論文の概要: Approval Laundering: Systematizing Approval--Execution Binding Failures in AI Coding-Agent Harnesses

• arxiv url: http://arxiv.org/abs/2609.38983v1
• Date: Wed, 30 Sep 2026 04:59:15 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-01 18:57:27.196628
• Title: Approval Laundering: Systematizing Approval--Execution Binding Failures in AI Coding-Agent Harnesses
• Title（参考訳）: 承認ローダリング:AI符号化における承認-実行バインド障害のシステム化
• Abstract要約: 現代のAIコーディングエージェントは、ほとんど検討されていない前提でセキュリティ境界を保ちます。 本稿では,6つの障害モードの分類法であるApproval Launderingを紹介する。 我々はクレデンシャル・バインディングの整合性について研究する:すでに承認されたアクションを考えると、ハーネスは正確にそのアクションをディスパッチするのか?
• 参考スコア（独自算出の注目度）: 3.6370919520059424
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Modern AI coding-agent harnesses (Claude Code, Codex CLI, Cursor) rest their security boundary on a largely unexamined assumption: that the action A a human approves is the same action A' the harness executes, where A is fixed by a stated policy for what a scope grant or session-scoped approval authorizes. We show this assumption fails systematically and reproducibly. We introduce Approval Laundering, a taxonomy of six failure modes by which a harness's enforcement mechanism silently substitutes A' for A after approval: Scope, Argument, Temporal, Tool, Delegation, and Semantic laundering. Unlike prior work that evaluates risk classifiers against static corpora or infers implicit authorization boundaries, we study credential-binding integrity: given an already-approved action, does the harness dispatch exactly that action? Instrumenting Claude Code's pre-execution mediation point (PreToolUse), we conduct a controlled, headless, repeated-measures study of all six classes (N=19-20 runs each), reporting a Bound-Gap Rate (BGR) with Wilson confidence intervals and inter-rater agreement (kappa=1.0). We prototype Approval Token, a keyed capability Hk(principal, agent_id, session_id, tool, arguments, scope, expiry) issued by a mediator that never returns the key to the agent, evaluated via paired before/after replay of 118 runs (McNemar's exact test). The token fully eliminates Delegation laundering and, for our seeded session-identity-mismatch construction, Temporal laundering (p<10^-5), but by design leaves Scope laundering unaffected and shows no significant reduction in Argument laundering (p=1): an honest negative result, since these two classes leave every recorded dispatch field unchanged, diverging one process level below what a field-only verifier can observe. We discuss implications for defenses that bind only at the tool-invocation boundary.
• Abstract（参考訳）: 現代のAIコーディングエージェントハーネス(Claude Code、Codex CLI、Cursor)は、セキュリティ境界を、人間が承認するアクションAが同じアクションA'であり、ハーネスが実行される。 この仮定は系統的にも再現的にも失敗する。 本稿では, 6つの障害モードの分類法であるApproval Launderingを紹介し, ハーネスの実施機構が, スコープ, アーギュメント, テンポラル, ツール, デリゲーション, セマンティック・ロンダリング(Semantic laundering) の承認後, A を黙秘的に代用する。 静的コーパスに対してリスク分類器を評価したり、暗黙の承認境界を推論する以前の作業とは異なり、クレデンシャル結合の整合性について研究する。 クロードコードの事前実行仲介点(PreToolUse)を計測し、6つのクラスすべて(N=19-20がそれぞれ実行)の制御された、ヘッドレス、繰り返し測定を行い、ウィルソンの信頼区間とラッター間合意(kappa=1.0)を報告した。 私たちは、仲介者が発行するキー付き機能Hk(principal, agent_id, session_id, tool, arguments, scope, expiry)であるApproval Tokenをプロトタイプしました。 トークンはデリゲーション・ロンダリングを完全に排除し、シード化されたセッション・アイデンティティ・ミスマッチの構築のために、テンポラル・ロンダリング(p<10^-5)を設計するが、スコープ・ロンダリングは影響を受けず、Argument laundering (p=1): 正直な負の結果である。 ツール呼び出し境界にのみ結合する防御について論じる。

関連論文リスト

• CATP: Design and Evaluation of Local Agent Authorization and Audit Evidence [1.2691047660244335]
  署名された認可記録は、署名者が主張したものを認証するが、それ自体は、アサーションが実行時決定に使用されるポリシーとアクションに一致することを証明していない。 CATPは、ローカルな実行前決定をオフラインで検証可能な証拠に伝達するために必要な結合を指定する。
  論文  参考訳（メタデータ） (2026-09-28T04:06:20Z)
• Agent Approval Laundering: Transitive Effects Beyond the Approved Invocation [4.976922673853743]
  コーディングエージェントの承認インターフェースは、人間の決定をコマンドやツールコールに結び付ける。 私たちは、結果として生じる記録的障害承認洗浄を呼んでいます。 エージェントシステムにおけるこの記録-閉鎖関係の最初の系統的セキュリティ解析について述べる。
  論文  参考訳（メタデータ） (2026-09-23T13:47:35Z)
• Loopjacking: Hijacking Human-in-the-Loop Approval [0.0]
  このバインディングの障害をLoopjackingと呼びます。 表現ベースの攻撃では、Bはすでに符号化されているが、承認時に省略されるか、あるいは誤表現される。 承認後の状態置換攻撃では、ヒトは正しいAと変更可能なワークフロー状態が後にBに置き換えられる。
  論文  参考訳（メタデータ） (2026-09-17T20:58:26Z)
• Zero-Knowledge Predicate Proofs Between AI Agents: A Measured, Cross-Protocol Gateway and the Source-Integrity Gap [0.0]
  マルチエージェントAIプラットフォームは、ステージングからプロダクションへ素早く移行するが、エージェントが信頼を確立する方法はまだ初歩的だ。 提案から実行システムまで,エージェント間での検証可能なデータ最小化を行う。 32ビットのしきい値述語は6.2msで証明され、608バイトのBulletproofs証明で1.0msで検証される。
  論文  参考訳（メタデータ） (2026-08-30T23:16:17Z)
• $Z^2$-ACT: End-to-End Verifiable Agentic Intent Control for Open 6G RAN [43.15181031994434]
  本稿では,ゼロ知識監査制御とゼロ信頼検証エージェントインテントアーキテクチャを提案する。 実大規模言語モデルは、オペレータの意図をIntent Contractsに変換するために、非リアルタイムパスで使用される。 その結果、動作フィルタリングと攻撃レジリエンスを適度なレイテンシとシグナリングコストで改善したことが示唆された。
  論文  参考訳（メタデータ） (2026-08-21T12:44:03Z)
• CAGE: Certified Authorization under Typed-Return Uncertainty for Tool-Using Agents [12.471369656645512]
  我々は、妥当な拘束力のあるリターンの宣言された地区で、候補者の行動が承認されるかどうかを問う。 分類チャネルと数値チャネルを別々に認証することは、構成されていないことを証明している。 CAGEは、この共同近所を直接認証し、個別の枝を正確に列挙する。
  論文  参考訳（メタデータ） (2026-07-31T09:11:56Z)
• IMPACT-HOI: Supervisory Control for Onset-Anchored Partial HOI Event Construction [72.51952455865155]
  我々は,エゴセントリックなプロシージャビデオに注釈を付けるための混合開始型フレームワークIMPACT-HOIを提案する。 IMPACT-HOIは、このタスクを部分的に指定され、オンセットされたイベント状態の漸進的な解決として捉えている。 9人の参加者によるユーザスタディでは、手動のアノテーションアクションが13.5%減少し、46.67%のイベントマッチレート、確認されたフィールド違反がゼロである。
  論文  参考訳（メタデータ） (2026-05-03T01:37:40Z)
• Compiling Activation Steering into Weights via Null-Space Constraints for Stealthy Backdoors [48.881343993730844]
  安全性に整合した大規模言語モデル(LLM)は、現実世界のパイプラインにますますデプロイされている。 敵は通常の評価では動作しないバックドアのチェックポイントを配布することができる。 最近のポストホック重み付け法は、そのようなバックドアを注入するための効率的なアプローチを提供する。
  論文  参考訳（メタデータ） (2026-04-14T06:48:33Z)
• One Word at a Time: Incremental Completion Decomposition Breaks LLM Safety [43.878014611820824]
  大きな言語モデル(LLM)は有害な要求を拒否するように訓練されているが、Jailbreak攻撃に弱いままである。 Incrmental Completion Decomposition (ICD) を導入する。 ICDは、全応答を誘発する前に、悪意のある要求に関連する一語連続のシーケンスを付与することを示す。
  論文  参考訳（メタデータ） (2026-04-01T04:06:01Z)
• Preventing the Collapse of Peer Review Requires Verification-First AI [49.995126139461085]
  我々は、真理結合、すなわち、過度に科学的真理をトラックする場所のスコアの厳密さを提案する。 プロキシ・ソブリン評価に向けた相転移を駆動する2つの力の形式化を行う。
  論文  参考訳（メタデータ） (2026-01-23T17:17:32Z)
• Towards Copyright Protection for Knowledge Bases of Retrieval-augmented Language Models via Reasoning [58.57194301645823]
  大規模言語モデル(LLM)は、現実のパーソナライズされたアプリケーションにますます統合されている。 RAGで使用される知識基盤の貴重かつしばしばプロプライエタリな性質は、敵による不正使用のリスクをもたらす。 これらの知識基盤を保護するための透かし技術として一般化できる既存の方法は、一般的に毒やバックドア攻撃を含む。 我々は、無害な」知識基盤の著作権保護の名称を提案する。
  論文  参考訳（メタデータ） (2025-02-10T09:15:56Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。