論文の概要: ContractWarden: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts
- arxiv url: http://arxiv.org/abs/2609.38248v1
- Date: Tue, 29 Sep 2026 07:13:14 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-01 18:57:26.416061
- Title: ContractWarden: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts
- Title（参考訳）: ContractWarden: 人認証契約によるAIエージェントのカーネル強化損傷境界
- Abstract要約: ContractWardenは、エージェントやポリシー提案を信頼することなく、人間に許可されたダメージ境界を強制する。
モデルが三国間資産契約(許容、否定、否定)を提案する場合もありますが、人間は最終的な選択をします。
実行ゲートは、信頼できないコードが実行される前に、契約を具体的なタスクにバインドする。
- 参考スコア（独自算出の注目度）: 11.363626505686023
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Large language model agents can execute commands, create subprocesses, and directly access files and networks, allowing prompt injection or planning errors to become operating-system side effects. We present ContractWarden, a Linux reference monitor that enforces a human-authorized damage boundary without trusting the agent or its policy suggestions. A model may propose a tri-state asset contract - allow, deny, or no_egress - but a human makes the final choice. An execution gate binds the contract to a concrete task before untrusted code runs. An extended Berkeley Packet Filter (eBPF) Linux Security Modules (LSM) data plane then enforces file and network decisions and monotonically propagates no_egress through processes, regular files, pipes, FIFOs, and supported Unix-domain sockets. All 570 runs across 19 security tests satisfy predefined return-value and side-effect criteria. On three co-located file-I/O workloads, median overhead is 11.96-12.89% in a Linux 6.15 virtual machine and 35.79-61.54% on a Linux 6.15 physical platform, lower than the evaluated frozen ActPlane baseline. The results demonstrate deterministic kernel enforcement for declared assets, supported paths, and controlled object lifecycles.
- Abstract（参考訳）: 大きな言語モデルエージェントは、コマンドを実行し、サブプロセスを作成し、ファイルやネットワークに直接アクセスでき、即時インジェクションや計画エラーがオペレーティングシステムのサイドエフェクトになる。
本研究では,Linuxの基準モニタであるContractWardenについて紹介する。
モデルが三国間資産契約(許容、否定、否定)を提案する場合もありますが、人間は最終的な選択をします。
実行ゲートは、信頼できないコードが実行される前に、契約を具体的なタスクにバインドする。
拡張バークレーパケットフィルタ (eBPF) Linux Security Modules (LSM) データプレーンは、ファイルとネットワークの決定を強制し、プロセス、通常のファイル、パイプ、FIFO、サポート対象Unixドメインソケットを通じてno_egressをモノトニックに伝搬する。
570は19のセキュリティテストですべて実行され、事前に定義された戻り値と副作用の基準を満たす。
3つのファイル-I/Oワークロードでは、中央値はLinux 6.15仮想マシンで11.96-12.89%、Linux 6.15物理プラットフォームで35.79-61.54%であり、評価済みのActPlaneベースラインよりも低い。
その結果、宣言された資産、サポートされたパス、制御されたオブジェクトライフサイクルに対する決定論的カーネル強制が示された。
関連論文リスト
- HazardAuditor: From Executable Threats to Safer Computer-Use Agents [50.06351661912873]
既存のガードモデルは静的なプロンプトと応答をターゲットとしている。
既存の安全プラットフォームは、正規化された監督ではなく、ガードモデルで学ぶ必要がある評価判断を生成する。
両ギャップを埋める実行基盤フレームワークであるHazardAuditorを紹介します。
論文 参考訳（メタデータ） (2026-09-14T07:09:33Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - PACE: Policy-Attested Contract Execution for Safe AI Agents in Decentralized Finance [9.22772901752634]
LLMベースのエージェントとオンチェーン実行の間を介在するトランザクションレベルの認証フレームワークであるPACEを提案する。
PACEは、承認された意図、方針、シミュレーションレポートを正確な実行バイトに結び付け、再生と有効期限保護を行う。
PACEは、防御されていないベースラインの0.80と比較して、安全でない実行率0.00と良性なタスクに対する偽陽性率0.00を達成している。
論文 参考訳（メタデータ） (2026-08-18T00:22:46Z) - PhyAgentOS: A Self-Evolving Operating System for Embodied Agents with Decoupled Cognitive Planning and Physical Execution [49.776611937968]
我々は、スケジューリング、検証、メモリ、ベンチマーク、安全性をシステムレベルのサービスとして提供するPhyAgentOSを紹介します。
セッション中心のセッションは、スケジューリング、互換性、監督された実行、エビデンス収集、受け入れの最小単位として、アクションではなくセッションを扱う。
SessionVerifierは、実行終了とセマンティックタスク完了を、成功、失敗、または再計画のエビデンスに基づいて判断する。
ベンチマークはデプロイメントセッションと検証パスを再利用するので、結果は実際の実行に遡る。
論文 参考訳（メタデータ） (2026-07-18T04:46:53Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Agent libOS: A Library-OS-Inspired Runtime for Long-Running, Capability-Controlled LLM Agents [0.6345523830122165]
大規模言語モデル(LLM)エージェントは、要求応答アシスタントから長期実行中のソフトウェアアクターへと進化している。
本稿では,LLMエージェントのためのライブラリOSをベースとしたランタイム基板であるAgens libOSを提案する。
論文 参考訳（メタデータ） (2026-06-02T16:53:24Z) - From Craft to Kernel: A Governance-First Execution Architecture and Semantic ISA for Agentic Computers [19.861459645485976]
Arbiter-Kはガバナンスファーストな実行アーキテクチャで、基盤となるモデルを確率的処理ユニットとして再認識する。
我々は、Arbiter-Kがマイクロアーキテクチャー特性としてセキュリティを強制し、76%から95%の安全でないインターセプションを達成し、92.79%のネイティブポリシーを絶対的に獲得したことを示す。
論文 参考訳（メタデータ） (2026-04-20T05:25:37Z) - AEGIS: No Tool Call Left Unchecked -- A Pre-Execution Firewall and Audit Layer for AI Agents [4.963079926145645]
AEGISはAIエージェントのための事前実行ファイアウォールと監査層である。
ツール実行パスに介在し、3段階のパイプラインを適用する。
ハイリスクコールは、人間の承認のために行われ、すべての決定は、未確認の監査証跡に記録される。
論文 参考訳（メタデータ） (2026-03-13T03:49:12Z) - CaMeLs Can Use Computers Too: System-level Security for Computer Use Agents [60.98294016925157]
AIエージェントは、悪意のあるコンテンツがエージェントの行動をハイジャックして認証情報を盗んだり、金銭的損失を引き起こすような、インジェクション攻撃に弱い。
CUAのためのシングルショットプランニングでは、信頼できるプランナーが、潜在的に悪意のあるコンテンツを観察する前に、条件付きブランチで完全な実行グラフを生成する。
このアーキテクチャ分離は命令インジェクションを効果的に防止するが、ブランチステアリング攻撃を防ぐには追加の対策が必要であることを示す。
論文 参考訳（メタデータ） (2026-01-14T23:06:35Z) - DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。
この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。
本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文 参考訳（メタデータ） (2025-06-13T05:01:09Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。