論文の概要: NOMOS: Compiling Written Policies into Statically Verified Tool-Call Gates for LLM Agents

• arxiv url: http://arxiv.org/abs/2610.11030v2
• Date: Wed, 14 Oct 2026 02:16:32 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-15 21:06:14.993134
• Title: NOMOS: Compiling Written Policies into Statically Verified Tool-Call Gates for LLM Agents
• Title（参考訳）: NOMOS: LLMエージェントの静的認証ツールコールゲートに書式ポリシーをコンパイルする
• Abstract要約: NOMOSは自然言語ポリシーを決定論的ツールコールゲートに変える。 AgentDojoの出荷されたディフェンスとは異なり、銀行に対する攻撃成功率(ASR)はゼロである。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Tool-using LLM agents violate the policies they are deployed to enforce, often silently. Prior defenses hand-write rules, query an LLM verifier per action, or compile policies through heavyweight formal machinery. Naive compilation fails: extracted rules block the tool satisfying their own precondition, or read arguments their tool lacks. NOMOS, a four-pass compiler, turns a natural-language policy into a deterministic tool-call gate; static verification with tool-schema-level checks alone (no prover, solver, or LLM) repairs or rejects 37% (airline) and 13% (retail) of candidates, without which most shipped rules are inoperable. Replaying compiled rules over undefended transcripts flags bindings that refuse legitimate work (a development binding refused 95.9% of task-passing calls); no evaluation binding is flagged. On $τ^2$-bench the gate cuts violations of reference-encoded clauses among state-changing calls from 66.3% to 2.6% (airline) and 30.8% to 6.9% (retail), raising airline task success significantly for $2 \le k \le 4$; a 26B on-premise compilation is not significantly worse than hand-written or frontier-compiled rules. Unlike AgentDojo's shipped defenses, it reaches a zero attack success rate (ASR) on banking, where nine attack families collapse onto three structural rules. On the other three suites its ASR is at most 3.6%, from goals with no tool call to govern and one write admitted by a binding weaker than its clause; a second agent model, Llama-3.3-70B, reproduces the effect on both benchmarks. Decisions take microseconds without an LLM call, at a domain-dependent benign-utility cost; compilation runs on-premise on open-weight gemma-4-26B.
• Abstract（参考訳）: ツールを使用するLLMエージェントは、強制するためにデプロイされるポリシーに違反する。 以前は手書きのルールを守り、アクションごとにLSM検証子を問い合わせたり、重厚な形式機械でポリシーをコンパイルしたりしていた。 ネイティブコンパイルが失敗する: 抽出されたルールは、ツールが自身の前提条件を満たすことをブロックするか、ツールに欠けている引数を読み込む。 4つのパスコンパイラであるNOMOSは、自然言語ポリシーを決定論的ツールコールゲートに変換する。ツールスキーマレベルのチェックのみによる静的検証(証明者、解決者、LLM)は、ほとんどの出荷されたルールが動作不能な候補の37%(航空)と13%(詳細)を修復または拒否する。 正常な処理を拒否する(開発バインディングはタスクパス呼び出しの95.9%を拒否する)、評価バインディングはフラグ付けされない。 τ^2$-bench(英語版)では、ゲートは66.3%から2.6%(航空運賃)、30.8%から6.9%(詳細)の基準符号化条項の違反を減らし、2ドル k \le 4$(英語版)で航空業務が大幅に成功し、26Bのオンプレミスコンパイルは手書きやフロンティアコンパイルされたルールよりも著しく悪いものではない。 AgentDojoの出荷された防御と異なり、銀行でゼロアタック成功率(ASR)に達し、9つのアタックファミリーが3つの構造ルールに崩壊する。 他の3つのスイートでは、ASRは最低でも3.6%であり、ツールコールなしの目標と、その条項よりも弱いバインディングによって認められた書き込みがある。 決定は、LLMコールなしで、ドメイン依存の良性ユーティリティコストでマイクロ秒を要し、コンパイルはオープンウェイトなgemma-4-26B上でオンプレミスで動作する。

関連論文リスト

• Separation of Duties for Privileged LLM Agents: A Governed Execution Architecture with Measured Security-Utility Trade-offs [0.0]
  エージェントとオペレーティングシステムの間に4つの役割(プランナー、政策ゲート、執行役、監査役)を介するアーキテクチャについて検討する。 我々は8種類の313ケースのベンチマークで評価した。
  論文  参考訳（メタデータ） (2026-09-28T05:32:17Z)
• Codebook Agent: Amortized Topology Design for LLM Multi-Agent Systems [67.04448659688579]
  クエリ非依存の16エントリのコードブックを開発し、上位のデコード候補を1回のバッチフォワードパスでランク付けする。 反復検索がなく、テスト時にメッセージパッシングがないため、Codebook Agentは6つのベンチマークでもっとも正確な方法である。
  論文  参考訳（メタデータ） (2026-09-02T08:10:22Z)
• LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
  大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。 我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
  論文  参考訳（メタデータ） (2026-08-26T12:13:05Z)
• Reason Less, Verify More: Deterministic Gates Recover a Silent Policy-Violation Failure Mode in Tool-Using LLM Agents [1.6567880228735357]
  ポリシーを許容する環境では、対応する状態遷移がドメインポリシーによって禁じられている場合であっても、ツールはよくできた呼び出しを実行できる。 我々は、この障害モードを2ドルの航空会社ドメインで研究する。 我々は、決定論的かつリードオンリーの事前実行ゲートという、軽量な介入を評価する。
  論文  参考訳（メタデータ） (2026-07-08T13:38:54Z)
• Auto: The AGI Compiler [0.0]
  Autoは、ライブエージェントの振る舞いを記録し、どの部分が秘密に決定論的かを測定し、それを検証プログラムや蒸留専門家に抽出し、認識バイナリを出力するコンパイラである。 我々は,「AGIコンパイラ」を狭義で実証可能な意味で使用し,新規体験を,未知の知識を計測しながら,永続的で検証された,ほぼ自由なスキルに自律的に変換するシステムを開発した。
  論文  参考訳（メタデータ） (2026-07-05T23:09:24Z)
• Which Defense Closes Which Threat? Attributing OWASP-LLM-Top-10 Coverage and Its Brittleness Under Paraphrasing [51.56484100374058]
  プロダクションLLMアプリケーションは、いくつかの防衛ファミリを積み重ねる -- 拒絶フレーズフィルタ、トークンバッジコントロール、モデル許容度リスト、レート制限、ツール登録認証 -- が、BASベンチマークでは、単一の集計カバレッジ番号を報告している。 21エージェントベースラインスキャナに4つのLLM-Top-10対応エージェントを追加し、4つの合成LDMエンドポイントの格子をターゲットとした。
  論文  参考訳（メタデータ） (2026-06-01T19:39:25Z)
• Constraint-Guided Multi-Agent Decompilation for Executable Binary Recovery [47.704311990064554]
  脱コンパイルは、セキュリティ分析、マルウェアのリバースエンジニアリング、レガシーソフトウェアメンテナンスに不可欠である。 マルチレベル制約誘導型デコンパイル(MCGD)により,デコンパイルされたコードを再実行可能なソースに変換するマルチエージェントフレームワークを提案する。 本フレームワークは,84～97%の再実行性を実現し,28～89ポイントのベースラインデコンパイラ出力を改善した。
  論文  参考訳（メタデータ） (2026-04-27T01:28:11Z)
• Guardrails as Infrastructure: Policy-First Control for Tool-Orchestrated Workflows [0.0]
  Policy-First Toolingは、明示的な制約、リスク認識ゲーティング、リカバリコントロール、監査可能な説明を通じて、ツールの実行を仲介する。 制御された5つのポリシーパックと3つの障害プロファイルをまたいだ225の運用では、厳格なパックにより、違反防止はP0の0.000からP4の0.681に改善され、タスク成功は0.356から0.067に減少した。
  論文  参考訳（メタデータ） (2026-03-18T01:19:33Z)
• Reasoning Robustness of LLMs to Adversarial Typographical Errors [49.99118660264703]
  大規模言語モデル(LLM)は、Chain-of-Thought(CoT)プロンプトを使用した推論において、印象的な機能を示している。 本研究では,LLMのタイポグラフィ的誤りに対するロバスト性について検討する。 我々は,クエリに重要な単語の型を反復的にサンプリングし,攻撃に成功しそうな編集を選択する,Adversarial Typo Attack(texttATA$)アルゴリズムを設計する。
  論文  参考訳（メタデータ） (2024-11-08T05:54:05Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。