはSTACに対して極めて脆弱であり,攻撃成功率(ASR)は90%以上である。
論文 参考訳（メタデータ） (2025-09-30T00:31:44Z) - DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。
この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。
本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文 参考訳（メタデータ） (2025-06-13T05:01:09Z) - Uniformly Safe RL with Objective Suppression for Multi-Constraint Safety-Critical Applications [73.58451824894568]
広く採用されているCMDPモデルは予測のリスクを制約しており、長い尾の州で危険な行動を起こす余地がある。
安全クリティカルな領域では、そのような行動は破滅的な結果をもたらす可能性がある。
本稿では,目標を最大化するタスク報酬を適応的に抑制する新しい手法であるObjective Suppressionを提案する。
論文 参考訳（メタデータ） (2024-02-23T23:22:06Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。