論文の概要: Agent Approval Laundering: Transitive Effects Beyond the Approved Invocation

• arxiv url: http://arxiv.org/abs/2609.28586v1
• Date: Wed, 23 Sep 2026 13:47:35 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 21:10:09.423709
• Title: Agent Approval Laundering: Transitive Effects Beyond the Approved Invocation
• Title（参考訳）: エージェント承認の洗浄:承認された呼び出しを超えたトランジブな効果
• Abstract要約: コーディングエージェントの承認インターフェースは、人間の決定をコマンドやツールコールに結び付ける。 私たちは、結果として生じる記録的障害承認洗浄を呼んでいます。 エージェントシステムにおけるこの記録-閉鎖関係の最初の系統的セキュリティ解析について述べる。
• 参考スコア（独自算出の注目度）: 4.976922673853743
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Coding-agent approval interfaces bind a human decision to a command or tool call, while developer tools execute the transitive workflow that invocation activates. Package installation can run lifecycle hooks and write files; an MCP call can exercise network authority. We call the resulting record-coverage failure approval laundering: the durable record names the entry invocation but omits effects exercised by its workflow. We present the first systematic security analysis of this record-to-closure relation in agent systems. We formalize closure-bound approval over six effect classes and derive an information limit: identical policy-visible fields can require different effect-specific decisions, so no record-only policy can guarantee both. The Approval-to-Action Security Benchmark binds approval objects and decision-time metadata to post-execution evidence. Across 111 fixed approval-object/trace pairs, residual records fall from 40 under explicit fields to 17 with command semantics and 13 with decision-time metadata. Across 11 fixed-SHA executions, the ladder reaches zero metadata residuals; two exact mappings recur across three product frontends. For prospective recovery, effect-bound records commit frozen, source-backed predictions and provenance before authorization. On 17 prespecified holdout workflows, predictions achieve 0.926 macro recall and 0.941 macro precision; binding them cuts residual effects from 10 to 3. A Claude Code PreToolUse integration carries the frozen record through the permission path without automatic approval. These results establish approval laundering as a measurable, recurrent record-coverage failure despite truthful invocation identity. They motivate binding each invocation before authorization to a source-backed prediction of its workflow's transitive effect boundary and preserving that binding with the decision.
• Abstract（参考訳）: コーディングエージェントの承認インターフェースは、ヒューマン決定をコマンドやツールコールにバインドし、開発者ツールは、起動を起動する推移的なワークフローを実行する。 パッケージのインストールはライフサイクルフックを実行し、ファイルを書き込むことができる。 耐久性のあるレコードはエントリの呼び出しを名付けますが、ワークフローによって実行された影響を省略します。 エージェントシステムにおけるこの記録-閉鎖関係の最初の系統的セキュリティ解析について述べる。 6つの効果クラスにまたがるクロージャバウンドの承認を形式化し、情報制限を導出する。 Approval-to-Action Security Benchmarkは承認オブジェクトと決定時間メタデータを実行後の証拠にバインドする。 111組の固定された承認オブジェクト/トレースペアでは、残留レコードは明示的なフィールドで40から17に、コマンドセマンティクスで13に落ちている。 11回の固定SHA実行で、はしごはメタデータの残量ゼロに到達し、3つの製品フロントエンドに2つの正確なマッピングが再帰する。 将来的なリカバリのために、エフェクトバウンドレコードは、フリーズ、ソースバックの予測、承認前の証明をコミットする。 17の事前定義されたホールトアウトワークフローでは、予測は0.926マクロリコールと0.941マクロ精度を達成する。 Claude Code PreToolUse統合は、凍結したレコードをパーミッションパスを通じて自動承認なしで運ぶ。 これらの結果は、真偽の呼び出しの同一性にもかかわらず、測定可能な、繰り返し発生する記録的障害として承認洗浄を確立する。 彼らは、ワークフローの推移的エフェクト境界のソースバック予測に承認前に各呼び出しのバインディングを動機付け、そのバインディングを決定に保存する。

関連論文リスト

• Recoverability as a System Primitive for Long-Horizon AI Agents [5.008310199603767]
  再利用を明示的な決定とするシステムプリミティブとして,リカバリビリティを導入する。 4つの決定論的ファイルと20のペアファイルの課題は、正確な復元と完了が許可されていない開始点を隠蔽できることを示している。
  論文  参考訳（メタデータ） (2026-09-12T02:54:33Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• Metis: Typed Runtime Mediation for Tool-Using Software Agents [13.543030296451661]
  コールが外部効果に達する前に、プロバイダストリームを型付きイベントに変換するマルチプロジェクタランタイムであるMetisを提示する。 我々はこれらのメカニズムを凍結した原材料上で評価した。
  論文  参考訳（メタデータ） (2026-08-26T03:10:03Z)
• MAP-Graph: Provenance-Aware Shared Memory for Multi-Agent Workflows [21.565934900490166]
  MAP-Graphは,エージェント,ソース,メモリ,クレーム,アクションを型付き実行グラフで表現するメモリ層である。 祖先を辿り、許可なしのレコードを除外し、意味的類似性と乗法的経路信頼によって資格ある記憶を再引用し、影響された系統を監査するために保持しながら、行動実行前に危険に敏感なゲートを適用します。
  論文  参考訳（メタデータ） (2026-08-11T05:31:18Z)
• Preventing Premature Commitment in Coding Agents with an Evidence-Conditioned Execution Layer [38.62073085926841]
  LLMベースのコーディングエージェントはソースコードを編集したり、変更を正当化するための十分なリポジトリ証拠を調べる前にパッチを提出する。 我々は、エビデンス条件付き実行を実行するために、エージェントとレポジトリの間を介在する実行層であるECLoopを提案する。
  論文  参考訳（メタデータ） (2026-07-30T20:16:35Z)
• The Hidden Footprint: Making Storage a First-Class Metric for LLM Agent Evaluation [29.747532095696965]
  LLMエージェントベンチマークは、タスクの完了、信頼性、推論コストを測定するが、エージェントがディスクに残す永続的なデータではない。 AgentFootprintは、実行後のエージェントストレージフットプリントのクロスフレームベンチマークである。
  論文  参考訳（メタデータ） (2026-07-13T06:44:33Z)
• MemMorph: Tool Hijacking in LLM Agents via Memory Poisoning [33.50057841368287]
  LLMエージェントは、ユーザのタスクを完了させるために外部ツールを選択することができる。 本稿では,エージェントの長期記憶を害してバイアスツールの選択を行う最初の攻撃であるMemMorphを提案する。
  論文  参考訳（メタデータ） (2026-05-24T04:26:13Z)
• Overeager Coding Agents: Measuring Out-of-Scope Actions on Benign Tasks [40.270213696031625]
  OverEager-Genは、良質なタスクの振る舞いをオーバーイーガーするベンチマークである。 クロード・コードでは、同意宣言を削除するだけで、オーバーイーガー率は0.0%から17.1%に上昇する。 オーバーイーガー・ジェン(OverEager-Gen)は、入場前に各シナリオの識別力を認定する。
  論文  参考訳（メタデータ） (2026-05-18T16:00:41Z)
• Verify-Gated Completion as Admission Control in a Governed Multi-Agent Runtime: A Bounded Architecture Case Study [0.6875312133832079]
  制御されたマルチエージェントランタイムの入出力制御パターンとして,検証ゲート補完について検討する。 観測条件下では,読み取り専用検証ゲートとパケット化入力記録が検査可能で,フェールクロースされた。
  論文  参考訳（メタデータ） (2026-05-18T07:52:13Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。