論文の概要: WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents

• arxiv url: http://arxiv.org/abs/2608.24017v1
• Date: Tue, 25 Aug 2026 03:16:45 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-26 14:09:34.770344
• Title: WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents
• Title（参考訳）: WebMCP-Phalanx:ブラウザ統合LDMエージェントのための信頼境界の強化と特徴付け
• Abstract要約: W3C WebMCPの提案により、LLMエージェントはWebページが公開するツールを呼び出すことができる。 マルチパーティのWeb環境では、エージェントの実行をブラウザのセキュリティモデルに統合することは、エージェントアクセス可能なツールに対する十分な実績とライフサイクル保証を残している。 本稿では,2層エージェントランタイムアーキテクチャであるWebMCP-Phalanxを提案する。
• 参考スコア（独自算出の注目度）: 1.8734449181723825
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: The emerging W3C WebMCP proposal enables LLM agents to invoke tools exposed by web pages. In multi-party web environments, however, integrating agent execution into a browser security model centered on the Same-Origin Policy (SOP) leaves insufficient provenance and lifecycle guarantees for agent-accessible tools, creating three risks: subject-attribution spoofing, uncontrolled tool lifecycles, and semantic prompt injection. We propose WebMCP-Phalanx, a dual-layer agent runtime architecture. Its first layer provides a browser-native trust anchor that binds each tool to its registering principal through cryptographically protected capability credentials and propagates provenance labels throughout the tool lifecycle. Its second layer separates semantic inspection from privileged tool use. A Quarantine Agent (Q-LLM), without tool invocation authority, inspects tool metadata, outputs, and page-supplied content for prompt injection. Validated content is then forwarded to a Privileged Agent (P-LLM) for execution, while the Q-LLM's internal state remains hidden from page scripts. Empirical evaluation shows that the browser-native ownership mechanism reduces revocation and overwrite attack success from 100\% to 0\%. The dual-agent runtime blocks all 80 prompt-injection attempts embedded in tool descriptions and limits tool-return attacks to 2 successful cases out of 80. Across experiments, task utility remains statistically indistinguishable from the no-attack baseline. Under a white-box adaptive attacker, however, description-based filtering can be bypassed through malicious tool names invoked before inspection. This finding motivates a call-timing gate that delays tool invocation until all agent-visible tool metadata has been validated.
• Abstract（参考訳）: 新たなW3C WebMCP提案により、LLMエージェントはWebページが公開するツールを呼び出すことができる。 しかし、マルチパーティのWeb環境では、エージェントの実行をSOP(Same-Origin Policy)を中心としたブラウザのセキュリティモデルに統合することは、エージェントアクセス可能なツールに対する不十分な証明とライフサイクル保証を残し、サブジェクト属性の偽造、コントロールされていないツールライフサイクル、セマンティックプロンプトインジェクションという3つのリスクを生み出します。 本稿では,2層エージェントランタイムアーキテクチャであるWebMCP-Phalanxを提案する。 最初のレイヤはブラウザネイティブのトラストアンカーで、暗号化的に保護された能力認証を通じて各ツールをプリンシパルにバインドし、ツールライフサイクルを通じてプロファイランスラベルを伝搬する。 その第2層は、セマンティックインスペクションと特権ツールの使用を分離する。 ツール呼び出し権限のないQuarantine Agent(Q-LLM)は、プロンプトインジェクションのためのツールメタデータ、アウトプット、ページ供給コンテンツを検査する。 検証済みのコンテンツはPrivileged Agent (P-LLM)に転送され、Q-LLMの内部状態はページスクリプトから隠される。 経験的評価によると、ブラウザネイティブのオーナシップメカニズムは、再起動とオーバーライト攻撃の成功を100\%から0\%に削減する。 デュアルエージェントランタイムは、ツール記述に埋め込まれた80のプロンプトインジェクション試行をすべてブロックし、ツール-リターン攻撃を80のうち2つの成功したケースに制限する。 実験全体では、タスクユーティリティは攻撃のないベースラインと統計的に区別できないままである。 しかし、ホワイトボックスアダプティブアタックの下では、インスペクション前に呼び出される悪意のあるツール名によって記述ベースのフィルタリングをバイパスすることができる。 この発見は、すべてのエージェント可視ツールメタデータが検証されるまでツール呼び出しを遅らせるコールタイミングゲートを動機付けている。

関連論文リスト

• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• Think Twice Before You Act: Protecting LLM Agents Against Tool Description Poisoning via Isolated Planning [48.99783163807576]
  クロスツール記述中毒は、エージェントの軌道を操縦するためにプランナー可視のツールメタデータを操作することができる。 重要な観察は、有毒な記述がステップを越えた計画コンテキストに留まり、その後のツール選択に対する継続的な影響を可能にすることである。 我々は,孤立計画と呼ばれる新しい概念に基づく新しいシステムレベルの防衛ツールであるTool-Guardを提案する。
  論文  参考訳（メタデータ） (2026-06-18T20:31:08Z)
• WebMCP Tool Surface Poisoning: Runtime Manipulation Attacks on LLM Agents [7.6757713078041725]
  攻撃者がサードパーティスクリプトを利用して、アクティブセッション中に悪意のあるツールを注入する、新たな脅威であるMid-Session Tool Injection (MSTI)を特定します。 Tool Hijackingは、AbortSignal APIやツール登録時のレース条件などのメカニズムを通じて、エージェントが見えるツールセットを変更する。 Tool Framingは、ツール名、記述、readOnlyHint、入出力といったフィールドを通じて、エージェントのツールロールに対する認識に影響を与える。
  論文  参考訳（メタデータ） (2026-06-04T16:52:43Z)
• Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
  我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。 LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。 emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
  論文  参考訳（メタデータ） (2026-05-16T12:53:31Z)
• IPI-proxy: An Intercepting Proxy for Red-Teaming Web-Browsing AI Agents Against Indirect Prompt Injection [15.467414321952624]
  IPI-proxyは、間接的プロンプトインジェクション(IPI)に対するWebブラウジングエージェントをリピートするためのオープンソースのツールキットである。 その中核はインターセプトプロキシで、飛行中のホワイトリストドメインから実際のHTTPレスポンスを書き換える。
  論文  参考訳（メタデータ） (2026-05-12T09:48:53Z)
• The Granularity Mismatch in Agent Security: Argument-Level Provenance Solves Enforcement and Isolates the LLM Reasoning Bottleneck [18.14752683836217]
  textscPACTは、ツール引数にセマンティックロールを割り当てるランタイムモニタである。 textscPACTはエージェントセキュリティを権限バインディングとして再設定する。
  論文  参考訳（メタデータ） (2026-05-11T04:09:11Z)
• ClawGuard: A Runtime Security Framework for Tool-Augmented LLM Agents Against Indirect Prompt Injection [8.627671856044527]
  textscClawGuardは、すべてのツール呼び出し境界に設定されたユーザ確認ルールを強制する。 textscClawGuardは、モデル修正やインフラストラクチャの変更なしに、3つのインジェクションパスをすべてブロックする。 この研究は、安全なエージェントAIシステムのための効果的な防御メカニズムとして、決定論的ツールコール境界強制を確立する。
  論文  参考訳（メタデータ） (2026-04-13T17:55:11Z)
• AgentSentry: Mitigating Indirect Prompt Injection in LLM Agents via Temporal Causal Diagnostics and Context Purification [25.817251923574286]
  大規模言語モデル(LLM)エージェントのための新しい推論時間検出・緩和フレームワークを提案する。 AgentSentryは、時間的因果的テイクオーバーとしてマルチターンIPIをモデル化する最初の推論時防御である。 我々は, textscAgentDojo ベンチマークにおいて, 4つのタスクスイート, 3つの IPI 攻撃ファミリー, 複数のブラックボックス LLM に対する AgentSentry の評価を行った。
  論文  参考訳（メタデータ） (2026-02-26T07:59:10Z)
• MalTool: Malicious Tool Attacks on LLM Agents [52.01975462609959]
  MalToolはLLMベースのフレームワークで、特定の悪意のある振る舞いを示すツールを合成する。 MalTool は LLM のコーディングが安全に対応している場合でも非常に有効であることを示す。
  論文  参考訳（メタデータ） (2026-02-12T17:27:43Z)
• WALT: Web Agents that Learn Tools [66.73502484310121]
  WALTは、Webサイト機能を再利用不能なツールにリバースエンジニアリングするフレームワークである。 WALTはアドホックなスキルを仮説化するのではなく、既にウェブサイトに設計されている自動化の堅牢な実装を公開している。 VisualWebArenaとWebArenaでは、WALTはより少ないステップとLLM依存の推論でより高い成功を達成している。
  論文  参考訳（メタデータ） (2025-10-01T23:41:47Z)
• Prompt Injection Attack to Tool Selection in LLM Agents [60.95349602772112]
  一般的なアプローチは、与えられたタスクに対してツールライブラリから最も適切なツールを選択するための2段階のプロセス(式と例選択)に従う。 本研究では、no-boxシナリオにおける新しいプロンプトインジェクション攻撃ツール選択であるtextitToolHijackerを紹介する。
  論文  参考訳（メタデータ） (2025-04-28T13:36:43Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。