論文の概要: Beyond Single-Use Tokens: Durable Authorization State for Replay-Resistant LLM Agent Actions
- arxiv url: http://arxiv.org/abs/2608.01710v1
- Date: Mon, 03 Aug 2026 05:16:02 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-04 15:07:25.333075
- Title: Beyond Single-Use Tokens: Durable Authorization State for Replay-Resistant LLM Agent Actions
- Title（参考訳）: シングルユーストークンを超えて:リプレイ耐性 LLM エージェントアクションのための永続的な認証状態
- Abstract要約: この失敗セマンティックリプレイは、トークン非依存の認証インスタンスの実行予算を超えたものです。
単調な耐久性を保たない限り,識別子ローカルトークンの使用は新鮮な再発行を防げないことを示す。
この結果から, トークン表現のみではなく, リプレイ耐性エージェント実行のためのシステム要件として, 耐久性の高い認証状態が同定された。
- 参考スコア（独自算出の注目度）: 6.029029648872896
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Tool-using large language model agents frequently replan, retry failed operations, delegate tasks, and resume after crashes. These behaviors can cause one user authorization to be requested and executed multiple times under freshly issued token identifiers, even when each individual token is single-use. We call this failure semantic replay: exceeding the execution budget of a token-independent authorization instance rather than merely reusing an old token identifier. We show that identifier-local token consumption cannot prevent fresh reissuance unless the issuer retains monotonic durable state over the authorized action, confirmation event, and remaining execution budget. We introduce CapLease, an authorization-consumption layer that follows proposal- and authority-level defenses, binds an authenticated user confirmation to a canonical action, and enforces transactional Issue-Prepare-Commit transitions. Across LLM-agent replanning, retry, delegation, concurrency, confirmation-replay, and crash-recovery scenarios, identifier-local tokens permit fresh semantic reissuance, whereas CapLease and an equally stateful Server Ledger prevent duplicate admission and, with an idempotent sink, duplicate external effects. Our results identify durable authorization state, rather than token representation alone, as the systems requirement for replay-resistant agent execution.
- Abstract（参考訳）: ツールを使用する大規模言語モデルエージェントは、頻繁に再計画し、失敗した操作をリトライし、タスクをデリゲートし、クラッシュ後に再開する。
これらの振る舞いは、個々のトークンがシングルユースである場合でも、新たに発行されたトークン識別子の下で、1つのユーザ認証を複数回要求、実行させる可能性がある。
古いトークン識別子を単に再利用するのではなく、トークン非依存の認証インスタンスの実行予算を超えます。
認証された動作,確認イベント,実行予算に対する単調な耐久性を保たない限り,識別子ローカルトークンの使用は新鮮な再発行を防げないことを示す。
本稿では,提案および権限レベルの防衛に従う認証・消費層であるCapLeaseを紹介し,認証されたユーザ確認を標準動作にバインドし,トランザクション上の課題・事前コミット移行を実施する。
LLM-agentのリプラン、リトライ、デリゲート、並行性、確認-再生、クラッシュ-リカバリのシナリオ全体において、識別子ローカルトークンは新鮮なセマンティックリ発行を許可する。
この結果から, トークン表現のみではなく, リプレイ耐性エージェント実行のためのシステム要件として, 耐久性の高い認証状態が同定された。
関連論文リスト
- ACLE-MCP: Attested Capability Leases for Execution-Time Trust in Remote LLM Tool Use [29.860376266824872]
OAuth認証だけでは、後続のツールコールが信頼を意図したプロバイダ側のワークロードによって実行されることを保証しません。
本稿では、委任承認、ワークロード評価、リソース側の実行許可を結合した呼び出しスコープアーキテクチャACLE-MCPを提案する。
論文 参考訳（メタデータ） (2026-09-02T14:58:17Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - KeyPooling: Measuring Where LLM API Relay Paths Collapse Prompt Cache Isolation [53.952294884822955]
大規模言語モデル(LLM)APIは、顧客の認証を別々に行うが、多くの場合、共有プロバイダ認証を通じて要求を転送する。
KeyPoolingは、キャッシュのルックアップと書き込みを通じて顧客のアイデンティティをトレースする測定方法である。
すべての顧客がプロバイダ強化されたドメインに入る必要があります。
論文 参考訳（メタデータ） (2026-08-18T08:12:34Z) - Turning Interaction History into Execution State: A Runtime Layer for Long-Horizon Coding Agents [48.967927222079965]
Ledgerは、エージェントの完了したインタラクションを明示的な実行状態に蒸留するランタイム層である。
Ledgerはこの状態をオンライン実行台帳に保持し、各ステップの2つのバウンダリに適用される。
500のSWE-bench検証インスタンス全体で、LedgerはPass@1を56.2%から64.2%に、GPT-5 miniを75.8%から81.0%に、MiniMax M2.5を81.0%に引き上げている。
論文 参考訳（メタデータ） (2026-08-01T18:25:00Z) - PhyAgentOS: A Self-Evolving Operating System for Embodied Agents with Decoupled Cognitive Planning and Physical Execution [49.776611937968]
我々は、スケジューリング、検証、メモリ、ベンチマーク、安全性をシステムレベルのサービスとして提供するPhyAgentOSを紹介します。
セッション中心のセッションは、スケジューリング、互換性、監督された実行、エビデンス収集、受け入れの最小単位として、アクションではなくセッションを扱う。
SessionVerifierは、実行終了とセマンティックタスク完了を、成功、失敗、または再計画のエビデンスに基づいて判断する。
ベンチマークはデプロイメントセッションと検証パスを再利用するので、結果は実際の実行に遡る。
論文 参考訳（メタデータ） (2026-07-18T04:46:53Z) - Sovereign Execution Broker: Enforcing Certificate-Bound Authority in Agentic Control Planes [2.124730017640531]
Sovereign Execution Broker (SEB) は証明書バウンドエージェントインフラストラクチャのランタイム実行境界である。
提案、承認、実行を分離することで、SEBは認定された権限を短期間で監査可能なランタイム能力に変換する。
本稿では,SEBの実行モデル,証明書と再生検証の述語,スコープ付きアイデンティティセマンティクス,バイパス防止デプロイメントパターン,障害行動,具体的プロトタイプ実装について述べる。
論文 参考訳（メタデータ） (2026-06-18T17:36:46Z) - Sovereign Assurance Boundary: Certificate-Bound Admission for Agentic Infrastructure [2.124730017640531]
Sovereign Assurance境界は、自動実行権限のための証明書バウンドランタイムアクセス層である。
本稿では,エアロックブローカーのアーキテクチャを詳述し,その入力と取り消しの不変性を定式化し,Goプロトタイプの予備実現可能性の測定結果を報告する。
論文 参考訳（メタデータ） (2026-06-10T03:49:57Z) - PRISM: : Planning and Reasoning with Intent in Simulated Embodied Environments [59.07829883257003]
5つの集合住宅の上に建設され、PRISMは300の人間認証タスクを3つの能力レベルに構成する。
PRISMはエージェントに依存しない実行可能なアクションAPIを公開し、任意のエージェントをエンドツーエンドで評価できるようにする。
論文 参考訳（メタデータ） (2026-05-12T04:59:47Z) - Authorization Propagation in Multi-Agent AI Systems: Identity Governance as Infrastructure [0.0]
我々はこの問題を認可伝搬と呼ぶ。
RBAC、ABAC、ReBACのような古典的なアクセス制御モデルでは、完全には対処できない。
この論文は、認可伝達をワークフローレベルのプロパティとして形式化し、3つのサブプロブレムを特定し、マルチエージェントAIシステムにおける認可アーキテクチャの7つの構造的要件を導出する。
論文 参考訳（メタデータ） (2026-05-06T20:56:17Z) - IMMACULATE: A Practical LLM Auditing Framework via Verifiable Computation [49.796717294455796]
経済的なモチベーションのある逸脱を検出するための実践的な監査フレームワークIMMACULATEを提案する。
IMMACULATEは、検証可能な計算を用いて少数のリクエストを選択的に監査し、暗号オーバーヘッドを償却しながら強力な検出保証を達成する。
論文 参考訳（メタデータ） (2026-02-26T07:21:02Z) - Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
セルフ進化エージェントはセッション間で内部状態を更新する。
我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。
我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
論文 参考訳（メタデータ） (2026-02-17T15:28:24Z) - Agentic JWT: A Secure Delegation Protocol for Autonomous AI Agents [0.6747475365990533]
エージェント設定の推論、プロンプトインジェクション、マルチエージェントオーケストレーションは、サイレントに特権を拡張することができる。
本稿では,エージェントのアクションをユーザインテントにバインドする2面インテントトークンであるAgentic JWT(A-JWT)を紹介する。
A-JWTはエージェントのアイデンティティを、そのプロンプト、ツール、設定から派生したワンウェイハッシュとして保持する。
論文 参考訳（メタデータ） (2025-09-16T23:43:24Z) - Memory Injection Attacks on LLM Agents via Query-Only Interaction [49.14715983268449]
我々は,攻撃者がエージェントのメモリバンクを直接変更できると仮定することなく,新たなメモリインジェクション攻撃(MINJA)を提案する。
攻撃者は、クエリと出力観察を通してエージェントとのみ対話することで、悪意のあるレコードをメモリバンクに注入する。
MINJAは、任意のユーザがエージェントメモリに影響を与え、リスクを強調します。
論文 参考訳（メタデータ） (2025-03-05T17:53:24Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。