論文の概要: When the Agent Becomes the Kernel: A Systematization of Security on the Path to AI-Native Operating Systems
- arxiv url: http://arxiv.org/abs/2609.23700v1
- Date: Sun, 20 Sep 2026 15:18:00 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-23 18:04:03.94209
- Title: When the Agent Becomes the Kernel: A Systematization of Security on the Path to AI-Native Operating Systems
- Title（参考訳）: エージェントがカーネルになるとき:AI-Nativeオペレーティングシステムへのパスにおけるセキュリティの体系化
- Abstract要約: 大規模言語モデルエージェントは、後続のアクションを行う権限を持つプリンシパルになった。
彼らの権威はカーネルグレードだが、古典的なシステムセキュリティに必要なものがない。
このようなシステムのセキュリティを,1つの区別で体系化します – 先入観を媒介する交差は決定論的チェックを許容する一方で,コンテンツセマンティクスを介さないものなのです。
- 参考スコア（独自算出の注目度）: 10.107156952405335
- License: http://creativecommons.org/licenses/by-nc-nd/4.0/
- Abstract: Large language model agents are now privileged principals that take consequential actions: editing code repositories, operating inboxes, completing purchases. Their authority is kernel-grade, but it comes without what classical systems security requires: a trusted mediator interposed on every access. Operating-system vendors are now rebuilding the platform around this de-facto agent kernel, inheriting complete mediation as a design problem. We systematize the security of such systems around a single distinction: a crossing mediated over provenance admits a deterministic check, while one over content semantics does not. A trust-boundary taxonomy locates where mediation must occur and isolates the central mediation gap at two kinds of semantic judgment: distinguishing data from instruction in untrusted input, and an authorized action from an unauthorized one. We argue that this gap leaves an irreducible residual of undetected attacks wherever inputs and actions are not restricted in advance to an enumerated set. The same distinction makes attack-success statistics actionable, placing each number on a spectrum from deployment debt (a sound deterministic mediator left unused) to a structural gap (no such mediator known). We systematize defenses across runtime monitoring, architectural separation, and authorization, and show that current evaluations tend to overstate deployed security through evaluation-validity failures. Finally, we carry that analysis forward beyond the de-facto kernel, to an architecture in which the model itself becomes the arbitration core, and derive the design constraints, open challenges, and research agenda for a security-first AI-native OS.
- Abstract（参考訳）: 大規模な言語モデルエージェントは、コードリポジトリの編集、インボックスの操作、購入の完了といった、一連のアクションを取る権限を持つプリンシパルになった。
彼らの権威はカーネルグレードだが、古典的なシステムセキュリティに必要なものがない。
オペレーティングシステムベンダは、このデファクトエージェントカーネルを中心にプラットフォームを再構築し、設計上の問題として完全なメディエーションを継承している。
このようなシステムのセキュリティを,1つの区別で体系化します – 先入観を媒介する交差は決定論的チェックを許容する一方で,コンテンツセマンティクスを介さないものなのです。
信頼境界分類法は、メディエーションが発生する場所を特定し、中央のメディエーションギャップを2種類の意味判断で分離する。
このギャップは、列挙された集合に予め入力やアクションが制限されないような、未検出攻撃の既約残余を残している、と我々は主張する。
同一の区別は、各番号を配置負債(未使用のままの健全な決定論的メディエータ)から構造的ギャップ(そのようなメディエータは知られていない)までのスペクトルに配置することで、攻撃・成功統計を実効性のあるものにしている。
ランタイム監視やアーキテクチャ分離,承認などを通じて,防御を体系化して,現在の評価では,評価妥当性の障害を通じて,デプロイされたセキュリティを過大評価する傾向にあることを示す。
最後に、この分析をデファクトカーネルを超えて、モデル自体が調停コアとなるアーキテクチャに転送し、セキュリティファーストのAIネイティブOSのための設計制約、オープンチャレンジ、研究アジェンダを導出します。
関連論文リスト
- HazardAuditor: From Executable Threats to Safer Computer-Use Agents [50.06351661912873]
既存のガードモデルは静的なプロンプトと応答をターゲットとしている。
既存の安全プラットフォームは、正規化された監督ではなく、ガードモデルで学ぶ必要がある評価判断を生成する。
両ギャップを埋める実行基盤フレームワークであるHazardAuditorを紹介します。
論文 参考訳（メタデータ） (2026-09-14T07:09:33Z) - AI Slop and Hallucinations in Vulnerability Assessment: A Survey on Reasoning Failures and Trustworthy Mitigation [48.55515767840701]
AIスロープ(AI slop)は、アーティファクト、幻覚的脆弱性、可視だが正しくないパッチ、セマンティックに再パッケージされたバグレポートである。
本稿では,実証的証拠を調査し,統一メカニズムを特定し,信頼に値するトリアージへの道筋をたどる。
論文 参考訳（メタデータ） (2026-08-26T11:48:38Z) - Towards Trustworthy Embodied Intelligence: A Systems Framework and Graded Trustworthiness Levels [53.63220028820581]
身体的知性は、学習した知覚と意思決定をリアルタイムの計算、制御、物理的相互作用と統合する。
我々は,信頼に値するインテリジェンスを,特定のタスクを確実に実行するための持続能力として定義する。
論文 参考訳（メタデータ） (2026-07-28T17:50:44Z) - POIROT: Interrogating Agents for Failure Detection in Multi-Agent Systems [0.07783271875179179]
システム独自のエージェントを診断層として再利用するプロトコルであるPOIROTを提案する。
評価された設定全体で、POIROTは単一LLMベースライン評価器より優れている。
我々は,安全クリティカルなマルチエージェントシステムにおけるフォールト属性のベンチマークであるBLAMEとともに,オープンソースのライブラリとしてPOIROTをリリースした。
論文 参考訳（メタデータ） (2026-06-01T14:05:35Z) - Provably Secure Agent Guardrail [89.79561918065122]
既存の防衛アーキテクチャは経験的セマンティックガードレールと確率論的大モデル調整器に依存している。
本稿では,論理的推論の基本的制約に基づくエージェントのための新しいセキュリティパラダイムを提案する。
論文 参考訳（メタデータ） (2026-05-28T02:12:41Z) - AgentReputation: A Decentralized Agentic AI Reputation Framework [3.6704226968275253]
我々はエージェントAIシステムのための分散3層評価フレームワークである textbfAgentReputation を提案する。
このフレームワークは、タスク実行、評価サービス、タンパー保護の永続化を分離し、それぞれの強みを活用し、独立した進化を可能にする。
定量化において、AgentReputationはリソース割り当て、アクセス制御、適応的な検証エスカレーションをサポートする決定対応のポリシーエンジンを提供する。
論文 参考訳（メタデータ） (2026-04-30T12:33:39Z) - From CRUD to Autonomous Agents: Formal Validation and Zero-Trust Security for Semantic Gateways in AI-Native Enterprise Systems [0.0]
本稿では,モデルコンテキストプロトコル(MCP)が管理するセマンティックゲートウェイの設計,形式検証,実証評価を提案する。
ゲートウェイは、エンタプライズAPIをセマンティックサーフェスとして再構成する。
このアーキテクチャでは、事前に推論されたセマンティックファイアウォール、決定論的ツールレベルRBAC、アウトオブバンドの暗号化人間対ループの承認を含む3層ゼロトラストセキュリティモデルが導入されている。
論文 参考訳（メタデータ） (2026-04-28T12:25:06Z) - Parallax: Why AI Agents That Think Must Never Act [0.0]
本稿では,4つの原則に基づく自律型AI実行のパラダイムであるParallaxを紹介する。
本稿では、Goのオープンソースリファレンス実装であるOpenParallaxを紹介し、Assume-Compromise Evaluationを用いて評価する。
9つの攻撃カテゴリにおける280件の敵の試験ケースのうち、パララックスは98.9%の攻撃をブロックし、デフォルト設定ではゼロの偽陽性、最大セキュリティ設定では100%の攻撃をブロックした。
論文 参考訳（メタデータ） (2026-04-14T17:20:48Z) - Clawed and Dangerous: Can We Trust Open Agentic Systems? [12.04979073308511]
オープンエージェントシステムは、プランニングを外部機能、永続メモリ、特権実行と組み合わせる。
本稿では,6次元分析分類法を導入し,攻撃,ベンチマーク,防衛,監査,隣接技術基盤にまたがる50の論文を合成する。
文献は攻撃特性とベンチマーク構築において比較的成熟しているが,デプロイメントコントロールや運用管理,永続的メモリの完全性,能力回復には依然として弱いことが,我々のレビューで示されている。
論文 参考訳（メタデータ） (2026-03-27T09:45:12Z) - Just Ask: Curious Code Agents Reveal System Prompts in Frontier LLMs [65.6660735371212]
textbftextscJustAskは,インタラクションのみで効果的な抽出戦略を自律的に発見するフレームワークである。
これは、アッパー信頼境界に基づく戦略選択と、原子プローブと高レベルのオーケストレーションにまたがる階層的なスキル空間を用いて、オンライン探索問題として抽出を定式化する。
この結果から,現代のエージェントシステムにおいて,システムプロンプトは致命的ではあるがほぼ無防備な攻撃面であることがわかった。
論文 参考訳（メタデータ） (2026-01-29T03:53:25Z) - CaMeLs Can Use Computers Too: System-level Security for Computer Use Agents [60.98294016925157]
AIエージェントは、悪意のあるコンテンツがエージェントの行動をハイジャックして認証情報を盗んだり、金銭的損失を引き起こすような、インジェクション攻撃に弱い。
CUAのためのシングルショットプランニングでは、信頼できるプランナーが、潜在的に悪意のあるコンテンツを観察する前に、条件付きブランチで完全な実行グラフを生成する。
このアーキテクチャ分離は命令インジェクションを効果的に防止するが、ブランチステアリング攻撃を防ぐには追加の対策が必要であることを示す。
論文 参考訳（メタデータ） (2026-01-14T23:06:35Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。