論文の概要: Authority Is Not a String: A Capability-Scoped Harness for Prompt-Injection-Resistant Coding Agents
- arxiv url: http://arxiv.org/abs/2609.08371v1
- Date: Tue, 08 Sep 2026 07:37:00 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-11 16:41:41.292177
- Title: Authority Is Not a String: A Capability-Scoped Harness for Prompt-Injection-Resistant Coding Agents
- Title（参考訳）: オーソリティはストリングではない: プロンプト注入抵抗性符号化剤のキャパビリティ・スコッピング・ハーネス
- Abstract要約: コードエージェントは、ファイルの読み込み、コマンドの実行、ソースコードの変更にシステムレベルのツールを使用する。
間接的なプロンプトインジェクションは、ユーザが要求しなかったアクションを実行するために、リポジトリファイルやツール出力に命令を配置することで、この権限を利用する。
本稿では、悪意のあるテキストを識別するモデルを必要とせず、ツールの使用を制限するハーネスレベルの認証機構であるCapScopeを提案する。
- 参考スコア（独自算出の注目度）: 1.8587887164315786
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Coding agents use system-level tools to read files, execute commands, and modify source code. Within the agent's sandbox, these tools often carry ambient authority: naming a resource is sufficient to act on it. Indirect prompt injection exploits this authority by placing instructions in repository files or tool output that cause the agent to perform actions the user did not request. We propose CapScope, a harness-level authorization mechanism that restricts tool use without requiring the model to identify malicious text. Before repository contents or tool output are read, CapScope derives a task-wide authority ceiling from trusted input. It then assigns each agent a separate set of typed capabilities, stored outside the model's context. Every tool call is checked against the capabilities of the agent that issued it. Permissions assigned to one sub-agent are therefore not automatically available to another. An injection may cause an agent to request an action, but the request is blocked unless that agent already has the required capability. We implement CapScope on the Pi coding agent and evaluate it in a repair workflow where an orchestrator delegates subtasks to separate sub-agents. The evaluation covers five Python tasks, five injection surfaces, four authorization conditions, and three trials per cell (300 runs). The injected effect executes in 33-47/75 runs under the ambient-authority and global-policy baselines, compared with 3/75 under CapScope. CapScope completes 68/75 repairs, while the baselines complete 68-72/75.
- Abstract（参考訳）: コードエージェントは、ファイルの読み込み、コマンドの実行、ソースコードの変更にシステムレベルのツールを使用する。
エージェントのサンドボックス内では、これらのツールはしばしば周囲の権威を持ち、リソースの命名はそれを実行するのに十分である。
間接的なプロンプトインジェクションは、ユーザが要求しなかったアクションを実行するために、リポジトリファイルやツール出力に命令を配置することで、この権限を利用する。
本稿では、悪意のあるテキストを識別するモデルを必要とせず、ツールの使用を制限するハーネスレベルの認証機構であるCapScopeを提案する。
リポジトリの内容やツール出力が読み込まれる前に、CapScopeは信頼できる入力からタスクワイドのオーソリティ天井を導き出す。
次に、各エージェントに別の型付き機能セットを割り当て、モデルのコンテキスト外に格納する。
すべてのツールコールは、それを発行したエージェントの能力に対してチェックされます。
したがって、あるサブエージェントに割り当てられたパーミッションは、別のサブエージェントに自動的には利用できない。
インジェクションはエージェントにアクションを要求させるが、エージェントが既に必要な能力を持っていない限り、リクエストはブロックされる。
我々は、PiコーディングエージェントにCapScopeを実装し、オーケストレータがサブタスクを別のサブエージェントに委譲する修復ワークフローでそれを評価する。
評価対象は、Pythonタスク5つ、インジェクションサーフェス5つ、認可条件4つ、セル毎のトライアル(300ラン)3つである。
注入された効果は33-47/75 で実行され、CapScope では3/75 で実行されます。
CapScopeは68/75の修理を完了し、ベースラインは68-72/75の修理を完了した。
関連論文リスト
- LLM Agent Capabilities Should Follow Task Intent and Context Source [3.0990248963651355]
事前定義された従来のシステムとは異なり、エージェントに必要な最小特権能力は動的である。
すべての入力が同じ影響でひとつの共有計画チャネルに入るが、ユーザの明示的な要求とドキュメントの抽出されたテキストは異なる信頼を持ち、目的地を選択する権限やアクセスを広げる権限を共有するべきではない。
IntentCapは、ユーザインテント、ワークフローインストラクション、ツールスキーマ、実行環境の4つのソースから機能を構成する。
論文 参考訳（メタデータ） (2026-09-13T16:04:31Z) - Five Primitives for Governing Autonomous AI Agents at Runtime [0.0]
自律的なAIエージェントの管理は問題であり、モデルアライメントの問題ではない、と私たちは主張する。
行動を起こす前に答えなければならない質問から5つのプリミティブを導き出す。
エージェントのアクションが実行前にポリシーに対して媒介される実装について述べる。
論文 参考訳（メタデータ） (2026-08-27T06:53:11Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - Agent Security Needs Redefinition through a Holistic Framework [46.88917910966891]
被告は、命令が悪意あるように見えるかどうかを問う。ベンチマークは、エージェントが有害な鳴き声を行うかどうかを問う。
我々は,エージェントの軌道全体にわたって連続的に評価されなければならない4つの特性を通じて,コンテキストセキュリティを運用する。
論文 参考訳（メタデータ） (2026-07-24T06:43:09Z) - Coding Agents Are Guessing: Measuring Action-Boundary Violations in Underspecified DevOps Instructions [16.871217408296932]
符号化エージェントにおける動作境界違反を測定するためのベンチマークであるUnderSpecBenchを提案する。
UnderSpecBenchには、ドキュメント化されたインシデントやCVE、ツールの動作を基盤とする69のタスクファミリが含まれている。
タスクの難易度から不特定性を分離するために、各タスクは同じ環境と地道な安全なアクションを維持します。
論文 参考訳（メタデータ） (2026-07-02T15:11:39Z) - Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。
我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。
我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
論文 参考訳（メタデータ） (2026-06-22T11:36:58Z) - ClayBuddy: A Framework, Evaluation, & Mitigation of Coding Agent Failures [1.0742675209112622]
障害モードは、不特定性、能力エラー、エージェントハーネスエラーの3つのメカニズムから派生したものとして研究する。
我々はClayBuddyを提案する。ClayBuddyはユーザの好みを形作るハーネスで、モデルのインセッションで修正してこれらのエラーを軽減できる。
論文 参考訳（メタデータ） (2026-06-13T18:29:53Z) - ChainCaps: Composition-Safe Tool-Using Agents via Monotonic Capability Attenuation [11.138472843474505]
ChainCapsは透過的なMPPプロキシとして実装されており、エージェントやツールサーバの変更は必要ありません。
3つのプロバイダから5つのフロンティアモデルにまたがる82タスクにおいて、ChainCapsは攻撃成功率を25-68%から0-4.8%に下げる。
我々の主張は、信頼されたマニフェストとプロキシ可視のデータ移動の下での明示的なフロー構成の安全性に限られている。
論文 参考訳（メタデータ） (2026-05-26T04:44:59Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - Who Grants the Agent Power? Defending Against Instruction Injection via Task-Centric Access Control [25.109590157742712]
我々は、動的にタスクスコープ化されたパーミッションを強制する軽量ランタイムアクセス制御フレームワークであるAgentSentryを紹介する。
広範囲で永続的な許可を与える代わりに、AgentSentryは、最小限の一時的なポリシーを動的に生成し、強制する。
我々は,エージェントがプライベートメールの転送に騙されるようなインジェクション攻撃を,エージェントSentryがうまく防ぐことを実証する。
論文 参考訳（メタデータ） (2025-10-30T07:36:59Z) - DeepAgent: A General Reasoning Agent with Scalable Toolsets [111.6384541877723]
DeepAgentは、自律的な思考、ツール発見、アクション実行を実行するエンドツーエンドのディープ推論エージェントである。
長期にわたる相互作用の課題に対処するために,過去の相互作用を構造化エピソード,動作,ツール記憶に圧縮する自律的メモリ折り畳み機構を導入する。
LLMシミュレートされたAPIを活用し、ツール呼び出しトークンにきめ細かいクレジットを割り当てるツールコールアドバンテージ属性を適用した、エンドツーエンドの強化学習戦略であるToolPOを開発した。
論文 参考訳（メタデータ） (2025-10-24T16:24:01Z) - SOPBench: Evaluating Language Agents at Following Standard Operating Procedures and Constraints [59.645885492637845]
SOPBenchは、各サービス固有のSOPコードプログラムを実行可能な関数の有向グラフに変換する評価パイプラインである。
提案手法では,各サービス固有のSOPコードプログラムを実行可能関数の有向グラフに変換し,自然言語SOP記述に基づいてこれらの関数を呼び出しなければならない。
我々は18の先行モデルを評価し、上位モデルでさえタスクが困難であることを示す。
論文 参考訳（メタデータ） (2025-03-11T17:53:02Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。