論文の概要: Zero-Trust Authorization and Discovery for Enterprise MCP
- arxiv url: http://arxiv.org/abs/2609.22573v1
- Date: Fri, 18 Sep 2026 20:51:19 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-23 18:04:03.879858
- Title: Zero-Trust Authorization and Discovery for Enterprise MCP
- Title（参考訳）: エンタープライズMPPにおけるゼロトラスト認証と発見
- Abstract要約: Model Context Protocol (MCP)はこの境界に対して広く採用されているインタフェースとなっている。
公式のSDKの認証と認可プリミティブは、エンタープライズゼロトラスト要件に満たない。
6種類のMPP SDKの系統的ギャップ解析を行った。
- 参考スコア（独自算出の注目度）: 13.754043239094758
- License: http://creativecommons.org/licenses/by-nc-nd/4.0/
- Abstract: LLM agents translate natural-language context, which may include attacker-controlled text, into privileged tool calls, so authorization must remain effective even when an agent is prompt-injected or adversarially steered. The Model Context Protocol (MCP) has become a widely adopted interface for this boundary, yet its official SDKs' authentication and authorization primitives fall short of enterprise zero-trust requirements, most acutely a dual-persona model in which one server must serve human users (corporate SSO) and automated agents (service-account credentials on a different header). We conduct a systematic gap analysis of six surveyed MCP SDKs (Python, TypeScript, Go, Rust, C#, Swift) and identify three structural shortcomings: credential extraction bound to a single Authorization header, complicating dual-persona deployment without custom middleware; the absence of pre-authentication tool discovery; and the lack of fine-grained per-tool authorization in the base SDKs. We close these gaps with composable extensions to FastMCP: cross-header credential normalization for enterprise deployments serving both human and service-account callers, cached token verification across heterogeneous IdPs, an unauthenticated metadata endpoint for credential-free registry discovery, and permission-filtered tool visibility kept consistent with per-tool invocation enforcement by a single declarative annotation, all without modifying the protocol or SDK internals. Across four frontier LLMs over 2160 attempts, an in-body-check-only server still exposes forbidden tools (152/720, 21.1%), whereas permission-aware visibility drives the rate to 0/720; visibility-only filtering remained bypassable by scripted clients, while models referenced the hidden tool by name in up to 94% of settings when inferable from the prompt, confirming that discovery controls cannot replace invocation-time enforcement.
- Abstract（参考訳）: LLMエージェントは、攻撃者が制御するテキストを含む自然言語コンテキストを特権的なツールコールに変換するため、エージェントが即座に注入されたり、逆向きに操作されたとしても、承認は有効でなければならない。
Model Context Protocol(MCP)は、このバウンダリの広く採用されているインターフェースとなっているが、公式のSDKの認証および認可プリミティブは、エンタープライズのゼロトラスト要件に欠けており、最も急激なのは、1つのサーバが人間ユーザー(SSOの企業)と自動化エージェント(異なるヘッダ上のサービスアカウント認証)にサービスを提供しなければならない、二重パーソナモデルである。
調査対象のMPP SDK(Python、TypeScript、Go、Rust、C#、Swift)のシステマティックギャップ分析を行い、単一のオーソライゼーションヘッダにバウンドされたクレデンシャル抽出、カスタムミドルウェアなしでのデュアルパーソナデプロイメントの複雑化、事前認証ツールの発見の欠如、ベースSDKに詳細なツール単位の認証の欠如、という3つの構造的欠点を特定します。
我々はこれらのギャップを、FastMCPのコンポーザブルな拡張で埋める: 人およびサービスアカウント呼び出しの両方をサポートするエンタープライズデプロイメントのためのクロスヘッダのクレデンシャルな正規化、異種IdP間のキャッシュされたトークン認証、クレデンシャルフリーレジストリ発見のための認証済みメタデータエンドポイント、認証なしのレジストリディスカバリのためのパーミッションフィルタリングツールの可視性は、プロトコルやSDK内部を変更することなく、単一の宣言的なアノテーションによって、ツールごとの呼び出しの強制と整合性を維持します。
2160以上の4つのフロンティアLCMで、ボディチェックのみのサーバが禁止されたツール(152/720, 21.1%)を公開しているのに対して、パーミッション対応の可視性は0/720に加速している。
関連論文リスト
- Conformal Privacy Auditing: Calibrated Re-identification Attacks with Statistical Guarantees [57.41572512458446]
公開されたテキストからの経験的アイデンティティリークは、大きな言語モデル(LLM)とドキュメントを個人にリンクするための補助的な知識を組み合わせた攻撃者によって駆動される。
本稿では,各文書の再識別リスクの統計証明を提供する分散フリーキャリブレーションフレームワークであるConformal Privacy Auditingを紹介する。
論文 参考訳（メタデータ） (2026-09-18T05:49:54Z) - ACLE-MCP: Attested Capability Leases for Execution-Time Trust in Remote LLM Tool Use [29.860376266824872]
OAuth認証だけでは、後続のツールコールが信頼を意図したプロバイダ側のワークロードによって実行されることを保証しません。
本稿では、委任承認、ワークロード評価、リソース側の実行許可を結合した呼び出しスコープアーキテクチャACLE-MCPを提案する。
論文 参考訳（メタデータ） (2026-09-02T14:58:17Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - KeyPooling: Measuring Where LLM API Relay Paths Collapse Prompt Cache Isolation [53.952294884822955]
大規模言語モデル(LLM)APIは、顧客の認証を別々に行うが、多くの場合、共有プロバイダ認証を通じて要求を転送する。
KeyPoolingは、キャッシュのルックアップと書き込みを通じて顧客のアイデンティティをトレースする測定方法である。
すべての顧客がプロバイダ強化されたドメインに入る必要があります。
論文 参考訳（メタデータ） (2026-08-18T08:12:34Z) - Trusted Workflow Relays:Cross-Tenant Email Abuse and Composable Red Team Initial-Access Primitives in Multi-Tenant Clouds [0.0]
クラウドアプリケーションは、プロバイダが操作するメールIDを通じて定期的に通知を送信する。
認証されたアクターはテナント境界を越えて受信者に連絡し、信頼できるプロバイダサービスが配信するコンテンツを制御することができる。
SPF、DKIM、DMARCは、メッセージの認証を行うが、アプリケーションレベルの送信が認可されたことを確立できない。
論文 参考訳（メタデータ） (2026-08-18T04:31:34Z) - Intent-Governed Tool Authorization for AI Agents [4.805352087824778]
Intent-Governed Access Control (IGAC)は、AIエージェントツール使用のためのモノトーンで監査可能なポリシー属性として、ユーザの表現された意図を扱う。
IGACは、インテント証明書、セッションスコープによるポリシー絞り、インテント対応マニフェストフィルタリング、インテントツーオールペイロードチェックを導入している。
IGACをOpenPortにマッピングします。これは、認証依存の発見、スコープ、ABACスタイルのポリシーチェックを実装した既存のガバナンス基盤です。
論文 参考訳（メタデータ） (2026-06-22T06:55:57Z) - Attested Tool-Server Admission: A Security Extension to the Model Context Protocol [0.0]
Model Context Protocol(MCP)は、大規模言語モデル(LLM)エージェントと外部ツールサーバがメッセージ交換を行う方法の標準化である。
EnclawedエージェントはGoogleの外部操作型MPPサーバを安全に使用することができる。
論文 参考訳（メタデータ） (2026-05-22T21:52:51Z) - Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。
LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。
emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
論文 参考訳（メタデータ） (2026-05-16T12:53:31Z) - Governing Dynamic Capabilities: Cryptographic Binding and Reproducibility Verification for AI Agent Tool Use [0.0]
既存のセキュリティレイヤでは、AIエージェントに何ができるか、それが主張するものを実行したのか、マルチエージェントインタラクションで何が起きたのかを検証できない。
既存のフレームワークはこれら2つを詳述し、サイレントな能力のエスカレーションを可能にし、検証済みの証明なしに相互作用を残す。
我々は3つのエージェントガバナンス要件を導出する:能力の完全性(G1)、行動の妥当性(G2)、相互作用監査性(G3)。
基本(Ed25519, SHA-256; 97 us verify)と拡張(BBS+選択開示、Groth16 DV-SNARK; 13.8 ms)の2つの暗号に依存しないインスタンス化で検証する。
論文 参考訳（メタデータ） (2026-03-15T11:46:57Z) - Orchestral AI: A Framework for Agent Orchestration [45.946776875141666]
Orchestralは軽量なPythonフレームワークで、主要なプロバイダ間でLLMエージェントを構築するための統一型安全なインターフェースを提供する。
プロバイダ間でシームレスに動作し、手作業によるフォーマット変換を排除し、フレームワークが引き起こす複雑さを低減します。
リッチなツールコール、コンテキストのコンパクト化、サンドボックス、ユーザ承認、サブエージェント、メモリ管理、MPP統合など、より大きなフレームワークで見られる高度なエージェント機能をサポートする。
論文 参考訳（メタデータ） (2026-01-05T22:02:11Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。