論文の概要: SoK: Failure Modes in Common Criteria Product Evaluation - A Taxonomy and Design-for-Evaluability Guidance
- arxiv url: http://arxiv.org/abs/2610.10644v1
- Date: Wed, 07 Oct 2026 15:09:07 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-10 02:36:53.597691
- Title: SoK: Failure Modes in Common Criteria Product Evaluation - A Taxonomy and Design-for-Evaluability Guidance
- Title（参考訳）: SoK: 共通基準製品評価における失敗モード - 分類と評価のための設計ガイダンス
- Abstract要約: 共通基準(Common Criteria)は、IT製品のセキュリティを評価するための主要な国際枠組みである。
しかし、評価は、現実のデプロイメントに耐えられない保証を常習的に停止し、失敗し、取得する。
本稿では,Common Criteria製品評価における障害モードの知識体系化(SoK)を提案する。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: The Common Criteria (CC; ISO/IEC 15408) is the principal international framework for evaluating the security of IT products, and its certificates gate procurement across government, defense, and regulated industry. Yet evaluations routinely stall, fail, or yield certificates whose assurances do not survive real-world deployment. Prior work has approached this from two directions: economic critiques of misaligned incentives and "security theatre"; and recent data-driven studies that quantify vulnerabilities in already-certified products. Comparatively little systematizes the problem from the evaluator's operational vantage - recurring, cross-vendor failures against the Common Criteria work units themselves. This paper presents a systematization of knowledge (SoK) of failure modes in Common Criteria product evaluation. Drawing on the standard, the Common Evaluation Methodology (ISO/IEC 18045), public NIAP Protection Profiles, and published Security Targets and Certification Reports, we organize recurring failures into a lifecycle taxonomy spanning Security Target scoping, Protection Profile conformance, assurance evidence, cryptographic requirements, functional testing, vulnerability analysis, operational guidance, and post-certification configuration drift. We analyze their root causes, derive a design-for-evaluability framework that product teams can apply before evaluation begins, and identify open problems for cloud, continuous-delivery, and AI-enabled systems.
- Abstract（参考訳）: 共通基準(Common Criteria, ISO/IEC 15408)は、IT製品のセキュリティを評価するための主要な国際枠組みである。
しかし、評価は、現実のデプロイメントに耐えられない保証を常習的に停止し、失敗し、取得する。
以前の研究は、不正対応のインセンティブに対する経済的な批判と、すでに認定された製品の脆弱性を定量化するデータ駆動研究という2つの方向からアプローチしてきた。
比較すると、評価者の運用上のメリット(Common Criteriaの作業ユニット自体に対して繰り返し発生する、クロスベンダの障害)から問題を体系化するものはほとんどありません。
本稿では,Common Criteria製品評価における障害モードの知識体系化(SoK)を提案する。
共通評価方法論(ISO/IEC 18045)、公開NIAPプロテクションプロファイル、公開NIAPプロテクション・プロテクション・プロテクション、および公表されたセキュリティ目標および認定報告に基づいて、我々は、繰り返し失敗を、セキュリティ目標スコピング、保護プロファイル適合性、保証証拠、暗号要件、機能テスト、脆弱性分析、運用ガイダンス、およびポスト認証構成ドリフトにまたがるライフサイクル分類に整理する。
私たちは、彼らの根本原因を分析し、製品チームが評価を開始する前に適用できる設計・評価可能なフレームワークを導き、クラウド、継続的デリバリ、AI対応システムのオープンな問題を特定します。
関連論文リスト
- SeClaw: Spec-Driven Security Task Synthesis for Evaluating Autonomous Agents [87.26967184869198]
SeClawは、仕様駆動のセキュリティタスク合成と、自律エージェントの実行ベースのセキュリティ評価を組み合わせたフレームワークである。
ベンチマークは、リソース、ユーザタスク、環境、本質的なエージェントの振る舞いから生じるリスクをカバーしている。
論文 参考訳（メタデータ） (2026-06-01T14:23:42Z) - Referential Security as a New Paradigm for AI Evaluations [5.748110232428846]
我々は,AI評価の新しいパラダイムとして参照セキュリティを提案する。
このアプローチは、モデルアイデンティティを経験的に検証可能な性質として再設計し、参照安定性を実体セキュリティが条件としているものと区別する。
論文 参考訳（メタデータ） (2026-05-25T10:24:10Z) - Towards trustworthy agentic AI: a comprehensive survey of safety, robustness, privacy, and system security [57.35851886874902]
エージェントAIシステムは、複雑なタスクを自律的に実行するが、その多段階の軌道には、信頼性に挑戦する新たな障害モードが導入されている。
この調査では、リスクの高いデプロイメントに不可欠な2つのコアディメンションを通じて、信頼できるエージェントAIを精査する。
各次元について、重要な概念を明確にし、エージェントワークフローに沿ってリスクが発生する場所を特定し、ステージ目標の緩和戦略を要約する。
論文 参考訳（メタデータ） (2026-05-17T10:26:37Z) - False Security Confidence in Benign LLM Code Generation [0.0]
このメモは、補完的だが異なるフレーミングを紹介している。 偽セキュリティ信頼(FSC)。
FSCは、通常の非攻撃フレーム生成タスクにおいて、測定ファーストの観点から同じ表面現象を研究する。
我々はFSCレートを,機能的に正しい出力セット内のセキュリティ障害の頻度として定式化する。
論文 参考訳（メタデータ） (2026-04-18T14:52:26Z) - SecPI: Secure Code Generation with Reasoning Models via Security Reasoning Internalization [50.71047638695205]
RLM(Reasoning Language Model)は、プログラミングにおいてますます使われている言語モデルである。
しかし、最先端のRLMでさえ、生成されたコードに重大なセキュリティ脆弱性を頻繁に導入する。
我々は、構造化されたセキュリティ推論を内部化するためのRTMを教える微調整パイプラインであるSecPIを提案する。
論文 参考訳（メタデータ） (2026-04-04T04:29:11Z) - From Leaderboard to Deployment: Code Quality Challenges in AV Perception Repositories [4.603321798937855]
本研究では,KITTIとNuScenes 3D Object Detectionのリーダーボードから178種類のユニークなモデルを体系的に分析した。
調査対象となったレポジトリの7.3%が基本生産準備基準を満たしていることがわかった。
継続的インテグレーション/継続的デプロイメントパイプラインの採用は、コードメンテナンス性の向上と相関していた。
論文 参考訳（メタデータ） (2026-03-02T18:54:28Z) - A.S.E: A Repository-Level Benchmark for Evaluating Security in AI-Generated Code [49.009041488527544]
A.S.Eは、AI生成コードのセキュリティを評価するためのリポジトリレベルの評価ベンチマークである。
現在の大規模言語モデル(LLM)は、セキュアなコーディングに苦戦している。
大きな推論予算は、必ずしもより良いコード生成につながるとは限らない。
論文 参考訳（メタデータ） (2025-08-25T15:11:11Z) - AILuminate: Introducing v1.0 of the AI Risk and Reliability Benchmark from MLCommons [62.374792825813394]
本稿ではAI製品リスクと信頼性を評価するための業界標準ベンチマークとして,AIluminate v1.0を紹介する。
このベンチマークは、危険、違法、または望ましくない行動を12の危険カテゴリーで引き起こすように設計されたプロンプトに対するAIシステムの抵抗を評価する。
論文 参考訳（メタデータ） (2025-02-19T05:58:52Z) - Defining Security Requirements with the Common Criteria: Applications,
Adoptions, and Challenges [17.700647389830774]
セキュリティ特性を持つICT製品の採用は、消費者の信頼と市場によるセキュリティ機能への信頼に依存している。
情報技術セキュリティ評価のための共通基準(Common Criteria for Information Technology Security Evaluation、CC)は、サイバーセキュリティ認証の国際規格である。
信頼性の高いサイバーセキュリティ向上のための保護プロファイル、勧告、および今後の方向性の開発に関するベストプラクティスが提示される。
論文 参考訳（メタデータ） (2022-01-19T05:05:33Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。