論文の概要: Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems
- arxiv url: http://arxiv.org/abs/2609.00267v1
- Date: Mon, 31 Aug 2026 19:09:34 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-02 16:31:36.01786
- Title: Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems
- Title（参考訳）: 信頼のない委任:マルチエージェントLLMシステムにおけるアイデンティティ、認可、ランタイムガバナンスの実証的なギャップ分析
- Abstract要約: 4つの敵を中心としたマルチエージェントデリゲートに対する脅威モデルを提案する。
デフォルトのランタイムモデリングの共通プラクティスが4つの脅威すべてに失敗することを示す。
我々は、ギャップを埋める認証ブローカを実装し、敵に評価する。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Autonomous LLM agents increasingly act on a user's behalf: they hold credentials, call tools and services, and spawn sub-agents that act further on their behalf. This turns a long-standing distributed-systems question -- who is authorized to do what, on whose authority -- into an urgent and largely unsolved problem, because the component driving each agent is a language model an adversary can hijack. We argue that agent security must be evaluated under an untrusted-model assumption: a correct system is one in which a fully prompt-injected agent still cannot exceed the authority explicitly delegated to it. Against this standard we make three contributions. First, we give a threat model for multi-agent delegation centered on four adversaries -- confused deputy, token theft and replay, prompt-injection privilege escalation, and compromised sub-agents -- and derive eight security requirements a governed agent system must meet. Second, we show the gap is real: a default agent runtime modeling common practice (broad bearer credentials, authorization gated inside the model) fails all four threats, and across four widely used frameworks -- LangGraph, CrewAI, AutoGen, and the Model Context Protocol (MCP) authorization model -- three provide no built-in confinement and one only partial; no existing standard alone covers the requirement set. Third, we implement and adversarially evaluate an authorization broker that closes the gap. It blocks all four threats; it resists 11 direct attacks on its design and accepts 0 of 200,000 forged tokens; it confines a compromised sub-agent to its delegated task (a mean of 1.5 reachable actions versus all 8,100 under bearer delegation, across 2,000 randomized scenarios); and it enforces at microsecond cost (about 2.6 microseconds per decision), negligible against model inference. These principles are also realized in production in VotalAI's LLM Shield.
- Abstract（参考訳）: 自律的なLLMエージェントは、ますますユーザの代理として行動し、認証情報を保持し、ツールやサービスを呼び出し、さらにその代理として行動するサブエージェントを生成する。
エージェントを駆動するコンポーネントが、敵がハイジャックできる言語モデルであるからである。
我々は、エージェントのセキュリティは信頼できないモデル前提の下で評価されなければならないと論じている。
この標準に対して、私たちは3つのコントリビューションを行います。
まず、混乱した代理、トークン盗難、リプレイ、即発的な特権エスカレーション、妥協されたサブエージェントといった4つの敵を中心とするマルチエージェントデリゲートに対する脅威モデルを示します。そして、支配されるエージェントシステムが満たさなければならない8つのセキュリティ要件を導出します。第2に、デフォルトのエージェントランタイムモデリング 共通プラクティス(ブロードベアラー認証、モデル内での承認)が4つの脅威すべてに失敗し、広く使用されている4つのフレームワーク(LangGraph、CrewAI、AutoGen、Model Context Protocol(MCP)認証モデル -- 3つの組込みの閉じ込めと1つの部分のみを提供しています。
第3に、ギャップを埋める認証ブローカを実装し、逆向きに評価する。
これは4つの脅威をすべてブロックし、その設計に対する11の直接攻撃に抵抗し、20,000の偽造トークンの0を受理する、妥協されたサブエージェントを委譲されたタスク(2000のランダム化シナリオに対して1.5の到達可能なアクションと8,100のすべてのベアラデリゲート)に制限する、マイクロ秒のコストで実施する(決定毎に約2.6マイクロ秒)。
これらの原理はVotalAIのLLM Shieldでも実現されている。
関連論文リスト
- Black-Box Red Teaming of Agentic AI: A Taxonomy-Driven Framework for Automated Risk Discovery [0.0]
基本システム記述のみを必要とするリスク対応エージェント評価のための体系的ブラックボックスフレームワークを提案する。
提案手法では,(1)リスクカテゴリに可観測行動をマッピングする7つのドメイン分類法,(2)ドメイン毎に120の逆シナリオを生成する完全自動化されたSAGE-RTレッドチーム,(3)LLM判定を用いた人為的評価を提案する。
論文 参考訳（メタデータ） (2026-09-09T03:00:25Z) - Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2) [13.020998549537874]
AP2は、大きな言語モデル(LLM)によるショッピングエージェントが、ユーザに代わって支払いを認可し実行できるようにする。
以前の研究ではAP2 v0.1におけるリプレイとプロンプトインジェクション攻撃が特定された。
本稿では,AP2 v0.2の役割,トランザクションライフサイクル,デプロイメントアーキテクチャ,信頼境界に基づいて,システマティックなセキュリティ分析を行う。
論文 参考訳（メタデータ） (2026-08-24T22:05:00Z) - Protocol-Level Attacks on Agentic Commerce Platforms: A Cross-Platform Taxonomy, AIP-Bench, and Unified Defense [0.0]
我々は、エージェントと商業サービスの間のプロトコルにおいて、より連続的なリスクが1層下にあることを示す。
3つの主要なプラットフォームで、デプロイされたモデルに関係なく、それぞれが決定的に成功する、33の脆弱性を特定します。
そのうちの3つは、エンドツーエンドの支払いハイジャックにチェーンする。
論文 参考訳（メタデータ） (2026-07-23T21:21:01Z) - AgentLens: Interpretable Safety Steering via Mechanistic Subspaces for Multi-Turn Coding Agent [53.82005364479556]
大規模言語モデル(LLM)に基づく符号化エージェントは、驚くべき自律性を示す。
既存の安全機構は主に外部ガードレールに依存している。
我々は,ランタイムの安全性検出と表現レベルの緩和を行う,ホワイトボックスの防御フレームワークであるAgentLensを提案する。
論文 参考訳（メタデータ） (2026-06-21T21:13:55Z) - A New Framework for Cybersecurity Refusals in AI Agents [52.94784168139071]
攻撃的セキュリティの文脈において、拒絶境界を確立するための最初の枠組みを提示する。
本研究では,現在のLLMエージェントがWebベースの攻撃的セキュリティシナリオにおいて,適切な拒絶境界にどのように準拠しているかを評価するために,このフレームワークを適用した。
論文 参考訳（メタデータ） (2026-05-31T15:39:39Z) - PRISM: : Planning and Reasoning with Intent in Simulated Embodied Environments [59.07829883257003]
5つの集合住宅の上に建設され、PRISMは300の人間認証タスクを3つの能力レベルに構成する。
PRISMはエージェントに依存しない実行可能なアクションAPIを公開し、任意のエージェントをエンドツーエンドで評価できるようにする。
論文 参考訳（メタデータ） (2026-05-12T04:59:47Z) - AITH: A Post-Quantum Continuous Delegation Protocol for Human-AI Trust Establishment [9.198471344145092]
本稿では,ポスト量子連続デリゲートプロトコルであるAITH(AI Trust Handshake)を提案する。
AITHは、(1)ML-DSA-87 (FIPS 204, NIST Level 5)で署名された継続的デリゲーション証明書、(2)ハード制約、レート制限、エスカレーショントリガを強制する6チェック境界エンジン、(3)プッシュベースのリコールプロトコルが、1秒以内に無効を伝搬する。
論文 参考訳（メタデータ） (2026-04-09T01:30:28Z) - OMNI-LEAK: Orchestrator Multi-Agent Network Induced Data Leakage [59.3826294523924]
オーケストレータ設定として知られる,一般的なマルチエージェントパターンのセキュリティ脆弱性について検討する。
本報告では,フロンティアモデルの攻撃カテゴリに対する感受性を報告し,推論モデルと非推論モデルの両方が脆弱であることが確認された。
論文 参考訳（メタデータ） (2026-02-13T21:32:32Z) - Towards a Science of Scaling Agent Systems [79.64446272302287]
エージェント評価の定義を定式化し,エージェント量,コーディネーション構造,モデル,タスク特性の相互作用として,スケーリング法則を特徴付ける。
協調指標を用いて予測モデルを導出し,R2=0をクロスバリデーションし,未知のタスク領域の予測を可能にする。
ツールコーディネーショントレードオフ: 固定的な計算予算の下では, ツールヘビータスクはマルチエージェントのオーバーヘッドから不均衡に悩まされ, 2) 能力飽和: 調整が減少または負のリターンを, 単一エージェントのベースラインが45%を超えると達成できる。
論文 参考訳（メタデータ） (2025-12-09T06:52:21Z) - Security Challenges in AI Agent Deployment: Insights from a Large Scale Public Competition [101.86739402748995]
44の現実的なデプロイメントシナリオを対象とした,22のフロンティアAIエージェントを対象にしています。
Agent Red Teamingベンチマークを構築し、19の最先端モデルで評価します。
私たちの発見は、今日のAIエージェントの重要かつ永続的な脆弱性を浮き彫りにしたものです。
論文 参考訳（メタデータ） (2025-07-28T05:13:04Z) - The Dark Side of LLMs: Agent-based Attacks for Complete Computer Takeover [0.0]
大規模言語モデル(LLM)エージェントとマルチエージェントシステムは、従来のコンテンツ生成からシステムレベルの妥協まで及ぶセキュリティ脆弱性を導入している。
本稿では,自律エージェント内の推論エンジンとして使用されるLLMのセキュリティを総合的に評価する。
異なる攻撃面と信頼境界がどのように活用され、そのような乗っ取りを組織化できるかを示す。
論文 参考訳（メタデータ） (2025-07-09T13:54:58Z) - On the Resilience of LLM-Based Multi-Agent Collaboration with Faulty Agents [58.79302663733703]
大規模言語モデルに基づくマルチエージェントシステムは、専門家エージェントの協力により、様々なタスクにまたがる優れた能力を示している。
不器用なエージェントや悪意のあるエージェントが与える影響 - システム全体のパフォーマンスにおいて、頻繁にタスクでエラーを犯すものは、いまだに過小評価されていない。
本稿では,下流タスクにおける障害要因下での各種システム構造のレジリエンスについて検討する。
論文 参考訳（メタデータ） (2024-08-02T03:25:20Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。