論文の概要: API Secrets Should Never Become Tokens in the LLM's Vocabulary: A Threat Analysis of API Credential Handling in LLM Agent Systems and an Empirical Evaluation of a Vault-Mediated Execution Boundary
- arxiv url: http://arxiv.org/abs/2609.33371v1
- Date: Sun, 27 Sep 2026 08:55:16 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-06 00:39:26.672814
- Title: API Secrets Should Never Become Tokens in the LLM's Vocabulary: A Threat Analysis of API Credential Handling in LLM Agent Systems and an Empirical Evaluation of a Vault-Mediated Execution Boundary
- Title（参考訳）: LLMの語彙におけるAPIシークレットとはならない: LLMエージェントシステムにおけるAPIクレデンシャルハンドリングの脅威分析とVault-Mediated Execution境界の実証評価
- Abstract要約: 本稿では,エージェントシステムにおけるクレデンシャル・エクスポージャー・脅威連鎖を定式化する。
モデルがコネクタを選択し、信頼された要求境界が認証を提供する。
我々は,2つのブラックボックス実験において,Corvic Security Vaultという製品の実装を評価した。
- 参考スコア（独自算出の注目度）: 0.7611870296994722
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Tool-using large language model (LLM) agents turn credential hygiene from a storage problem into an execution-security problem. A key pasted into a prompt, or embedded in a system prompt or tool configuration, crosses from an authentication boundary into a data pipeline, where it may persist in conversation history, logs, memory stores, generated code, and error payloads. Prompt injection and excessive agency then convert passive disclosure into unauthorized action. This paper formalizes the credential-exposure threat chain for agentic systems; synthesizes evidence from a platform secret-store incident, vendor-reported secret-sprawl measurement, and OWASP and NIST guidance; and describes a vault-mediated execution architecture in which the model selects a connector identifier while a trusted request boundary supplies authentication. We evaluate a production implementation, Corvic Security Vault, in two controlled black-box experiments. Across 16 probes spanning seven control domains, every probe met its expected outcome: an authenticated GitHub API request succeeded while the credential stayed absent from process environment values, caller-visible request headers, tested filesystem locations, three third-party echo services, and two unrelated API origins; both cloud instance-metadata endpoints were unreachable. We also report a negative result, a connector whose stored header mapping did not satisfy its provider's authentication contract, showing that centralized custody does not by itself guarantee correct configuration. Vault mediation removes several disclosure paths but is necessary rather than sufficient: least privilege, deterministic action authorization, human approval, telemetry redaction, and rotation remain independently required. The study is purposive and small, a functional security evaluation rather than a certification.
- Abstract（参考訳）: ツールを使用する大規模言語モデル(LLM)エージェントは、クレデンシャル衛生をストレージ問題から実行セキュリティ問題に変換する。
プロンプトにペーストされたキー、またはシステムプロンプトまたはツール設定に埋め込まれたキーは、認証境界からデータパイプラインに渡り、会話履歴、ログ、メモリストア、生成されたコード、エラーペイロードに持続する。
プロンプト・インジェクションと過剰なエージェンシーは、受動的開示を無許可のアクションに変換する。
本稿では,エージェントシステムにおけるクレデンシャル・エクスポージャー・脅威連鎖を形式化し,プラットフォームシークレットストアインシデントやベンダが報告したシークレットスプロール計測,OWASPおよびNISTガイダンスから証拠を合成する。
我々は,2つのブラックボックス実験において,Corvic Security Vaultという製品の実装を評価した。
認証されたGitHub APIリクエストが成功した一方で、認証されたGitHub APIリクエストが成功した。
また,保存されたヘッダマッピングがプロバイダの認証契約を満たしていないコネクタに対して,集中型アタッチメント自体が正しい構成を保証していないことを示す否定的な結果も報告した。
最低特権、決定論的行動承認、人的承認、テレメトリ・リアクション、回転は独立して必要である。
この研究は、認証ではなく機能的なセキュリティ評価として、シンプルで小さなものだ。
関連論文リスト
- Zero-Trust Authorization and Discovery for Enterprise MCP [13.754043239094758]
Model Context Protocol (MCP)はこの境界に対して広く採用されているインタフェースとなっている。
公式のSDKの認証と認可プリミティブは、エンタープライズゼロトラスト要件に満たない。
6種類のMPP SDKの系統的ギャップ解析を行った。
論文 参考訳（メタデータ） (2026-09-18T20:51:19Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - Vero: Can AI Agents Build Formally Verified Software Repositories? [45.09790101960906]
Veroはリポジトリレベルで共同実装と証明を評価する最初のベンチマークである。
Python、Dafny、Verus、Coqにまたがる実世界のリポジトリから43のマルチモジュールインスタンスが含まれている。
ベンチマークの信頼性を改善するため、Veroには、エージェントが提供された仕様の不満足さを正式に証明できる監査メカニズムも含まれている。
論文 参考訳（メタデータ） (2026-08-13T17:41:27Z) - Agentic Cloud Decoys: A Deception-Driven Framework for Autonomous Intrusion Investigation [0.0]
我々は,高忠実度クラウドデコイと自律言語モデルエージェントを組み合わせたフレームワークであるCloud Decoy AI Agentを紹介する。
調査単位はイベントではなくセッションであり、セッションキーは、ID階層化された認証情報の導入によって隠蔽される。
10のコントロールされたAWS S3シナリオで、9つの完全に再構築され、観測されたアーティファクトに追跡不可能なアサーションを含むレポートはなく、レイテンシは4分から5分でした。
論文 参考訳（メタデータ） (2026-07-27T05:05:57Z) - Agent Security Needs Redefinition through a Holistic Framework [46.88917910966891]
被告は、命令が悪意あるように見えるかどうかを問う。ベンチマークは、エージェントが有害な鳴き声を行うかどうかを問う。
我々は,エージェントの軌道全体にわたって連続的に評価されなければならない4つの特性を通じて,コンテキストセキュリティを運用する。
論文 参考訳（メタデータ） (2026-07-24T06:43:09Z) - AuthProbe: Specification-Driven, Multi-Identity Detection of Broken Object-Level Authorization in Recruitment API [0.0]
Broken Object-Level Authorization (BOLA)は、2019年以来、API Securityランキングでトップになっている。
我々は、オープンソースのブラックボックススキャナであるAuthProbeを紹介し、HTTP APIのBOLAとIDORを検出する。
AuthProbeはApache 2.0ライセンスでリリースされている。
論文 参考訳（メタデータ） (2026-07-22T03:04:04Z) - PhyAgentOS: A Self-Evolving Operating System for Embodied Agents with Decoupled Cognitive Planning and Physical Execution [49.776611937968]
我々は、スケジューリング、検証、メモリ、ベンチマーク、安全性をシステムレベルのサービスとして提供するPhyAgentOSを紹介します。
セッション中心のセッションは、スケジューリング、互換性、監督された実行、エビデンス収集、受け入れの最小単位として、アクションではなくセッションを扱う。
SessionVerifierは、実行終了とセマンティックタスク完了を、成功、失敗、または再計画のエビデンスに基づいて判断する。
ベンチマークはデプロイメントセッションと検証パスを再利用するので、結果は実際の実行に遡る。
論文 参考訳（メタデータ） (2026-07-18T04:46:53Z) - Sovereign Assurance Boundary: Certificate-Bound Admission for Agentic Infrastructure [2.124730017640531]
Sovereign Assurance境界は、自動実行権限のための証明書バウンドランタイムアクセス層である。
本稿では,エアロックブローカーのアーキテクチャを詳述し,その入力と取り消しの不変性を定式化し,Goプロトタイプの予備実現可能性の測定結果を報告する。
論文 参考訳（メタデータ） (2026-06-10T03:49:57Z) - Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。
LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。
emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
論文 参考訳（メタデータ） (2026-05-16T12:53:31Z) - CapSeal: Capability-Sealed Secret Mediation for Secure Agent Execution [1.9473631530390483]
CapSealは、ダイレクトシークレットアクセスをローカルの信頼できるブローカによる制約付き呼び出しに置き換える、機能封入のシークレット仲介アーキテクチャである。
我々は、MPP対応アダプタと統合されたRustプロトタイプについて、非開示、制約された使用、リプレイ抵抗、監査可能性のための条件付きセキュリティ目標を定式化した。
論文 参考訳（メタデータ） (2026-04-18T00:23:32Z) - Defeating Prompt Injections by Design [79.00910871948787]
CaMeLは、Large Language Modelsを中心とした保護システムレイヤを作成する堅牢なディフェンスである。
CaMeLは、(信頼された)クエリから制御とデータフローを明示的に抽出する。
セキュリティをさらに改善するため、CaMeLは、権限のないデータフロー上のプライベートデータの流出を防止する機能の概念を使用している。
論文 参考訳（メタデータ） (2025-03-24T15:54:10Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。