論文の概要: ACLE-MCP: Attested Capability Leases for Execution-Time Trust in Remote LLM Tool Use
- arxiv url: http://arxiv.org/abs/2609.02690v1
- Date: Wed, 02 Sep 2026 14:58:17 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-03 17:53:18.44151
- Title: ACLE-MCP: Attested Capability Leases for Execution-Time Trust in Remote LLM Tool Use
- Title（参考訳）: ACLE-MCP:遠隔LLMツールにおける実行時間信頼のための検証機能リース
- Abstract要約: OAuth認証だけでは、後続のツールコールが信頼を意図したプロバイダ側のワークロードによって実行されることを保証しません。
本稿では、委任承認、ワークロード評価、リソース側の実行許可を結合した呼び出しスコープアーキテクチャACLE-MCPを提案する。
- 参考スコア（独自算出の注目度）: 29.860376266824872
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Remote Model Context Protocol (MCP) services enable large language model agents to invoke external tools, but OAuth authorization alone does not ensure that a later tool call is executed by the provider-side workload that the relying party intended to trust. An endpoint may remain authorized even after execution shifts to a substituted workload, relies on stale appraisal state, reuses authority transferred from another sender, or traverses an undeclared downstream component. We call this problem the post-authorization execution trust gap. We present ACLE-MCP, an invocation-scoped architecture that couples delegated authorization, workload appraisal, and resource-side execution admission. For protected calls, ACLE-MCP issues a short-lived, sender-constrained capability lease that binds the expected workload, freshness requirement, operation, object and parameter bounds, downstream constraints, and receipt obligations. A provider-side Execution Gate consumes the lease immediately before protected tool logic begins. We implement a runnable prototype with Keycloak/OIDC validation, an MCP Python SDK server, and an optional vTPM quote-verification backend. Controlled security experiments and an agent tool-use extension show that weaker authorization or connect-time attestation modes leave distinct post-authorization attacks open, whereas full ACLE-MCP blocks all evaluated attack families while preserving all benign tasks. In the locally simulated agent extension, the complete design increases request-level pooled p95 latency on normal allowed calls by 25.7% relative to OAuth-only. These results indicate that invocation-time binding between call authority and current workload state is a practical complement to OAuth-protected remote tool use.
- Abstract（参考訳）: リモートモデルコンテキストプロトコル(MCP)サービスは、大規模な言語モデルエージェントが外部ツールを呼び出すことを可能にするが、OAuth認証だけでは、依存する当事者が信頼しようとするプロバイダ側のワークロードによって後続のツールコールが実行されることを保証しない。
エンドポイントは、代替のワークロードに移行した後でも承認され、古い評価状態に依存し、他の送信者から転送された権限を再使用したり、宣言されていない下流コンポーネントをトラバースしたりすることができる。
我々はこの問題を、承認後の実行信頼ギャップと呼んでいる。
本稿では、委任承認、ワークロード評価、リソース側の実行許可を結合した呼び出しスコープアーキテクチャACLE-MCPを提案する。
保護された呼び出しに対して、ACLE-MCPは、期待されるワークロード、フレッシュネス要件、操作、オブジェクトおよびパラメータ境界、下流制約、レシート義務を束縛する、短命な送信者制約付き機能リースを発行する。
プロバイダ側のExecution Gateは、保護されたツールロジックが始まる直前にリースを消費する。
我々は,Keycloak/OIDCバリデーション,MPP Python SDKサーバ,オプションのvTPM引用検証バックエンドを備えた実行可能なプロトタイプを実装した。
制御されたセキュリティ実験とエージェントツールの使用拡張は、より弱い認証または接続時の認証モードが、異なる承認後の攻撃をオープンにすることを示しているが、完全なACLE-MCPブロックは全ての攻撃ファミリーを評価し、すべての良質なタスクを保存している。
ローカルなシミュレートされたエージェント拡張では、完全な設計により、通常の許可された呼び出しに対する要求レベルのプールされたp95レイテンシが、OAuthのみと比較して25.7%向上する。
これらの結果は、呼び出し権限と現在のワークロード状態の間の呼び出し時バインディングが、OAuthで保護されたリモートツールの使用の事実上の補完であることを示している。
関連論文リスト
- ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - Token-Flow Firewall: Semantic Runtime Auditing for Persistent AI Agents [76.4694046738862]
TokenWallは、エージェントトークンフローのセマンティックファイアウォールとして機能するランタイム防衛フレームワークである。
TokenWallは攻撃成功率を12.5%に抑えつつ、97.4%の良質なパスレートを維持している。
論文 参考訳（メタデータ） (2026-07-09T12:18:40Z) - Sovereign Assurance Boundary: Certificate-Bound Admission for Agentic Infrastructure [2.124730017640531]
Sovereign Assurance境界は、自動実行権限のための証明書バウンドランタイムアクセス層である。
本稿では,エアロックブローカーのアーキテクチャを詳述し,その入力と取り消しの不変性を定式化し,Goプロトタイプの予備実現可能性の測定結果を報告する。
論文 参考訳（メタデータ） (2026-06-10T03:49:57Z) - Heartbeat-Bound Hierarchical Credentials: Cryptographic Revocation for AI Agent Swarms [0.0]
既存のクレデンシャルリコール機構であるOAuth2.0イントロスペクション、OCSP、W3Cステータスリストは、中央機関へのネットワーク接続を必要とする。
本稿では,HBHC(Heartbeat-Bound Hierarchical Credentials)について述べる。
論文 参考訳（メタデータ） (2026-05-20T05:03:03Z) - Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。
LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。
emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
論文 参考訳（メタデータ） (2026-05-16T12:53:31Z) - CapSeal: Capability-Sealed Secret Mediation for Secure Agent Execution [1.9473631530390483]
CapSealは、ダイレクトシークレットアクセスをローカルの信頼できるブローカによる制約付き呼び出しに置き換える、機能封入のシークレット仲介アーキテクチャである。
我々は、MPP対応アダプタと統合されたRustプロトタイプについて、非開示、制約された使用、リプレイ抵抗、監査可能性のための条件付きセキュリティ目標を定式化した。
論文 参考訳（メタデータ） (2026-04-18T00:23:32Z) - OpenPort Protocol: A Security Governance Specification for AI Agent Tool Access [11.289770127178882]
本稿では,セキュアなサーバサイドゲートウェイを通じてアプリケーションツールを公開するためのガバナンスファースト仕様であるOpenPort Protocolを紹介する。
OpenPortは、認可に依存した発見、機械操作可能なテキストタグによる安定した応答エンベロープ、および統合証明書、スコープ化されたパーミッション、ABACスタイルのポリシー制約を組み合わせた認可モデルを定義する。
書き込み操作のために、OpenPortは、ドラフト作成とヒューマンレビューのデフォルトとなるリスクゲートライフサイクルを規定し、明示的なポリシーの下でタイムバウンド自動実行をサポートし、事前のインパクトバインディングやイデペント性を含むリスクの高い保護を強制する。
論文 参考訳（メタデータ） (2026-02-22T05:16:40Z) - Agentic JWT: A Secure Delegation Protocol for Autonomous AI Agents [0.6747475365990533]
エージェント設定の推論、プロンプトインジェクション、マルチエージェントオーケストレーションは、サイレントに特権を拡張することができる。
本稿では,エージェントのアクションをユーザインテントにバインドする2面インテントトークンであるAgentic JWT(A-JWT)を紹介する。
A-JWTはエージェントのアイデンティティを、そのプロンプト、ツール、設定から派生したワンウェイハッシュとして保持する。
論文 参考訳（メタデータ） (2025-09-16T23:43:24Z) - Progent: Programmable Privilege Control for LLM Agents [46.31581986508561]
本稿では,大規模言語モデルエージェントをセキュアにするための最初の特権制御フレームワークであるProgentを紹介する。
Progentは、潜在的に悪意のあるものをブロックしながら、ユーザタスクに必要なツールコールの実行をエージェントに制限することで、ツールレベルでのセキュリティを強化する。
モジュール設計のおかげで、Progentの統合はエージェント内部を変更せず、既存のエージェントの実装に最小限の変更しか必要としません。
論文 参考訳（メタデータ） (2025-04-16T01:58:40Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。