論文の概要: AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems
- arxiv url: http://arxiv.org/abs/2608.22868v1
- Date: Mon, 24 Aug 2026 06:56:00 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-25 13:29:43.915605
- Title: AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems
- Title（参考訳）: AgentFlow: LLMエージェントシステムのセキュアなフロー中心ポリシー言語とフレームワーク
- Abstract要約: LLMエージェントはますます信頼できないコンテンツを読み、外部ツールを呼び出し、プライベートデータにアクセスし、他のエージェントに作業を委譲する。
本稿では,エージェントシステム内のデータ移動場所を特定するための,フロー中心のポリシー言語であるAgentFlowについて述べる。
- 参考スコア（独自算出の注目度）: 7.734540679538682
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: LLM agents increasingly read untrusted content, invoke external tools, access private data, and delegate work to other agents. Harm often arises not from a single unsafe action but from the flow of sensitive data across a sequence of otherwise plausible steps. We present AgentFlow, a flow-centric policy language and runtime enforcement model for specifying where data may travel in agent systems. Policies are defined over labeled runtime edges and constrain which tools may receive sensitive fields, which sinks may receive released data, and what authority may cross delegation boundaries. The language supports flow and path rules, task-scoped capabilities, controlled release, and stateful taint semantics. A runtime reference monitor mediates agent actions, and a bounded SMT-based verifier checks safety properties for a structured policy fragment. We evaluate AgentFlow on multiple agent benchmarks. In our prototype, seven safety properties verify in under 0.5 seconds each, and the verifier catches all seeded unsafe policy variants in our study. On 949 AgentDojo injected cases across four suites, AgentFlow reduces confirmed compromise from 33.0\% to 0.0\% while improving aggregate utility from 46.7\% to 63.3\%. On a 200-case AgentDyn Dailylife benchmark, it reduces confirmed compromise from 73.5\% to 0.0\% while preserving near-baseline utility (44.5\% to 43.5\%). Breadth checks across ASB, InjecAgent, BIPIA, AgentHarm, and MCPTox replays suggest that the configured policies block the benchmark-specified policy-visible attacker flows; in ASB's direct-prompt-injection harness, attack success is 0/1{,}200. These results are preliminary and scoped to the modeled policy-visible agent behaviors and evaluated benchmarks.
- Abstract（参考訳）: LLMエージェントはますます信頼できないコンテンツを読み、外部ツールを呼び出し、プライベートデータにアクセスし、他のエージェントに作業を委譲する。
ハームは、単一の安全でないアクションではなく、他の方法では不可能なステップの連続にまたがる機密データの流れから生じることが多い。
本稿では,エージェントシステム内のデータ移動場所を特定するための,フロー中心のポリシー言語であるAgentFlowについて述べる。
ポリシーはラベル付きランタイムエッジ上で定義され、ツールは機密フィールドを受け取り、シンクは解放されたデータを受け取り、どの権限はデリゲート境界を越えたものかを制約する。
この言語はフローとパスのルール、タスクスコープ機能、コントロールされたリリース、ステートフルなテナントセマンティクスをサポートしている。
実行時参照モニタはエージェントアクションを仲介し、有界SMTベースの検証器は構造化ポリシーフラグメントの安全性特性をチェックする。
複数のエージェントベンチマーク上でAgentFlowを評価する。
プロトタイプでは、7つの安全性特性がそれぞれ0.5秒未満で検証され、検証器がシードされた安全でないポリシーの亜種を捕捉する。
AgentDojo 949では、4つのスイートでケースを注入し、AgentFlowは確認された妥協を33.0\%から0.0\%に削減し、集約ユーティリティを46.7\%から63.3\%に改善した。
200ケースのAgentDyn Dailylifeベンチマークでは、ほぼベースラインユーティリティ(44.5\%から43.5\%)を維持しながら、確認された妥協を73.5\%から0.0\%に削減している。
ASB、InjecAgent、BIPIA、AgenHarm、MCPToxのリプレイでは、設定されたポリシーがベンチマークで特定されたポリシーで見える攻撃者フローをブロックしていることが示唆されている。
これらの結果は、モデル化されたポリシー可視エージェントの挙動と評価されたベンチマークに予備的に適用される。
関連論文リスト
- If Agents Were Angels, No Governance Would Be Necessary: Out-of-Band Policy Enforcement at a Trusted Tool Boundary [0.07499722271664146]
Out-of-Band Policy Enforcement (OBPE)は、エージェント推論以外の信頼できる境界である。
OBPEは型付き操作とリソースを許可し、バックエンド呼び出しの前にクエリを絞り込み、それからレコードとフィールドをフィルタリングし、レスポンスの値にマスクを付ける。
論文 参考訳（メタデータ） (2026-08-27T19:35:48Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - ClawSentry: A Progressive Multi-Tier Security Monitor for Safeguarding Autonomous LLM Agents [24.540638169054812]
悪意のあるサードパーティのスキルにハイジャックされた単一のエージェントは、データの流出、特権のエスカレーション、カスケード妥協を引き起こす可能性がある。
我々は、エージェントランタイムのためのオープンソースのフレームワークに依存しないセキュリティ監視ゲートウェイであるClawSentryを紹介する。
論文 参考訳（メタデータ） (2026-08-21T13:47:51Z) - OpenAgentFlow: Enabling System-Wide Safety Boundaries for Heterogeneous AI Agent Fleets [30.42587289236515]
制御プレーン/アクションプレーンアーキテクチャであるOpenAgentFlowについて述べる。
GUI、API、ツール、LLM生成アクションは共通のAgentEventストリームに正規化され、共有事前実行ポリシー実行ポイントによって仲介される。
これにより、互換性のないエグゼクタ間で共通のガバナンス層が提供され、エージェント、プロンプト、モデル、実行パスを変更することなく、新しいポリシーが有効になる。
論文 参考訳（メタデータ） (2026-08-14T02:55:59Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。
我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。
我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
論文 参考訳（メタデータ） (2026-06-22T11:36:58Z) - SecureClaw: Clawing Back Control of LLM Agents [5.952015302242554]
ツールを使用する大規模言語モデル(LLM)エージェントは2つの異なるセキュリティ障害に直面している。
本稿では、エフェクトシンクに認証を配置し、リードバウンダリにプレーンテキストを閉じ込めるデュアルバウンダリアーキテクチャであるSecureClawを提案する。
AgentDojo、AgentLeak、Agent Security Bench (ASB)、SecureClawは、私たちが共通のハーネスで評価する唯一の防御です。
論文 参考訳（メタデータ） (2026-06-08T14:29:01Z) - AgentTrust: Runtime Safety Evaluation and Interception for AI Agent Tool Use [2.9991161518367875]
AgentTrustは実行前にエージェントツールコールをインターセプトし、構造化されたバリデーションを返す。
6つのリスクカテゴリにまたがる300-scenarioベンチマークと、630が独立して構築された現実世界の敵シナリオです。
パッチされたルールセットで評価された630秒のベンチマークでは、AgentTrustは96.7%の精度を達成している。
論文 参考訳（メタデータ） (2026-05-06T11:38:16Z) - Agent Control Protocol: Admission Control for Agent Actions [0.4929694290403903]
エージェントコントロールプロトコル(エージェントコントロールプロトコル、ACP)は、B2Bの機関環境における自律エージェントの受け入れ制御ガバナンスのための正式な仕様である。
ACPは、暗号ID、能力に基づく認可、決定論的リスク評価、連鎖デリゲート、および暗号化連鎖監査を定義する。
ACPはRBACとZero Trustの上で動作し、どちらのモデルも解決しない問題に対処する。
論文 参考訳（メタデータ） (2026-03-19T12:28:28Z) - BackdoorAgent: A Unified Framework for Backdoor Attacks on LLM-based Agents [58.83028403414688]
大規模言語モデル(LLM)エージェントは、計画、メモリ、ツールの使用を組み合わせた多段階ワークフローを通じてタスクを実行する。
エージェントワークフローの特定のステージに注入されたバックドアトリガーは、複数の中間状態を通して持続し、下流出力に悪影響を及ぼす可能性がある。
LLMエージェントにおけるバックドア脅威を統一したエージェント中心のビューを提供するモジュールおよびステージアウェアフレームワークである textbfBackdoorAgent を提案する。
論文 参考訳（メタデータ） (2026-01-08T03:49:39Z) - Enforcing Temporal Constraints for LLM Agents [10.694240979134326]
既存のガードレールは不正確な自然言語命令やポストホック監視に依存している。
本稿では,LDMエージェントが正式な時間的安全特性に準拠することを保証するランタイム保証を提供する新しいフレームワークであるAgent-Cを提案する。
我々は,Agent-Cを,小売顧客サービスと航空券予約システムという,現実世界の2つのアプリケーションで評価する。
論文 参考訳（メタデータ） (2025-12-25T06:12:13Z) - OpenAgentSafety: A Comprehensive Framework for Evaluating Real-World AI Agent Safety [58.201189860217724]
OpenAgentSafetyは,8つの危機リスクカテゴリにまたがるエージェントの動作を評価する包括的なフレームワークである。
従来の作業とは異なり、我々のフレームワークは、Webブラウザ、コード実行環境、ファイルシステム、bashシェル、メッセージングプラットフォームなど、実際のツールと対話するエージェントを評価します。
ルールベースの分析とLSM-as-judgeアセスメントを組み合わせることで、過度な行動と微妙な不安全行動の両方を検出する。
論文 参考訳（メタデータ） (2025-07-08T16:18:54Z) - Defeating Prompt Injections by Design [79.00910871948787]
CaMeLは、Large Language Modelsを中心とした保護システムレイヤを作成する堅牢なディフェンスである。
CaMeLは、(信頼された)クエリから制御とデータフローを明示的に抽出する。
セキュリティをさらに改善するため、CaMeLは、権限のないデータフロー上のプライベートデータの流出を防止する機能の概念を使用している。
論文 参考訳（メタデータ） (2025-03-24T15:54:10Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。