論文の概要: MetaPermit: Scalable and Auditable Access Control for AI Agents via LLM-Inferred Meta-Attributes

• arxiv url: http://arxiv.org/abs/2609.31039v1
• Date: Fri, 25 Sep 2026 09:32:31 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-28 18:27:51.326467
• Title: MetaPermit: Scalable and Auditable Access Control for AI Agents via LLM-Inferred Meta-Attributes
• Title（参考訳）: MetaPermit: LLM-Inferred Meta-AttributesによるAIエージェントのスケーラブルで監査可能なアクセス制御
• Abstract要約: セキュリティ対策からセマンティック推論を分離するポリシーベースのツールアクセス制御フレームワークを提案する。 エージェント-ユーザインタラクションを解析することにより、ユーザの意図、実行状況、提案ツールコール間の関係をキャプチャする、コンパクトでタスク非依存のメタ属性セットを導出する。 我々は,AgentDojoとAgentDynベンチマークのMetaPermitを7つのタスクスイートと5つのアタックメソッドで評価した。
• 参考スコア（独自算出の注目度）: 15.895930401162387
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: The rise of autonomous AI agents equipped with tools has introduced significant security risks, ranging from unintended tool misuse to adversarial manipulation through Indirect Prompt Injection (IPI) attacks. In practice, deployed agent systems such as OpenAI Codex and Claude Code protect tool invocations through a combination of coarse-grained permission rules and LLM-based judgments about individual proposed actions. Both components, however, have important limitations: static policies must anticipate possible user intents and therefore do not scale to open-ended tasks, while LLM-driven authorization supports dynamic decisions but produces inconsistent outcomes and remains vulnerable to targeted IPI attacks. To provide scalable and more consistent authorization, we propose MetaPermit, a policy-based tool access-control framework that decouples semantic inference from security enforcement. By analyzing agent-user interactions, we derive a compact, task-independent set of meta-attributes that capture the relationships among the user's intent, the execution context, and the proposed tool call. These meta-attributes allow MetaPermit to authorize tool use without enumerating user intents. At runtime, an LLM infers the meta-attribute values for each proposed tool call, while a fixed policy evaluates these values to allow or deny the call, making each decision auditable through the inferred values and the applied policy rule. We evaluate MetaPermit on the AgentDojo and AgentDyn benchmarks, across seven task suites and five attack methods, using two widely deployed open-weight LLMs. The results show that MetaPermit produces 31% more consistent authorization decisions than LLM-driven authorization and outperforms the state-of-the-art defenses CaMeL and IPIGuard in both task completion, with improvements of up to 109%, and robustness to IPI attacks, with no malicious tool calls executed.
• Abstract（参考訳）: ツールを備えた自律型AIエージェントの台頭は、意図しないツール誤用から間接プロンプトインジェクション(IPI)攻撃による敵操作まで、重大なセキュリティリスクをもたらしている。 実際には、OpenAI CodexやClaude Codeのようなデプロイされたエージェントシステムは、粗いパーミッションルールとLLMベースの個々のアクションに関する判断を組み合わせることで、ツール呼び出しを保護している。 しかし、どちらのコンポーネントも重要な制限がある: 静的ポリシーはユーザ意図を予測し、したがってオープンなタスクにスケールしない。 スケーラブルで一貫性のある認証を提供するために,セキュリティ対策からセマンティック推論を分離するポリシベースのツールアクセス制御フレームワークであるMetaPermitを提案する。 エージェント-ユーザインタラクションを解析することにより、ユーザの意図、実行状況、提案ツールコール間の関係をキャプチャする、コンパクトでタスク非依存のメタ属性セットを導出する。 これらのメタ属性は、MetaPermitがユーザの意図を列挙することなくツールの使用を許可することを可能にする。 LLMは提案したツールコール毎にメタ属性値を推測し、固定ポリシはこれらの値を評価して呼び出しを許可または拒否し、各決定は推論された値と適用されたポリシールールを通じて監査可能である。 我々は,AgentDojoとAgentDynベンチマークのMetaPermitを,広くデプロイされている2つのオープンウェイトLCMを用いて,7つのタスクスイートと5つのアタックメソッドで評価した。 その結果、MetaPermitはLLM駆動の認証よりも31%の一貫性のある認証決定を生成し、両方のタスク完了においてCaMeLとIPIGuardを上回り、最大109%の改善とIPI攻撃に対する堅牢性、悪意のあるツールコールが実行されない。

関連論文リスト

• ActGov: Governing LLM Agent Actions via Policy-Constrained Validation [15.482980599813942]
  ActGovは、外部効果を引き起こす前に、各ツールアクションを検証するランタイム実行フレームワークである。 ActGov-Policyコンポーネントは、認証、アクション、ランタイムコンテキスト、セキュリティ制約の統一的なセマンティックモデルに基づいて、ツール仕様から設定されたポリシーを反復的に構築する。 ActGov on the AgentDojoとAgentDynベンチマークを複数のモデルとアタック設定で評価する。
  論文  参考訳（メタデータ） (2026-09-21T11:47:09Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• ToolGuardian: Declarative Security for AI Agent-Tool Interactions [0.0]
  既存の防衛は、弱いメタデータ、崩壊特性、および政策判断に依存している。 本稿では,エージェントとツールのインタラクションをセキュアにするためのポリシー駆動型フレームワークであるToolGuardianを提案する。
  論文  参考訳（メタデータ） (2026-07-23T21:53:34Z)
• Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
  我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。 LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。 emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
  論文  参考訳（メタデータ） (2026-05-16T12:53:31Z)
• Solver-Aided Verification of Policy Compliance in Tool-Augmented LLM Agents [5.90411280561446]
  本稿では,TaLLMエージェントのツール利用ポリシーコンプライアンスを実現するためのSMTソルバ支援フレームワークを提案する。 具体的には、LLM支援による人間誘導型アプローチを用いて、自然言語で特定されたツール利用ポリシーを形式論理に変換する。 実行時に、計画されたツールコールがインターセプトされ、ツールコールの事前条件としてZ3ソルバを使用して制約に対してチェックされる。
  論文  参考訳（メタデータ） (2026-03-20T19:25:43Z)
• OpenAgentSafety: A Comprehensive Framework for Evaluating Real-World AI Agent Safety [58.201189860217724]
  OpenAgentSafetyは,8つの危機リスクカテゴリにまたがるエージェントの動作を評価する包括的なフレームワークである。 従来の作業とは異なり、我々のフレームワークは、Webブラウザ、コード実行環境、ファイルシステム、bashシェル、メッセージングプラットフォームなど、実際のツールと対話するエージェントを評価します。 ルールベースの分析とLSM-as-judgeアセスメントを組み合わせることで、過度な行動と微妙な不安全行動の両方を検出する。
  論文  参考訳（メタデータ） (2025-07-08T16:18:54Z)
• AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
  本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。 我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。 攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
  論文  参考訳（メタデータ） (2025-05-09T07:40:17Z)
• Progent: Programmable Privilege Control for LLM Agents [46.31581986508561]
  本稿では,大規模言語モデルエージェントをセキュアにするための最初の特権制御フレームワークであるProgentを紹介する。 Progentは、潜在的に悪意のあるものをブロックしながら、ユーザタスクに必要なツールコールの実行をエージェントに制限することで、ツールレベルでのセキュリティを強化する。 モジュール設計のおかげで、Progentの統合はエージェント内部を変更せず、既存のエージェントの実装に最小限の変更しか必要としません。
  論文  参考訳（メタデータ） (2025-04-16T01:58:40Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。