論文の概要: Ajar: Measuring Open Privilege in Agent Defenses

• arxiv url: http://arxiv.org/abs/2609.26900v1
• Date: Tue, 22 Sep 2026 18:01:41 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 00:05:17.708563
• Title: Ajar: Measuring Open Privilege in Agent Defenses
• Title（参考訳）: Ajar: エージェント防衛におけるオープン・プライヴィリエジの測定
• Abstract要約: Ajarはエージェントセキュリティベンチマークを使用して、オープン権限を直接測定する。 Progent、CaMeL、AC4A、Permission Assistant、Claude CodeのAutoモードです。 このオープンな特権は、測定された攻撃の成功または良質なユーティリティから引き出すことはできない。
• 参考スコア（独自算出の注目度）: 11.102074689747745
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: A language model agent acts through the tools it is given. The data it reads while working on a task can redirect what it does with those tools. A growing set of techniques for safe and secure agent execution therefore sits between the agent and its tools, aiming to enforce access control, information flow or isolation at that boundary. Today these techniques are evaluated on agent-security benchmarks built around indirect prompt injection. Those benchmarks judge a defense by how far it brings the number of successful attacks down while preserving the agent's utility. A defense is judged only on the agent's execution. It can score well on both metrics while holding open a transfer, a deletion or a broad read that no task needed. Ajar measures that open privilege directly using the existing benchmarks. It attaches to an agent-security benchmark that already exists and reuses the tasks, tool schemas, reference solutions and goal states that benchmark uses to grade its own runs. For each benign task it builds candidate tool calls the task does not need, so allowing one is privilege left open. These calls are presented to the defense at every point where the agent could act. We evaluate Ajar by attaching it to AgentDojo, where open privilege becomes a third axis beside the existing attack success and benign utility. We run it on five defenses: Progent, CaMeL, AC4A, Permission Assistant, and Claude Code's Auto mode. We observed that they leave widely different amounts of privilege open. Two defenses leak by almost the same amount yet differ widely in the benign tasks they finish, and one defense buys part of its tightness by refusing calls its tasks were entitled to make. This open privilege cannot be derived from the measured attack success or benign utility. The source code of Ajar is available at https://github.com/reSHARMA/Ajar.
• Abstract（参考訳）: 言語モデルエージェントは、与えられたツールを介して作用する。 タスク作業中に読み取ったデータは、これらのツールで何をするかをリダイレクトすることができる。 したがって、安全で安全なエージェント実行のための一連のテクニックがエージェントとそのツールの間にあり、その境界におけるアクセス制御、情報フロー、アイソレーションを強制することを目的としている。 現在、これらの技術は間接的なプロンプトインジェクションを中心に構築されたエージェントセキュリティベンチマークで評価されている。 これらのベンチマークは、エージェントの効用を保ちながら、どの程度攻撃が成功したかを判断する。 弁護は、代理人の処刑についてのみ判断される。 転送、削除、あるいはタスクを必要としない広範囲の読み込みを保持しながら、両方のメトリクスでうまくスコアを付けることができる。 Ajarは、既存のベンチマークを直接使用して権限を開放する。 既に存在するエージェントセキュリティベンチマークにアタッチされ、タスク、ツールスキーマ、参照ソリューション、目標ステートを再利用する。 良心的なタスクごとに、そのタスクが不要な候補ツールコールを構築します。 これらの呼び出しは、エージェントが動作可能なすべての時点において、防衛に提示される。 我々はAjarをAgentDojoにアタッチすることで評価する。 Progent、CaMeL、AC4A、Permission Assistant、Claude CodeのAutoモードです。 我々は、彼らが広範囲に異なる特権を開放しているのを観察した。 2つの防御は、ほぼ同じ量で漏れるが、彼らが仕上げた良質なタスクでは大きな違いがあり、一方の防衛は、そのタスクを行う権利があるコールを拒否することで、その厳格さの一部を購入している。 このオープンな特権は、測定された攻撃の成功または良質なユーティリティから引き出すことはできない。 Ajarのソースコードはhttps://github.com/reSHARMA/Ajarで入手できる。

関連論文リスト

• ActGuard: Pre-execution Action Auditing against Indirect Prompt Injection in LLM Agents [11.495797074855703]
  本稿では,事前実行動作監査フレームワークであるActGuardを提案する。 外部コンテンツが本質的に疑わしいかどうかを判断する代わりに、ActGuardは現在のアクションが合理的な期待から逸脱するかどうかを評価する。 検証者はその後、局所化された証拠を調べ、マスクは悪意のあるものとのみ確認され、衛生化された文脈からアクションを再生する。
  論文  参考訳（メタデータ） (2026-09-14T03:47:05Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Think Twice Before You Act: Protecting LLM Agents Against Tool Description Poisoning via Isolated Planning [48.99783163807576]
  クロスツール記述中毒は、エージェントの軌道を操縦するためにプランナー可視のツールメタデータを操作することができる。 重要な観察は、有毒な記述がステップを越えた計画コンテキストに留まり、その後のツール選択に対する継続的な影響を可能にすることである。 我々は,孤立計画と呼ばれる新しい概念に基づく新しいシステムレベルの防衛ツールであるTool-Guardを提案する。
  論文  参考訳（メタデータ） (2026-06-18T20:31:08Z)
• AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
  間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。 我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
  論文  参考訳（メタデータ） (2026-06-13T02:09:08Z)
• AIRGuard: Guarding Agent Actions with Runtime Authority Control [24.777900118288144]
  ツールを使用する言語エージェントは、モデル決定を外部の副作用に変換する。 本稿では、最小限の権限をアクションタイムの認可として運用するランタイムガードであるAIRGuardを紹介する。
  論文  参考訳（メタデータ） (2026-05-27T17:48:14Z)
• ClawGuard: A Runtime Security Framework for Tool-Augmented LLM Agents Against Indirect Prompt Injection [8.627671856044527]
  textscClawGuardは、すべてのツール呼び出し境界に設定されたユーザ確認ルールを強制する。 textscClawGuardは、モデル修正やインフラストラクチャの変更なしに、3つのインジェクションパスをすべてブロックする。 この研究は、安全なエージェントAIシステムのための効果的な防御メカニズムとして、決定論的ツールコール境界強制を確立する。
  論文  参考訳（メタデータ） (2026-04-13T17:55:11Z)
• Who Grants the Agent Power? Defending Against Instruction Injection via Task-Centric Access Control [25.109590157742712]
  我々は、動的にタスクスコープ化されたパーミッションを強制する軽量ランタイムアクセス制御フレームワークであるAgentSentryを紹介する。 広範囲で永続的な許可を与える代わりに、AgentSentryは、最小限の一時的なポリシーを動的に生成し、強制する。 我々は,エージェントがプライベートメールの転送に騙されるようなインジェクション攻撃を,エージェントSentryがうまく防ぐことを実証する。
  論文  参考訳（メタデータ） (2025-10-30T07:36:59Z)
• AutoAdvExBench: Benchmarking autonomous exploitation of adversarial example defenses [66.87883360545361]
  AutoAdvExBenchは、大規模言語モデル(LLM)が敵の例に対する防衛を自律的に活用できるかどうかを評価するためのベンチマークである。 我々は,CTF様(ホームワークエクササイズ)の75%を破壊できる強力なエージェントを設計する。 このエージェントは、我々のベンチマークの現実世界の防御の13%でしか成功できないことを示し、実際の"コードを攻撃することの難しさとCTFライクなコードとの間に大きなギャップがあることを示します。
  論文  参考訳（メタデータ） (2025-03-03T18:39:48Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。