論文の概要: Hardware Keystores for AI Agent Signing Workflows: A Zero-Trust MCP Enforcement Architecture
- arxiv url: http://arxiv.org/abs/2608.06130v1
- Date: Thu, 06 Aug 2026 15:04:26 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-07 17:43:06.779831
- Title: Hardware Keystores for AI Agent Signing Workflows: A Zero-Trust MCP Enforcement Architecture
- Title（参考訳）: AIエージェントによるワークフロー署名のためのハードウェアキーストア - Zero-Trust MCP Enforcement Architecture
- Abstract要約: ハードウェア集約キーはベンダーニュートラルなPKCSインターフェースを通じてアクセス可能である。
ハードウェアの閉じ込めが主な貢献である。
AgentDojoのPicateAttackテンプレートから派生した12のインジェクションシナリオに対して評価を行った。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: AI agents performing cryptographic operations (signing Git commits, authenticating API calls, issuing certificates) currently store private keys in software-accessible locations: plaintext files, environment variables, or container memory. Any process with sufficient read privileges can extract the raw key material. A recent production incident demonstrated the practical severity: private keys were exfiltrated from a widely deployed framework via email injection in under five minutes. We aim to enforce both key confidentiality and content-aware authorisation for key use. To that end, we replace software-resident keys with hardware-confined keys accessible through a vendor-neutral PKCS#11 interface. A hardware keystore (HSM, TPM, smart card) executes cryptographic operations on-device; the host receives only the result via opaque handles. Hardware confinement is the primary contribution; it is enabled by a surrounding five-layer Zero-Trust enforcement stack comprising session identity (SAGA), scope bounds (Smax), semantic validation (RAV), taint tracking, and the hardware execution boundary. We evaluate against 12 injection scenarios derived from AgentDojo's ImportantInstructionsAttack template (Debenedetti et al., arXiv:2406.13352). We run four LLM models; three follow injections in baseline mode (gpt-oss-120b, Qwen2.5-72B, DeepSeek-V4-Flash, n=192 combined). Baseline Attack Success Rate (ASR): 19.3% [14.3%, 25.4%]; protected ASR: 0% (Wilson 95% CI upper bound 2.0%). Zero false positives across four benign task scenarios.
- Abstract（参考訳）: 暗号化操作を実行するAIエージェント(Gitコミットの署名、API呼び出しの認証、証明書の発行)は現在、プライベートキーをソフトウェアアクセス可能な場所(プレーンテキストファイル、環境変数、コンテナメモリ)に格納している。
十分な読み込み権限を持つプロセスは、生のキー資料を抽出することができる。
プライベートキーは5分以内にEメール注入によって広くデプロイされたフレームワークから流出した。
キーの機密性とコンテンツ対応の認証の両方をキーとして実施することを目指しています。
そこで我々は,ベンダニュートラルなPKCS#11インターフェースを通じてアクセス可能な,ハードウェアを内蔵したキーに置き換える。
ハードウェアキーストア(HSM、TPM、スマートカード)はデバイス上で暗号化操作を実行する。
ハードウェア閉じ込めは、セッションアイデンティティ(SAGA)、スコープ境界(Smax)、セマンティックバリデーション(RAV)、テイント追跡(taint tracking)、ハードウェア実行境界を含む周囲の5層Zero-Trust強制スタックによって実現される。
AgentDojo の important InstructionsAttack テンプレート (Debenedetti et al , arXiv:2406.13352) から派生した12のインジェクションシナリオに対して評価を行った。
ベースラインモード(gpt-oss-120b、Qwen2.5-72B、DeepSeek-V4-Flash、n=192)で3つのLLMモデルを実行します。
ベースライン攻撃成功率(ASR):19.3%(14.3%、25.4%)、保護されたASR:0%(ウィルソン95%CI上限2.0%)。
4つの明確なタスクシナリオの偽陽性をゼロにする。
関連論文リスト
- SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。
操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。
SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
論文 参考訳（メタデータ） (2026-08-31T03:39:43Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - Stealing Reasoning Traces from Proprietary LLM APIs [84.58379404903394]
我々は、暗号化された推論トレースのためのスケーラブルな復号化ジェイルブレイクを開発する。
抗蒸留機構を回避し、敵がプロプライエタリなモデルの推論を抽出できるようにする。
それは必然的に、推論プロセス内に隠された有害な情報を明らかにします。
論文 参考訳（メタデータ） (2026-08-10T17:24:50Z) - SkillGate: Cost Efficient Runtime Malicious Skill File Detection in Coding Agents [9.553517006800913]
ソフトウェアエンジニアリングチームは、AIコーディングエージェントを第一級の生産性ツールとしてデプロイした。
悪意のあるスキルファイルは、エージェントの振る舞いをサイレントにプログラムしたり、認証情報を流出させたり、生成されたコードにバックドアを注入したり、エージェントアクションを攻撃者が制御するエンドポイントにリダイレクトしたりすることができる。
我々は、エージェントのインストール前にAIスキルパッケージをスクリーニングするデプロイ可能なセキュリティゲートウェイであるSkillGateを紹介する。
論文 参考訳（メタデータ） (2026-07-28T11:50:19Z) - Buzz to Boom: Detecting Message Progression Vulnerabilities in Electron Applications via Segmented Directed Fuzzing [26.33861052551835]
Electronはクロスプラットフォームデスクトップアプリケーションを構築するための人気のあるフレームワークである。
メッセージ伝搬挙動はメッセージ脆弱性(MPV)として特徴づけられる
本稿では,メッセージパッシングによるプロセス間エクスプロイトを検出するフレームワークであるProtonを紹介する。
論文 参考訳（メタデータ） (2026-07-22T20:11:33Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Overeager Coding Agents: Measuring Out-of-Scope Actions on Benign Tasks [40.270213696031625]
OverEager-Genは、良質なタスクの振る舞いをオーバーイーガーするベンチマークである。
クロード・コードでは、同意宣言を削除するだけで、オーバーイーガー率は0.0%から17.1%に上昇する。
オーバーイーガー・ジェン(OverEager-Gen)は、入場前に各シナリオの識別力を認定する。
論文 参考訳（メタデータ） (2026-05-18T16:00:41Z) - LivePI: More Realistic Benchmarking of Agents Against Indirect Prompt Injection [18.354880541606004]
LivePIは、プロダクション風だがテスト制御された環境でIPIリスクの構造化されたベンチマークである。
LivePIは7つの入力面、12の攻撃/レンダリングファミリー、5つの悪意のある目標をカバーしている。
グループチャットインジェクションは、デプロイメントにおいて評価されたバックボーン全体で均一に成功しています。
論文 参考訳（メタデータ） (2026-05-18T07:41:35Z) - CapSeal: Capability-Sealed Secret Mediation for Secure Agent Execution [1.9473631530390483]
CapSealは、ダイレクトシークレットアクセスをローカルの信頼できるブローカによる制約付き呼び出しに置き換える、機能封入のシークレット仲介アーキテクチャである。
我々は、MPP対応アダプタと統合されたRustプロトタイプについて、非開示、制約された使用、リプレイ抵抗、監査可能性のための条件付きセキュリティ目標を定式化した。
論文 参考訳（メタデータ） (2026-04-18T00:23:32Z) - Compiling Activation Steering into Weights via Null-Space Constraints for Stealthy Backdoors [48.881343993730844]
安全性に整合した大規模言語モデル(LLM)は、現実世界のパイプラインにますますデプロイされている。
敵は通常の評価では動作しないバックドアのチェックポイントを配布することができる。
最近のポストホック重み付け法は、そのようなバックドアを注入するための効率的なアプローチを提供する。
論文 参考訳（メタデータ） (2026-04-14T06:48:33Z) - Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain [6.142057368768942]
大規模言語モデル(LLM)エージェントは、ツール呼び出し要求のディスパッチにサードパーティのAPIルータに依存している。
本研究は,この攻撃面に関する最初の系統的研究である。
論文 参考訳（メタデータ） (2026-04-09T16:06:41Z) - SecCodeBench-V2 Technical Report [43.10947096543533]
SecCodeBench-V2は,セキュアなコードを生成するLarge Language Model (LLM)コピロの能力を評価するためのベンチマークである。
SecCodeBench-V2は、アリババグループの工業生産から派生した98世代および修正シナリオを含む。
各シナリオに対して、SecCodeBench-V2は、機能検証とセキュリティ検証の両方に対して実行可能な概念実証(PoC)テストケースを提供する。
論文 参考訳（メタデータ） (2026-02-17T10:47:06Z) - Trace: Securing Smart Contract Repository Against Access Control Vulnerability [58.02691083789239]
GitHubはソースコード、ドキュメント、設定ファイルを含む多数のスマートコントラクトリポジトリをホストしている。
サードパーティの開発者は、カスタム開発中にこれらのリポジトリからコードを参照、再利用、フォークすることが多い。
スマートコントラクトの脆弱性を検出する既存のツールは、複雑なリポジトリを扱う能力に制限されている。
論文 参考訳（メタデータ） (2025-10-22T05:18:28Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。