論文の概要: Context-to-Execution Integrity for LLM Agents
- arxiv url: http://arxiv.org/abs/2607.06000v1
- Date: Tue, 07 Jul 2026 08:38:50 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-08 21:24:51.457678
- Title: Context-to-Execution Integrity for LLM Agents
- Title（参考訳）: LLMエージェントのコンテキスト・ツー・実行統合性
- Abstract要約: Context-to-Execution Integrity (CXI)はこの設定の実行バウンダリシステムである。
我々は、オープンウェイトフィールドプロジェクションの実行、AgentDojoライブエピソード、コードエージェントの正確な効果ベンチマーク、マニフェストバウンドの台帳故障、プロポーザルプレッシャ制御、ホスト/API互換性トレースについてCXIを評価した。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Language-model agents read attacker-writable context to solve tasks. Tool execution needs a separate authority check for protected sink fields, sink-interpreted payloads, and the invocation event. Context-to-Execution Integrity (CXI) is an execution-boundary system for this setting. Policies mark protected sink fields, typed releases carry narrow validated values from writable context to specific destinations, opaque data slots keep evidence as data, and a deterministic gate admits a call only after field authority, exact-effect authorization, and invocation authority all bind to the same action manifest. We evaluate CXI on open-weight field-projection runs, AgentDojo live episodes, a code-agent exact-effect benchmark, manifest-bound ledger faults, proposal-pressure controls, and hosted/API compatibility traces. AgentDojo covers 720 live episodes and 1,739 LLM calls; the code-agent benchmark covers 400 repository episodes with exact-effect authorization and lease-bound execution, yielding 231 safe task completions and zero observed field, effect, or invocation escapes. The accounting reports parser outcomes, authorization outcomes, and task-quality outcomes together with the admission-integrity result. Across the evaluated sinks, CXI admits execution only when field, effect, and invocation authority bind to the same action manifest.
- Abstract（参考訳）: 言語モデルエージェントは、タスクを解決するために攻撃者対応のコンテキストを読み取る。
ツールの実行には、保護されたシンクフィールド、シンク解釈されたペイロード、呼び出しイベントの別の権限チェックが必要です。
Context-to-Execution Integrity (CXI)はこの設定の実行バウンダリシステムである。
ポリシーは保護されたシンクフィールドをマークし、型付きリリースは、書き込み可能なコンテキストから特定の宛先への狭い検証された値を持ち、不透明なデータスロットはエビデンスをデータとして保持し、決定論的ゲートは、フィールド権限、正確なエフェクト認証、呼び出し権限がすべて同じアクションマニフェストにバインドする。
我々は、オープンウェイトフィールドプロジェクションの実行、AgentDojoライブエピソード、コードエージェントの正確な効果ベンチマーク、マニフェストバウンドの台帳故障、プロポーザルプレッシャ制御、ホスト/API互換性トレースについてCXIを評価した。
AgentDojoは720のライブエピソードと1,739のLDMコールをカバーする。Code-agentベンチマークは400のリポジトリエピソードをカバーし、正確なエフェクトの承認とリースバウンドの実行をカバーし、231のタスク完了と、観察されたフィールド、エフェクト、呼び出しエスケープをゼロにする。
会計は、受入積分結果とともにパーサー結果、承認結果、タスク品質の結果を報告する。
評価されたシンク全体にわたって、CXIは、フィールド、エフェクト、呼び出し権限が同じアクションマニフェストに結びつく場合にのみ、実行を認める。
関連論文リスト
- CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls [6.892500414166659]
セキュリティクリティカルなコンテキストは、コンポーネント境界を越えたアクションとしてドロップ、拡大、リバウンド、あるいは再解釈される。
エージェントセキュリティ制御の検証可能な構成のためのフレームワークであるITYを紹介する。
論文 参考訳（メタデータ） (2026-09-04T15:26:35Z) - When Tool Outputs Become Commands: Separating Action Induction from Runtime Authorization in Tool-Augmented LLM Agents [11.018574747618173]
動作誘導と実行承認を異なるランタイムロールとして扱うSARAを提案する。
AgentDojoとAgentDynにまたがって、SARAは4つの主要な評価設定でASRを0.63%に制限している。
論文 参考訳（メタデータ） (2026-08-27T13:59:04Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - OpenAgentFlow: Enabling System-Wide Safety Boundaries for Heterogeneous AI Agent Fleets [30.42587289236515]
制御プレーン/アクションプレーンアーキテクチャであるOpenAgentFlowについて述べる。
GUI、API、ツール、LLM生成アクションは共通のAgentEventストリームに正規化され、共有事前実行ポリシー実行ポイントによって仲介される。
これにより、互換性のないエグゼクタ間で共通のガバナンス層が提供され、エージェント、プロンプト、モデル、実行パスを変更することなく、新しいポリシーが有効になる。
論文 参考訳（メタデータ） (2026-08-14T02:55:59Z) - Formal Verification of Agentic Systems over Operational Data [59.98246281888422]
大規模言語モデル(LLM)によって駆動されるエージェントシステムは、永続的な運用データを扱う現実世界にますます展開されている。
既存のアプローチはそのようなシステムレベルの保証を提供していません。
本稿では, 1 つの LLM とツールオーケストレーションハーネスからなるエージェントシステムのリレーショナル操作データに対する検証について述べる。
論文 参考訳（メタデータ） (2026-08-04T13:01:30Z) - FAVA: Formal Authorization for Verified Agents with Evidence-Backed Permission Graphs [11.447078130049512]
FAVAは、エージェントの実行を許可する認可フレームワークである。
OpenAgentSafety、OctoBench、ActPlaneのシナリオでFAVAを評価する。
論文 参考訳（メタデータ） (2026-07-29T09:41:07Z) - Agent Security Needs Redefinition through a Holistic Framework [46.88917910966891]
被告は、命令が悪意あるように見えるかどうかを問う。ベンチマークは、エージェントが有害な鳴き声を行うかどうかを問う。
我々は,エージェントの軌道全体にわたって連続的に評価されなければならない4つの特性を通じて,コンテキストセキュリティを運用する。
論文 参考訳（メタデータ） (2026-07-24T06:43:09Z) - PhyAgentOS: A Self-Evolving Operating System for Embodied Agents with Decoupled Cognitive Planning and Physical Execution [49.776611937968]
我々は、スケジューリング、検証、メモリ、ベンチマーク、安全性をシステムレベルのサービスとして提供するPhyAgentOSを紹介します。
セッション中心のセッションは、スケジューリング、互換性、監督された実行、エビデンス収集、受け入れの最小単位として、アクションではなくセッションを扱う。
SessionVerifierは、実行終了とセマンティックタスク完了を、成功、失敗、または再計画のエビデンスに基づいて判断する。
ベンチマークはデプロイメントセッションと検証パスを再利用するので、結果は実際の実行に遡る。
論文 参考訳（メタデータ） (2026-07-18T04:46:53Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - From Tool Connection to Execution Control: Benchmarking Security Invariants in MCP-Style Agent Runtimes [8.419155861590548]
エージェントが接続から実行に移行すると、セキュリティ決定はクライアント、サーバ、プロンプト、承認ダイアログ、デプロイメント、ログに分割される。
本稿では,実行層不変性を明示的かつテスト可能とし,MPPのようなエコシステムを維持できるかどうかを問う。
MCPスタイルのエージェント実行のためのハンドルキャパビリティプロトコル参照ランタイムであるHCPで、これらの不変性を実装します。
論文 参考訳（メタデータ） (2026-06-27T20:17:43Z) - Tracing Target Answers in Poisoned Retrieval Corpora via Token Influence Attribution [45.91389330863296]
TRACEは、トークン影響の帰属を通じて応答関連トークンを追跡することによって、毒攻撃を識別する。
TRACEはまず、検索した文書間で繰り返し発生する高影響キーワードを発見し、次にモデル予測への影響を確認するための二次検証を行う。
論文 参考訳（メタデータ） (2026-06-24T11:39:26Z) - Cordon: Semantic Transactions for Tool-Using LLM Agents [11.567293065381918]
本稿では,コミット前にエージェント効果のステージングと検証を行うトランザクションランタイムシステムであるCordonを紹介する。
適度な承認とレイテンシのオーバーヘッドで、良質なタスク補完を保ちながら、不可逆的な効率の失敗を減らす。
論文 参考訳（メタデータ） (2026-06-16T06:21:14Z) - SecureClaw: Clawing Back Control of LLM Agents [5.952015302242554]
ツールを使用する大規模言語モデル(LLM)エージェントは2つの異なるセキュリティ障害に直面している。
本稿では、エフェクトシンクに認証を配置し、リードバウンダリにプレーンテキストを閉じ込めるデュアルバウンダリアーキテクチャであるSecureClawを提案する。
AgentDojo、AgentLeak、Agent Security Bench (ASB)、SecureClawは、私たちが共通のハーネスで評価する唯一の防御です。
論文 参考訳（メタデータ） (2026-06-08T14:29:01Z) - Proof-Carrying Agent Actions: Model-Agnostic Runtime Governance for Heterogeneous Agent Systems [0.6526824510982799]
本稿では,アクション証明書を中心としたランタイム中立ガバナンスモデルであるProof-Carrying Agent Actions (PCAA)を提案する。
PCAAは5つのチェックポイント(事前行動の許容、行動のオープン、仮定のキャプチャ、承認、結果のクロージャ)を統括する。
異種エージェント制御プレーンと開示バウンダリ評価プロトコルの参照実装を用いてモデルについて検討する。
論文 参考訳（メタデータ） (2026-06-02T18:10:35Z) - Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。
LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。
emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
論文 参考訳（メタデータ） (2026-05-16T12:53:31Z) - AJ-Bench: Benchmarking Agent-as-a-Judge for Environment-Aware Evaluation [71.49152943451328]
我々は,AJ-Benchベンチマークを導入し,ドメイン検索,データシステム,グラフィカルユーザインタフェースの3つの領域にまたがるエージェント・アズ・ア・Judgeを評価する。
実験ではLLM-as-a-Judgeベースラインよりも一貫したパフォーマンス向上を示し、エージェントベースの検証においてかなりオープンな課題を明らかにした。
論文 参考訳（メタデータ） (2026-04-20T13:23:38Z) - A Trace-Based Assurance Framework for Agentic AI Orchestration: Contracts, Testing, and Governance [0.22940141855172028]
本稿では,Large Language Models (LLM) を用いたエージェントAIシステムの保証フレームワークを提案する。
実行は、明示的なステップとトレースコントラクトを備えたメッセージ・アクション・トレース(MAT)として実装される。
このフレームワークは、有界摂動に対する予算付き反例探索として定式化されたストレステストを含む。
論文 参考訳（メタデータ） (2026-03-18T10:23:48Z) - AgentSys: Secure and Dynamic LLM Agents Through Explicit Hierarchical Memory Management [47.49917373646469]
既存の防御は肥大した記憶を与えられたまま扱い、回復力を維持することに集中する。
我々は、明示的なメモリ管理を通じて間接的なインジェクションを防御するフレームワークであるAgentSysを紹介する。
論文 参考訳（メタデータ） (2026-02-07T06:28:51Z) - DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。
この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。
本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文 参考訳（メタデータ） (2025-06-13T05:01:09Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。