論文の概要: Compromise Is Not Consequence: Evaluating Task-Scoped Authorization in LLM Agents with Paired Replay
- arxiv url: http://arxiv.org/abs/2610.05840v1
- Date: Mon, 05 Oct 2026 05:47:08 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-10 03:50:39.966451
- Title: Compromise Is Not Consequence: Evaluating Task-Scoped Authorization in LLM Agents with Paired Replay
- Title（参考訳）: LLMエージェントにおけるPaired Replayによるタスクスコープ認証の評価
- Abstract要約: タスクスコープによる認証には,ツールの実行結果が含まれているかを検討する。
ペア化されたリプレイテストベッドはモデル要求を一度サンプリングし、同じアクション、リソース、引数を広義のJWT、送信者制限、オープンポリシーエージェントの条件に送信します。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: A tool-using model can follow a malicious instruction even when its credentials are valid. We study whether task-scoped authorization contains the resulting tool execution. Our paired-replay testbed samples a model request once and submits the same action, resource, and arguments to broad bearer, scoped JWT, sender-constrained, and Open Policy Agent conditions. The frozen main experiment uses 128 scenarios across four tool domains and five local model configurations. Among valid attacked post-exposure decisions, broad-bearer harmful execution ranges from 8.9% to 37.8% across models; all three scoped conditions record zero. The policy changes execution, not the frozen model decision. These results support containment of the tested cross-action and cross-resource consequences under researcher-supplied task authority, not prevention of prompt injection. A bounded six-task AgentDojo extension preserves native scoring and records 11/24 injected broad-policy attack flags versus 0/24 scoped flags, with utility of 5/24 and 6/24. Low exposure, invalid decisions, and purposive task selection limit that comparison. The primary experiment measures safe continuation rather than final-answer correctness. An empirical-bank fresh-sampling comparison finds no estimation advantage from pairing when scoped outcomes are constant zero. The contribution is a controlled measurement of compromise, enforcement, and continuation, with explicit limits on what each observation establishes.
- Abstract（参考訳）: ツール使用モデルは、認証が有効である場合でも悪意のある命令に従うことができる。
タスクスコープによる認証には,ツールの実行結果が含まれているかを検討する。
ペア化されたリプレイテストベッドはモデル要求を一度サンプリングし、同じアクション、リソース、引数を広義のJWT、送信者制限、オープンポリシーエージェントの条件に送信します。
凍結されたメイン実験では、4つのツールドメインと5つのローカルモデル構成に128のシナリオが使用されている。
攻撃後の有効な判断の中で、広義の有害な実行範囲はモデル全体で8.9%から37.8%であり、3つのスコープ条件は全てゼロである。
ポリシーは、凍結されたモデル決定ではなく、実行を変更する。
これらの結果は、迅速な注射の防止ではなく、研究者が供給するタスク権限の下で、テストされたクロスアクションとクロスリソースの結果の包含を支援する。
境界付き6タスクのAgentDojo拡張は、ネイティブスコアを保存し、11/24の広範ポリティアタックフラグに対して、0/24のスコープフラグに対して5/24と6/24のユーティリティを注入する。
低露光、無効な決定、タスク選択のパーポープ化は、その比較を制限します。
第一実験は、最終回答の正しさよりも安全な継続を計測する。
経験的バンク・フレッシュサンプリング比較では、スコープ化された結果が一定ゼロである場合、ペアリングによる推定の利点は見つからない。
コントリビューションは、妥協、強制、継続の制御された測定であり、それぞれの観察が確立するものに明確な制限がある。
関連論文リスト
- Blocking at the Boundary: Auditing Long-Horizon Agents against Staged Prompt Injection [10.519665216212976]
間接的なプロンプトインジェクションはタスク固有のコンテキストを活用でき、因果的に接続されたステージを伝播し、ワークフローが継続している間に連続的なアクションを変更する。
自動でフィードバックを誘導する攻撃生成パイプラインを構築し、ネイティブランタイムのClaude CodeとCodexに適用します。
提案するPath-Aligned Attribution (PAA) は,動作中の動作を操作要素に分解し,各値のそれぞれをトレースし,各決定を導出する訓練不要監査機である。
論文 参考訳（メタデータ） (2026-10-04T12:14:19Z) - AgentBoundary: Counterfactual Evaluation of Safety in Tool-Using LLM Agents [13.557645845585776]
大規模な言語モデルの安全性の整合性は、要求に答えるか拒否するかに大きく取り組まれている。
エージェント的設定では、同じモデルが実行中にパーミッションクリティカルな証拠として振る舞うかどうかを判断しなければならない。
AgentBoundは、ツール使用エージェントの安全性のための、最初の4方向の対物生成・評価フレームワークである。
論文 参考訳（メタデータ） (2026-09-27T15:19:52Z) - SINGED: Correct Outputs Do Not Certify Safe Execution in LLM Agents [23.280592496381256]
ツールを使用する言語モデルエージェントは、サードパーティのアーティファクトを選択して実行する。
要求された出力に対して良質な代替品と一致するが、タスク契約によって禁止される効果を付加する実装について検討する。
SINGEDはランク、エビデンス、選択に敏感な結果と実行のギャップを露呈する。
論文 参考訳（メタデータ） (2026-09-27T06:37:04Z) - Disagree to Explore, Agree to Commit: Routing-Guided Test-Time Scaling for Software Agents [60.650808962786364]
外部判断や選択時間テストの実行なしに,ネイティブなMoEルータトレースがステアリングと選択をガイドできるかどうかを検討する。
我々の分析は、ルーティングが堅牢な行動的役割シグナルを提供することを示している。トークン・グラニュラ・リードアウトと決定整合比較セットは、ルーティングを効果的に制御する。
オープンウェイトスパースMOEエージェントを用いたSWEベンチ検証を行い,評価を行った。
論文 参考訳（メタデータ） (2026-08-23T03:07:03Z) - Task-Conditioned Least-Privilege Learning for Executable Terminal and MCP Agents [45.88028371034407]
ツールを使用する大規模言語モデルエージェントは、ユーザが許可しなかったり、タスクが不要であったりする権限を行使しながらタスクを完了することができる。
本研究では,6次元のリスクを伴って各行動が実行前および観測結果から監査される枠組みを提案する。
このフレームワークを1500以上のタスクでQwen3.5-4Bでトレーニングした後、選択された種子は2,896回の評価エピソードで98.48%の安全成功に達した。
論文 参考訳（メタデータ） (2026-08-18T22:07:23Z) - Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales [4.805352087824778]
説明境界ツール実行(Explanation-Bound Tool Execution)は、意思決定に関連する合理的なコンテンツを型付けされたアクションクレームに変換し、それらをサーバが所有するインテント、ポリシー、ペイロード、ツール、リスク、証明、新鮮な事実に対してチェックする。
我々は,この構成を明示的な調停と信頼性のある仮定の下で形式化し,最小限の監査パケットを用いたバージョン付き参照プロファイルを実装した。
論文 参考訳（メタデータ） (2026-07-28T07:16:12Z) - AgentAbstain: Do LLM Agents Know When Not to Act? [19.223843408018997]
既存の評価は、エージェントがいつ禁じるべきかを知るのではなく、タスクの成功に焦点を当てている。
エージェント禁忌のための最初の体系的評価枠組みとして,ツールを用いたLDMエージェントの動作を検知するキャリブレーション能力について述べる。
AgentAbstainは、エージェントネイティブな分類に基づくペアタスクのベンチマークである。
論文 参考訳（メタデータ） (2026-07-11T00:57:36Z) - What to Test Next: Interpretable Coverage Gap Discovery in Driving VLMs [52.50210189669399]
視覚言語モデル(VLM)を駆動するには,操作設計領域(ODD)が定義する様々な条件のシーンを正確に理解する必要がある
SliceScorerは、欠落したスライス推薦のための決定論的スコアリングルールである。
SliceNavは, 従来のスライス発見法よりも, 高リスクカバレッジギャップを効果的に表面化することを示す。
論文 参考訳（メタデータ） (2026-06-01T03:18:01Z) - ClawForge: Generating Executable Interactive Benchmarks for Command-Line Agents [59.626170560327274]
textbfClawForgeは、ステートコンフリクト下で実行可能なコマンドラインカテゴリのためのジェネレータベースのベンチマークフレームワークである。
私たちはこのフレームワークをClawForge-Bench(17のシナリオ、6の能力カテゴリ)としてインスタンス化します。
論文 参考訳（メタデータ） (2026-05-13T21:34:08Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。