論文の概要: Scan the Skill, Govern the Action: Composing Registry Verdicts with Runtime Consequence Control
- arxiv url: http://arxiv.org/abs/2609.12001v1
- Date: Thu, 10 Sep 2026 00:19:04 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-15 07:38:31.486374
- Title: Scan the Skill, Govern the Action: Composing Registry Verdicts with Runtime Consequence Control
- Title（参考訳）: Scan the Skill, Govern the Action: Composing Registry Verdicts with Runtime Consequence Control
- Abstract要約: 135の異なるパブリッシャーの705のスキルは、スキャナーとレジストリの判断率はクリーンである。
ある出版社が705の506を寄付しているので、その数を報告します。
第3に、53以上のクリアドスキルにより、クリーンな記録が得られず、エージェントは23人に1人まで到達し、ゲートは23人全員を止めた。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Agent skill registries screen what they publish. OpenClaw's security team reported that its scanners overlap on at most 10.4% of combined positives, and 81.9% of flagged skills are caught by one scanner alone. We take that as given, and suggest the open question is not which scanner is right but which is being asked. Each answers a form of "is this skill malicious?", which is what it was built for. "Is this action permitted here, by this operator, right now?" is not one it is designed to express. We report three measurements over 66,192 public ClawHub skill versions. First, 705 skills across 135 distinct publishers that every scanner and the registry's judge rate clean nonetheless instruct an action prohibited by CIS Control 2.7 and NIST SP 800-53 CM-11. A hand audit of 100 puts our detector at 92% precision and found no marker of malicious intent. One publisher contributes 506 of the 705, so we report the distribution with the count. This is reproducible from public artifacts. Second, of 144 commands a live agent executed in a sandbox while following real skill documentation, 34.7% carried a consequence class absent from that document. Third, over 53 cleared skills documenting an action no clean record earns, the agent reached for one in 23 and the gate stopped all 23. The harness and every recorded command are released. We offer one design for that gap: a deterministic resolver with no model in the decision path, feeding a per-(resource, class) trust ledger whose promotion thresholds derive from the operator's stated risk tolerance. Ten clean approvals cannot exclude a true failure rate of 25.9% at 95% confidence. We price the gate's interruptions across a spectrum of operator policies rather than quote one false-positive rate, since friction is a property of the policy, not the gate. We release a 64-case obfuscation benchmark; ours resolves 52%.
- Abstract（参考訳）: エージェントスキルレジストリは、彼らが発行するものを表示する。
OpenClawのセキュリティチームは、そのスキャナーが結合された陽性の少なくとも10.4%にオーバーラップし、フラグ付きスキルの81.9%が1つのスキャナーで捕捉されていると報告した。
オープンな質問は、どのスキャナーが正しいかではなく、どのスキャナーが正しいかだ。
それぞれが"このスキルは悪意があるか?
「この操作は、今、この演算子によって許可されていますか?」というのは、表現するように設計されたものではありません。
66,192件のClawHubスキルバージョンについて報告する。
まず、CISコントロール2.7とNIST SP 800-53 CM-11によって禁止されたアクションを指示するにもかかわらず、すべてのスキャナーと登録者の判断率はクリーンである。
100人の手による検査では、検知器の精度は92%に達し、悪意のある意図のマーカーは見つからなかった。
ある出版社が705の506を寄付しているので、その数を報告します。
これは公共の工芸品から再現できる。
第2に、144のコマンドがサンドボックスで実行され、実際のスキルドキュメントに従って実行され、34.7%はそのドキュメントから除外された結果のクラスを実行した。
第3に、53以上のクリアドスキルにより、クリーンな記録が得られず、エージェントは23人に1人まで到達し、ゲートは23人全員を止めた。
ハーネスと記録されたすべてのコマンドは解放される。
決定論的リゾルバは、決定パスにモデルを持たないもので、オペレータが主張するリスク許容性から昇格しきい値が導かれる、(リソース、クラス)単位の信頼台帳を供給します。
10件のクリーンな承認は、95%の信頼で25.9%の真の失敗率を除外できない。
我々は、摩擦はゲートではなくポリシーの特性であるため、1つの偽陽性率を引用するのではなく、オペレータポリシーのスペクトルにわたってゲートの割り込みを価格に設定する。
64ケースの難読化ベンチマークをリリースしています。
関連論文リスト
- After the Party: Governing What a Viral Agent-Skill Ecosystem Left Behind [2.5335007441696384]
2026年前半、OpenClaw AIエージェントがバイラルになり、その公開スキルレジストリがブームになった。
本稿は、OpenClaw Git履歴、GitHubイシューとプルリクエスト、ClawHubスナップショットの3つに基づいて、ブームが残したものを測定します。
論文 参考訳（メタデータ） (2026-09-15T14:50:27Z) - SkillAtlas: An Attack Trace Library for Agent Skills [67.18648151130607]
我々は、プライベートエージェントスキルセキュリティレポートバンドルをレビュー、修正、検索可能なパブリックケースに変換する、ホストされた攻撃トレースライブラリであるSkillAtlasを紹介する。
図書館には3,014のケース、6,589のトレース、151,131のステップ、233の影響を受けたスキル、8のリスクカテゴリが含まれている。
論文 参考訳（メタデータ） (2026-09-11T16:44:39Z) - Scanning the Harness: An Empirical Study of Supply-Chain Defects in AI Coding-Agent Configurations [0.0]
Claude Code、Cursor、GitHub Copilot、OpenAI CodexといったAIコーディングエージェントは、開発者が書いて共有するアーティファクトによって構成されている。
このハーネスは、マーケットプレースとパブリックリポジトリからインストールされた依存性レイヤで、開発者の権限で実行される。
2つ以上のコンポーネントタイプを組み立てる2,660のセットアップと、511の公開されたスキルコレクションです。
論文 参考訳（メタデータ） (2026-09-07T11:27:24Z) - Explaining AI-Image Detection: What the Heatmap Actually Shows [65.01025489527173]
私たちは検出器を構築し、その証拠として属性マップを添付します。
私たちは、そのペアがコントロール下の186,527のイメージにもたらすものを測定します。
属性ランキングが存在するかどうかは、検出器が画像に反応するかどうかに依存する。
論文 参考訳（メタデータ） (2026-07-31T16:07:05Z) - StateAct: Program State, before Pixels, for Long-Horizon Computer-Use Agents [55.650871465979066]
StateActはコードファーストでマルチエージェントのハーネスであり、この区別に基づいて構築されている。
そのメインエージェントは、コードを使用してプログラム状態と直接連携する。
専用のGUIサブエージェントは、必要ないくつかのサブゴールでスクリーンショットとクリックのインタラクションを処理する。
論文 参考訳（メタデータ） (2026-07-24T14:17:03Z) - Abliteration Is Not a Scalpel: Off-Target Effects of Refusal Removal on Decision Disposition Across Model Families [51.56484100374058]
放棄 — モデルの拒絶方向を重みから取り除く — は、一般的な"アンセンソルド"なオープンウェイトモデルの標準的なレシピである。
ディスポジションプローブとして21,600個の決定を不確実性の下で使用し、凍結パイプラインを通じて再生することにより、決定層モデルが唯一の変数となる。
3つのエフェクトは2つのファミリーにまたがって複製される(ゼロを除く週間クラスターCI)
4つ目の効果は符号を逆転する:同じ操作によりGemmaで読み取られた方が自信が弱まり、Qwenで読み取られたものがより多くなる(ファミリーCIは重複しない)。
論文 参考訳（メタデータ） (2026-07-19T22:27:00Z) - Detecting Malicious Agent Skills in the Wild using Attention [0.0]
LLMエージェントは、ユーザの特権で実行されるサードパーティによって書かれた命令のファイルベースのパッケージである、スキルを徐々にロードする。
悪意のあるスキルは、データを流出させたり、エージェントをハイジャックしたり、サプライチェーンの足場として永続化することができる。
この体制のために設計された2段式検出器であるLocate-and-Judgeを紹介する。
論文 参考訳（メタデータ） (2026-06-22T14:41:06Z) - MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills [24.371534406647978]
MalSkillBenchは、悪質なエージェントスキルの最初のランタイム検証ベンチマークである。
コードインジェクションは94.5%に達するが、迅速なインジェクションは75.8%に過ぎない。
データセット、パイプライン、ベースライン、結果をリリースしています。
論文 参考訳（メタデータ） (2026-06-05T10:43:19Z) - ClawHub Security Signals: When VirusTotal, Static Analysis, and SkillSpector Disagree [0.4464102544889847]
ClawHub Security Signalsは67,453の最新のOpenClawスキルバージョンをサニタイズしたデータセットである。
各行はSKILL.mdコンテンツと、最後のClawScanレジストリの検証と3つのスキャナーファミリからのエビデンスを含む、サニタイズされたバンドルファイルとをペアリングする。
悪質なスキルの有病率を推定するよりも、スキャナの不一致を調査する。
これらの結果は、エージェントスキルのセキュリティは、単一スキャナの許容/ブロック決定ではなく、階層化されたガバナンスを必要とすることを示している。
論文 参考訳（メタデータ） (2026-05-31T23:20:25Z) - Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry [49.83108591873481]
SKILL.md - エージェントスキルライフサイクルの3つのステージを対象とするアタックのみを調査する。
SKILL.mdは受動的ドキュメントではなく、サードパーティのエージェントが発見し、信頼し、使用する機能を形成する運用テキストであることを示す。
論文 参考訳（メタデータ） (2026-05-12T02:11:54Z) - How Vulnerable Are AI Agents to Indirect Prompt Injections? Insights from a Large-Scale Public Competition [48.32744727426218]
LLMベースのエージェントは、電子メール、ドキュメント、コードリポジトリなどの外部データソースを処理する高利得設定にますますデプロイされている。
これにより間接的なプロンプトインジェクション攻撃が発生し、外部コンテンツに埋め込まれた敵の命令は、ユーザの意識なしにエージェントの動作を操作できる。
この2つの目的を3つのエージェント設定で評価した。
論文 参考訳（メタデータ） (2026-03-16T14:49:36Z) - Malicious Agent Skills in the Wild: A Large-Scale Security Empirical Study [47.60135753021306]
サードパーティのエージェントスキルは、LLMベースのエージェントを拡張して、命令ファイルとユーザのマシン上で動作する実行可能なコードを生成する。
結果として生じる脅威を特徴づけるために、地中真実のデータセットは存在しない。
我々は,98,380のスキルを行動検証することで,悪質なエージェントスキルのラベル付きデータセットを構築した。
論文 参考訳（メタデータ） (2026-02-06T09:52:27Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。