論文の概要: Containing the Autonomous Operator: A Defense-in-Depth Framework and Reference Architecture for Securing AI Agents on Kubernetes
- arxiv url: http://arxiv.org/abs/2610.02861v1
- Date: Fri, 02 Oct 2026 05:54:52 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-06 00:14:30.236341
- Title: Containing the Autonomous Operator: A Defense-in-Depth Framework and Reference Architecture for Securing AI Agents on Kubernetes
- Title（参考訳）: 自律オペレータの保持: Kubernetes上のAIエージェントをセキュアにするためのディフェンス・イン・ディープス・フレームワークと参照アーキテクチャ
- Abstract要約: 大規模言語モデル(LLM)エージェントは、チャットインターフェースからインフラストラクチャ操作へと移行している。
これにより、従来のクラウドネイティブセキュリティが想定するバウンダリ、すなわちデータとコントロールの境界が崩壊する。
本稿では,モデルがセキュリティ境界として扱われてはならないこと,エージェントの安全性がインフラ上の問題であること,を論じる。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Large language model (LLM) agents are moving from chat interfaces into infrastructure operations, where they read telemetry, call tools, generate and execute code, and change the state of production Kubernetes clusters. This collapses a boundary that conventional cloud-native security assumes: the boundary between data and control. Content that an agent merely reads (a log line, a ticket, a tool description) can redirect what it does. This paper argues that the model must not be treated as a security boundary and that agent safety on Kubernetes is therefore an infrastructure problem: every guarantee must continue to hold under the assumption that the agent is fully compromised by prompt injection. We contribute (i) a threat model and ten-class threat taxonomy for agents operating on and within Kubernetes, aligned with emerging OWASP guidance for agentic applications; (ii) nine design principles, centered on complete mediation at the tool boundary and on breaking the combination of untrusted input, sensitive access, and external egress; (iii) a seven-layer defense-in-depth framework that maps each principle to native or widely adopted Kubernetes mechanisms: workload identity, RBAC and ValidatingAdmissionPolicy, gVisor/Kata sandboxing via the SIG Apps Agent Sandbox project, FQDN-aware egress policy, an agent/MCP gateway with policy-as-code over tool arguments, and eBPF runtime enforcement; (iv) a reference architecture with concrete policy artifacts and per-layer bindings for Amazon EKS, Azure Kubernetes Service, and Google Kubernetes Engine; and (v) a qualitative evaluation comprising a threat-control coverage matrix and four attack walkthroughs, with a proposed empirical methodology. We report no measured attack-success or overhead figures; instead we identify residual risks and the measurements needed to validate the framework.
- Abstract（参考訳）: 大規模言語モデル(LLM)エージェントは、チャットインターフェースからインフラストラクチャオペレーションへと移行し、テレメトリを読み、ツールを呼び出し、コードの生成と実行、運用中のKubernetesクラスタの状態の変更を行う。
これにより、従来のクラウドネイティブセキュリティが想定するバウンダリ、すなわちデータとコントロールの境界が崩壊する。
エージェントが単に読むコンテンツ(ログ行、チケット、ツール記述)は、その動作をリダイレクトすることができる。
この記事では、モデルがセキュリティバウンダリとして扱われるべきではなく、Kubernetes上のエージェントの安全性がインフラストラクチャの問題である、と論じる。
コントリビューション
i) エージェントアプリケーションに対するOWASPの新たなガイダンスに従って、Kubernetes内で動作するエージェントの脅威モデルと10クラスの脅威分類。
二 ツール・バウンダリにおける完全調停及び不信任入力、機密アクセス及び外部流出の組合せの破滅に焦点を当てた九つの設計原則
3) 各原則を、ワークロードID、RBACおよびValidatingAdmissionPolicy、SIG Apps Agent Sandboxプロジェクト経由のgVisor/Kataサンドボックス、FQDN-aware egressポリシー、ツール引数よりもポリシ・アズ・コードを備えたエージェント/MCPゲートウェイ、eBPFランタイム実行など、ネイティブあるいは広く採用されているKubernetesメカニズムにマッピングする7層ディフェンスフレームワーク。
(iv)Amazon EKS、Azure Kubernetes Service、Google Kubernetes Engine用の具体的なポリシーアーティファクトと層ごとのバインディングを備えたリファレンスアーキテクチャ。
5)脅威制御カバーマトリックスと4つの攻撃ウォークスルーからなる定性評価を実証的手法を用いて提案した。
本報告では,攻撃のリスクやフレームワークの検証に要する測定値について報告する。
関連論文リスト
- HazardAuditor: From Executable Threats to Safer Computer-Use Agents [50.06351661912873]
既存のガードモデルは静的なプロンプトと応答をターゲットとしている。
既存の安全プラットフォームは、正規化された監督ではなく、ガードモデルで学ぶ必要がある評価判断を生成する。
両ギャップを埋める実行基盤フレームワークであるHazardAuditorを紹介します。
論文 参考訳（メタデータ） (2026-09-14T07:09:33Z) - AgentKernel: The Trust-Native Agentic Operating System [13.055427740541793]
エージェントには、ID、入力仲介、メモリガバナンス、実行制御のための必須かつ非バイパス可能なサービスを提供するオペレーティングシステム基板が必要であると我々は主張する。
我々はAgent Kernelを紹介した。Agent Kernelは、セキュリティは第一級の設計制約でなければならないという前提に基づいて構築された、信頼できるネイティブなエージェントオペレーティングシステムである。
論文 参考訳（メタデータ） (2026-08-29T12:20:17Z) - CyberFactory: Scaling Cyber Security Capabilities with Instances from the Wild [49.44069582581181]
CyberFactoryは、CVEを含む公開脆弱性アーティファクトをワイルドから実行可能で検証可能なタスクインスタンスに変換する。
再利用可能な脆弱性分析スキルを使用して、ソースインスペクション、ドメイン前の問題解決、エビデンスベースのバリデーションを通じて教師を指導する。
CyberGymでは1時間の予算で52.4%のPass@1に達し、Qwen3.5ベースモデルを+22.8ポイント改善した。
論文 参考訳（メタデータ） (2026-08-24T12:30:10Z) - When Agents Handle Secrets: A Survey of Confidential Computing for Agentic AI [6.1511441479993225]
ツールを計画し、実行し、永続的なメモリを保持し、タスクをピアエージェントに委譲するエージェントAIシステムは、スタンドアロンのモデル推論と実質的に異なる脅威表面を導入する。
Trusted Execution Environments (TEEs)は、エージェントコードとデータを特権システムソフトウェアから分離する。
本調査は, 設計空間を, (i) 展開の役割と業績のトレードオフをカバーする6つのTEEプラットフォームの統合分類, (ii) 認知,計画,記憶,行動,調整層を対象とするエージェント中心の脅威モデル, (iii) CCの比較調査の4つの部分で要約する。
論文 参考訳（メタデータ） (2026-05-04T23:09:16Z) - Uncovering Security Threats and Architecting Defenses in Autonomous Agents: A Case Study of OpenClaw [42.9467373594646]
本報告では,OpenClawエコシステムの総合的なセキュリティ分析について述べる。
我々は、インジェクション駆動のRemote Code Execution(RCE)、シーケンシャルツールアタックチェーン、コンテキスト記憶、サプライチェーン汚染などの重要な脆弱性を強調した。
これらのシステム的アーキテクチャ欠陥に対処するために、フルライフサイクルエージェントセキュリティアーキテクチャ(FASA)を導入します。
この理論的な防御青写真は、ゼロトラストエージェント実行、動的意図検証、および層間推論-作用相関を提唱している。
論文 参考訳（メタデータ） (2026-03-13T04:33:05Z) - CaMeLs Can Use Computers Too: System-level Security for Computer Use Agents [60.98294016925157]
AIエージェントは、悪意のあるコンテンツがエージェントの行動をハイジャックして認証情報を盗んだり、金銭的損失を引き起こすような、インジェクション攻撃に弱い。
CUAのためのシングルショットプランニングでは、信頼できるプランナーが、潜在的に悪意のあるコンテンツを観察する前に、条件付きブランチで完全な実行グラフを生成する。
このアーキテクチャ分離は命令インジェクションを効果的に防止するが、ブランチステアリング攻撃を防ぐには追加の対策が必要であることを示す。
論文 参考訳（メタデータ） (2026-01-14T23:06:35Z) - Towards Verifiably Safe Tool Use for LLM Agents [53.55621104327779]
大規模言語モデル(LLM)ベースのAIエージェントは、データソース、API、検索エンジン、コードサンドボックス、さらにはその他のエージェントなどのツールへのアクセスを可能にすることで、機能を拡張する。
LLMは意図しないツールインタラクションを起動し、機密データを漏洩したり、クリティカルレコードを上書きしたりするリスクを発生させる。
モデルベースセーフガードのようなリスクを軽減するための現在のアプローチは、エージェントの信頼性を高めるが、システムの安全性を保証することはできない。
論文 参考訳（メタデータ） (2026-01-12T21:31:38Z) - BackdoorAgent: A Unified Framework for Backdoor Attacks on LLM-based Agents [58.83028403414688]
大規模言語モデル(LLM)エージェントは、計画、メモリ、ツールの使用を組み合わせた多段階ワークフローを通じてタスクを実行する。
エージェントワークフローの特定のステージに注入されたバックドアトリガーは、複数の中間状態を通して持続し、下流出力に悪影響を及ぼす可能性がある。
LLMエージェントにおけるバックドア脅威を統一したエージェント中心のビューを提供するモジュールおよびステージアウェアフレームワークである textbfBackdoorAgent を提案する。
論文 参考訳（メタデータ） (2026-01-08T03:49:39Z) - The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。
CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
論文 参考訳（メタデータ） (2025-12-01T07:05:23Z) - Securing the Model Context Protocol (MCP): Risks, Controls, and Governance [1.4072883206858737]
我々は、MPPの柔軟性を生かした3種類の敵に焦点を当てる。
早期のインシデントと概念実証攻撃に基づいて,MPPが攻撃面を増加させる方法について述べる。
本稿では,ユーザ単位の認証とスコープ認証を含む,一連の実用的な制御を提案する。
論文 参考訳（メタデータ） (2025-11-25T23:24:26Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。