論文の概要: Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2)
- arxiv url: http://arxiv.org/abs/2608.23858v1
- Date: Mon, 24 Aug 2026 22:05:00 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-26 14:09:34.642064
- Title: Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2)
- Title（参考訳）: Beyond the Mandate: Asystematic Security Analysis of the Agent Payments Protocol (AP2)
- Abstract要約: AP2は、大きな言語モデル(LLM)によるショッピングエージェントが、ユーザに代わって支払いを認可し実行できるようにする。
以前の研究ではAP2 v0.1におけるリプレイとプロンプトインジェクション攻撃が特定された。
本稿では,AP2 v0.2の役割,トランザクションライフサイクル,デプロイメントアーキテクチャ,信頼境界に基づいて,システマティックなセキュリティ分析を行う。
- 参考スコア（独自算出の注目度）: 13.020998549537874
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: The Agent Payments Protocol (AP2), introduced by Google, enables large language model (LLM)-driven shopping agents to authorize and execute payments on behalf of users. Its signed Checkout and Payment Mandates protect the integrity of transaction data after signing. Agent interactions and external inputs that shape a transaction before authorization remain outside that protection, including Agent-to-Agent Protocol (A2A) messages and Model Context Protocol (MCP) tool calls. Prior work identified replay and prompt-injection attacks in AP2 v0.1. AP2 v0.2 addresses some of these issues but adds capabilities and deployment assumptions that require renewed analysis. We present a systematic security analysis of AP2 v0.2 based on its roles, transaction lifecycle, deployment architectures, and trust boundaries. We divide the lifecycle into five phases and identify five deployment architectures. Using MAESTRO (Multi-Agent Environment, Security, Threat, Risk, Outcome), we model four threat actors, eleven attack surfaces, eighteen adversary capabilities, and six attacker goals. The resulting catalog contains 48 threats spanning five attack families. We score these threats with the Artificial Intelligence Vulnerability Scoring System (AIVSS), identifying eight that reach the High band in at least one architecture. Because no complete public AP2 deployment was available, we build a testbed spanning all five architectures and develop five proof-of-concept demonstrations covering all eight High-risk threats and their mitigations. We also develop a deployment-aware scanner that maps applicable threats to static, cross-role consistency, and adversarial checks. Our analysis shows that valid mandate signatures alone do not ensure that an agent-mediated transaction reflects the user's intent when its pre-authorization context is manipulated.
- Abstract（参考訳）: Googleが導入したAgens Payments Protocol (AP2)は、大規模言語モデル(LLM)によるショッピングエージェントが、ユーザに代わって支払いを認可し実行できるようにする。
署名されたCheckout and Payment Mandatesは、署名後のトランザクションデータの完全性を保護する。
エージェントのインタラクションと承認前にトランザクションを形成する外部インプットは、エージェント・ツー・エージェント・プロトコル(A2A)メッセージやモデル・コンテキスト・プロトコル(MCP)ツールコールなど、そのプロテクションの外にあります。
以前の研究ではAP2 v0.1におけるリプレイとプロンプトインジェクション攻撃が特定された。
AP2 v0.2はこれらの問題に対処するが、新たな分析を必要とする機能とデプロイメントの前提を追加する。
本稿では,AP2 v0.2の役割,トランザクションライフサイクル,デプロイメントアーキテクチャ,信頼境界に基づいて,システマティックなセキュリティ分析を行う。
ライフサイクルを5つのフェーズに分割し、5つのデプロイメントアーキテクチャを特定します。
MAESTRO(Multi-Agent Environment, Security, Threat, Risk, Outcome)を用いて、脅威俳優4名、攻撃面11名、敵の能力18名、攻撃目標6名をモデル化する。
カタログには5つの攻撃ファミリーにまたがる48の脅威が含まれている。
これらの脅威をAIVSS(Artificial Intelligence Vulnerability Scoring System)で評価し、少なくとも1つのアーキテクチャでハイバンドに到達する8つの脅威を特定する。
完全なパブリックAP2デプロイメントができなかったため、5つのアーキテクチャすべてにまたがるテストベッドを構築し、8つのハイリスク脅威とその軽減をカバーした概念実証5つのデモを開発しました。
また、適用可能な脅威を静的、クロスロール整合性、敵チェックにマッピングするデプロイメント対応スキャナも開発しています。
我々の分析によると、有効な委任署名だけでは、エージェントを介するトランザクションが、事前認証のコンテキストが操作されたときにユーザの意図を反映しないことが保証されない。
関連論文リスト
- Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems [0.0]
4つの敵を中心としたマルチエージェントデリゲートに対する脅威モデルを提案する。
デフォルトのランタイムモデリングの共通プラクティスが4つの脅威すべてに失敗することを示す。
我々は、ギャップを埋める認証ブローカを実装し、敵に評価する。
論文 参考訳（メタデータ） (2026-08-31T19:09:34Z) - Poisoning Agentic Alpha: Adversarial Vulnerabilities Across Roles and Architectures in Multi-Agent Trading Systems [103.90831279037094]
LLMベースのマルチエージェントトレーディングシステムは、研究プロトタイプから実際の資産を管理するライブデプロイメントへと急速に移行している。
破損した信号は最終決定に伝播し、実現された財政損失に変換される。
本稿では,金融分野において,敵対的信号がマルチエージェント取引システムにどのように入るのかを特徴付ける最初の体系的実証的研究について述べる。
論文 参考訳（メタデータ） (2026-08-25T05:07:37Z) - SecRespond: Benchmarking AI Agents for Real-World Post-Compromise Incident Response [38.89333299127352]
我々は、インシデント-レスポンス後のワークフローにおいて、LLM(Large Language Model)エージェントを評価するための最初のベンチマークであるSecRespondを紹介する。
私たちはこのタスクを10のサイバー範囲でインスタンス化します。
実験の結果, 現行のエージェントは警報が発する問題を確実に発見できるが, サイレント侵入の円盤を積極的に調査することは困難であることがわかった。
論文 参考訳（メタデータ） (2026-07-29T11:32:23Z) - A New Framework for Cybersecurity Refusals in AI Agents [52.94784168139071]
攻撃的セキュリティの文脈において、拒絶境界を確立するための最初の枠組みを提示する。
本研究では,現在のLLMエージェントがWebベースの攻撃的セキュリティシナリオにおいて,適切な拒絶境界にどのように準拠しているかを評価するために,このフレームワークを適用した。
論文 参考訳（メタデータ） (2026-05-31T15:39:39Z) - Caging the Agents: A Zero Trust Security Architecture for Autonomous AI in Healthcare [0.0]
本稿では,医療技術企業において,9つの自律型AIエージェントを実運用環境に配置するセキュリティアーキテクチャを提案する。
我々は、医療におけるエージェントAIの6領域脅威モデルを構築し、クレデンシャルエクスポージャー、実行能力の乱用、ネットワークのエクスプロイト、即時完全性障害、データベースアクセスリスク、およびフリート構成ドリフトをカバーする。
すべての構成、監査ツール、即時整合性フレームワークがオープンソースとしてリリースされている。
論文 参考訳（メタデータ） (2026-03-18T06:54:47Z) - Whispers of Wealth: Red-Teaming Google's Agent Payments Protocol via Prompt Injection [0.0]
大規模言語モデル(LLM)ベースのエージェントは、金融取引の自動化にますます利用されている。
文脈推論への依存は、即時操作に支払いシステムを公開する。
Agent Payments Protocol (AP2) は、暗号的に検証可能な命令を通じてエージェント主導の購入を確保することを目的としている。
論文 参考訳（メタデータ） (2026-01-30T05:10:16Z) - Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。
攻撃パラダイムを初期感染と持続性という2つの段階に分類する。
当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
論文 参考訳（メタデータ） (2025-09-19T04:10:52Z) - BlockA2A: Towards Secure and Verifiable Agent-to-Agent Interoperability [8.539128225018489]
BlockA2Aはエージェントとエージェントの相互運用性のための統合されたマルチエージェント信頼フレームワークである。
集中的な信頼ボトルネックを排除し、メッセージの信頼性と実行の整合性を確保し、エージェント間のインタラクションにおける説明責任を保証する。
ビザンチンエージェントのフラグング、リアクティブ実行停止、即時許可取り消しなど、リアルタイムメカニズムによる攻撃を中和する。
論文 参考訳（メタデータ） (2025-08-02T11:59:21Z) - Security Challenges in AI Agent Deployment: Insights from a Large Scale Public Competition [101.86739402748995]
44の現実的なデプロイメントシナリオを対象とした,22のフロンティアAIエージェントを対象にしています。
Agent Red Teamingベンチマークを構築し、19の最先端モデルで評価します。
私たちの発見は、今日のAIエージェントの重要かつ永続的な脆弱性を浮き彫りにしたものです。
論文 参考訳（メタデータ） (2025-07-28T05:13:04Z) - OpenAgentSafety: A Comprehensive Framework for Evaluating Real-World AI Agent Safety [58.201189860217724]
OpenAgentSafetyは,8つの危機リスクカテゴリにまたがるエージェントの動作を評価する包括的なフレームワークである。
従来の作業とは異なり、我々のフレームワークは、Webブラウザ、コード実行環境、ファイルシステム、bashシェル、メッセージングプラットフォームなど、実際のツールと対話するエージェントを評価します。
ルールベースの分析とLSM-as-judgeアセスメントを組み合わせることで、過度な行動と微妙な不安全行動の両方を検出する。
論文 参考訳（メタデータ） (2025-07-08T16:18:54Z) - DoomArena: A framework for Testing AI Agents Against Evolving Security Threats [81.73540246946015]
本稿では,AIエージェントのセキュリティ評価フレームワークであるDoomArenaを紹介する。
プラグインフレームワークであり、現実的なエージェントフレームワークと簡単に統合できる。
モジュールであり、エージェントがデプロイされる環境の詳細から攻撃の開発を分離する。
論文 参考訳（メタデータ） (2025-04-18T20:36:10Z) - On the Resilience of LLM-Based Multi-Agent Collaboration with Faulty Agents [58.79302663733703]
大規模言語モデルに基づくマルチエージェントシステムは、専門家エージェントの協力により、様々なタスクにまたがる優れた能力を示している。
不器用なエージェントや悪意のあるエージェントが与える影響 - システム全体のパフォーマンスにおいて、頻繁にタスクでエラーを犯すものは、いまだに過小評価されていない。
本稿では,下流タスクにおける障害要因下での各種システム構造のレジリエンスについて検討する。
論文 参考訳（メタデータ） (2024-08-02T03:25:20Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。