論文の概要: Bounded Agents: Delegation Security for Multi-Agent AI Systems

• arxiv url: http://arxiv.org/abs/2608.15888v1
• Date: Sun, 16 Aug 2026 18:38:00 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-18 19:59:03.460607
• Title: Bounded Agents: Delegation Security for Multi-Agent AI Systems
• Title（参考訳）: 境界エージェント: マルチエージェントAIシステムのデリゲートセキュリティ
• Abstract要約: LLMベースのエージェントは、ユーザの代理として、クラウドサービスへのアクセス、ツールの呼び出し、エージェントの呼び出しを行うことができる。 セッション開始時にエージェントの許可は設定されるが、静的のままであり、各リクエストは独立して評価される。 プロンプトインジェクションは、エージェントがそのようなアクションを実行する権限を持っている場合にのみリスクを引き起こす。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: LLM-based agents can act on behalf of a user to access cloud services, call tools, or invoke agents. At session start, the agent's permissions are set but remain static, and each request is evaluated independently, without considering prior actions. Within its permissions, an agent may act contrary to the delegated task, combine individually permitted actions into a prohibited outcome, or delegate authority to a sub-agent without limiting it. A prompt injection poses a risk only if the agent has authority to perform such actions; this is therefore a problem of authorization architecture, not just the model. The Agentic Principal Chain (APC) tracks delegated authority from one principal to the next. APC evaluates each request against the accumulated session state using six authorization checks. APC carries forward and restricts delegated scope and budgets. Using composition closure, APC checks requests against prior actions to prevent prohibited combinations and enforces the decision outside the model. We prove Blast Radius Monotonicity and Composition Soundness for APC implementations; Composition Soundness is limited to prohibited combinations under a complete restriction set and serialized admission. We evaluated 3,154 instances including InjecAgent, AgentDojo, and ASB. Our compromised-model evaluation tests APC independently of model behavior by inserting the ground-truth attack call after the first legitimate tool call. AgentDojo exfiltration fell from 75-100% to 0% across all four domains; APC blocked all 544 InjecAgent data-stealing cases. Intent binding reduced destruction from 38.6% to 4.0% and manipulation from 90.5% to 12.1%. Authorization latency was 0.24 ms at the 99th percentile on an idle host; across 949 AgentDojo task-injection pairs, utility was 8.6 and 13.9 percentage points lower in the two settings. Implementation, evaluation tools, and data are publicly available.
• Abstract（参考訳）: LLMベースのエージェントは、ユーザの代理として、クラウドサービスへのアクセス、ツールの呼び出し、エージェントの呼び出しを行うことができる。 セッション開始時にエージェントの許可は設定されるが、静的のままであり、各リクエストは以前のアクションを考慮せずに独立して評価される。 その許可の範囲内では、代理人は委任されたタスクに反し、個別に許可された行為を禁止された結果に組み合わせたり、権限を制限することなくサブエージェントに委任したりすることができる。 プロンプトインジェクションは、エージェントがそのようなアクションを実行する権限を持っている場合にのみリスクが発生する。 エージェント・プリンシパル・チェーン(APC)は、委任された権限を1つのプリンシパルから次のプリンシパルへと追跡する。 APCは6つの認証チェックを使用して、各要求を蓄積されたセッション状態に対して評価する。 APCは前進し、委任された範囲と予算を制限する。 コンポジションクロージャを使用して、APCは事前のアクションに対する要求をチェックして、禁止された組み合わせを防止し、モデル外で決定を強制する。 Blast Radius Monotonicity and composition Soundness for APC implementation; composition Soundness is limited to stop combinations under a complete limit set and serialized entry。 InjecAgent, AgentDojo, ASBを含む3,154のインスタンスを評価した。 提案手法は,第1の正統なツールコールの後,地中攻撃コールを挿入することにより,モデル動作とは無関係にAPCを検証した。 AgentDojoは4つのドメインすべてで75-100%から0%に減少し、APCは544のInjecAgentデータステーリングケースをすべてブロックした。 侵入結合は破壊を38.6%から4.0%に減らし、操作を90.5%から12.1%に減らした。 認証のレイテンシは、アイドルホストの99パーセントで0.24msで、949のAgentDojoタスクインジェクションペアのうち、ユーティリティは2つの設定で8.6と13.9ポイント低下した。 実装、評価ツール、データは公開されている。

関連論文リスト

• Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems [0.0]
  4つの敵を中心としたマルチエージェントデリゲートに対する脅威モデルを提案する。 デフォルトのランタイムモデリングの共通プラクティスが4つの脅威すべてに失敗することを示す。 我々は、ギャップを埋める認証ブローカを実装し、敵に評価する。
  論文  参考訳（メタデータ） (2026-08-31T19:09:34Z)
• ClawSentry: A Progressive Multi-Tier Security Monitor for Safeguarding Autonomous LLM Agents [24.540638169054812]
  悪意のあるサードパーティのスキルにハイジャックされた単一のエージェントは、データの流出、特権のエスカレーション、カスケード妥協を引き起こす可能性がある。 我々は、エージェントランタイムのためのオープンソースのフレームワークに依存しないセキュリティ監視ゲートウェイであるClawSentryを紹介する。
  論文  参考訳（メタデータ） (2026-08-21T13:47:51Z)
• aiAuthZ: Off-Host, Identity-Bound Authorization for AI Agents [0.0]
  エージェントのホストから安全判断を移動させる認証ゲートウェイであるaiAuthZを紹介します。 各決定はSHA-256ハッシュチェーン監査ログに参加し、受信メッセージはHMAC認証QRレシートを生成する。 残りの攻撃成功率は15モデルすべてで0%となり、0.03ミリ秒以上の決定遅延は発生しない。
  論文  参考訳（メタデータ） (2026-07-06T18:00:49Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
  アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。 我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。 我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
  論文  参考訳（メタデータ） (2026-06-22T11:36:58Z)
• Prompts Don't Protect: Architectural Enforcement via MCP Proxy for LLM Tool Access Control [0.0]
  大規模な言語モデルは、大規模なレジストリからツールを選択して呼び出す自律的なエージェントとしてますます機能する。 本稿では,属性ベースのアクセス制御(ABAC)をツール発見とツール実行の2点で実施するMPPプロキシを提案する。 我々のプロキシは、50msの中央値レイテンシを追加しながら、不正呼び出し率(UIR)を0%に削減します。
  論文  参考訳（メタデータ） (2026-05-18T13:52:24Z)
• HiveMind: OS-Inspired Scheduling for Concurrent LLM Agent Workloads [0.0]
  モチベーションのインシデントでは、11の並列エージェントのうち3つがコネクションリセットとHTTP 502エラーで死亡しました。 HIVEMINDは5つのOSにインスパイアされたスケジューリングプリミティブを適用し,非協調並列実行による障害モードを除去する透過的なHTTPプロキシである。
  論文  参考訳（メタデータ） (2026-04-18T18:59:33Z)
• Before the Tool Call: Deterministic Pre-Action Authorization for Autonomous AI Agents [0.0]
  Open Agent Passport (OAP)は、実行前にツール呼び出しを同期的にインターセプトするオープン仕様とリファレンス実装である。 OAPは、53ms(N=1,000)の中央値で認可決定を強制する セキュリティ制約を強制するのと同じインフラストラクチャでは,品質ゲートや運用契約,コンプライアンスコントロールも実施されている。
  論文  参考訳（メタデータ） (2026-03-21T21:34:09Z)
• Agent Control Protocol: Admission Control for Agent Actions [0.4929694290403903]
  エージェントコントロールプロトコル(エージェントコントロールプロトコル、ACP)は、B2Bの機関環境における自律エージェントの受け入れ制御ガバナンスのための正式な仕様である。 ACPは、暗号ID、能力に基づく認可、決定論的リスク評価、連鎖デリゲート、および暗号化連鎖監査を定義する。 ACPはRBACとZero Trustの上で動作し、どちらのモデルも解決しない問題に対処する。
  論文  参考訳（メタデータ） (2026-03-19T12:28:28Z)
• CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
  ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。 本稿では,選択防衛フレームワークCausalArmorを提案する。 AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
  論文  参考訳（メタデータ） (2026-02-08T11:34:08Z)
• Security Challenges in AI Agent Deployment: Insights from a Large Scale Public Competition [101.86739402748995]
  44の現実的なデプロイメントシナリオを対象とした,22のフロンティアAIエージェントを対象にしています。 Agent Red Teamingベンチマークを構築し、19の最先端モデルで評価します。 私たちの発見は、今日のAIエージェントの重要かつ永続的な脆弱性を浮き彫りにしたものです。
  論文  参考訳（メタデータ） (2025-07-28T05:13:04Z)
• OpenAgentSafety: A Comprehensive Framework for Evaluating Real-World AI Agent Safety [58.201189860217724]
  OpenAgentSafetyは,8つの危機リスクカテゴリにまたがるエージェントの動作を評価する包括的なフレームワークである。 従来の作業とは異なり、我々のフレームワークは、Webブラウザ、コード実行環境、ファイルシステム、bashシェル、メッセージングプラットフォームなど、実際のツールと対話するエージェントを評価します。 ルールベースの分析とLSM-as-judgeアセスメントを組み合わせることで、過度な行動と微妙な不安全行動の両方を検出する。
  論文  参考訳（メタデータ） (2025-07-08T16:18:54Z)
• Malicious Agent Detection for Robust Multi-Agent Collaborative Perception [52.261231738242266]
  多エージェント協調(MAC)知覚は、単エージェント認識よりも敵攻撃に対して脆弱である。 MAC知覚に特異的な反応防御であるMADE(Malicious Agent Detection)を提案する。 我々は、ベンチマーク3DデータセットV2X-simとリアルタイムデータセットDAIR-V2Xで包括的な評価を行う。
  論文  参考訳（メタデータ） (2023-10-18T11:36:42Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。