論文の概要: Names Are Not Objects: Object-Bound Confinement for Compromised AI Coding Agents
- arxiv url: http://arxiv.org/abs/2610.14488v1
- Date: Sat, 10 Oct 2026 02:38:11 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-20 13:17:25.848307
- Title: Names Are Not Objects: Object-Bound Confinement for Compromised AI Coding Agents
- Title（参考訳）: Names are not Objects: Object-Bound Confinement for Compromized AI Coding Agents
- Abstract要約: 我々はZTAC(Zero-Truth-Trust Agent Cells)を紹介する。
セルは、ブローカーへの唯一のルートがソケットであるカーネルサンドボックスでエージェントを実行する。
ZTACは46件の良心的操作のうち43件を完了し、8件の承認プロンプト、7件の承認プロンプトが4件ある。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Coding agents read repositories and web pages that anyone can write, and then act with their user's authority. Prompt-injection defenses make it less likely that the model is steered but do not prevent it, so the system around the model must contain an agent that is already compromised. Many exploits against deployed coding agents share one cause: a check approves a name, such as a path, an argument vector, or a directory, and a later step maps that name to a different object: the file behind a symlink, the behavior an option selects, or a repository that git discovers on its own. We present Zero-Trust Agent Cells (ZTAC). A cell runs the agent in a kernel sandbox whose only route to files, programs, and the network is a socket to a broker. The broker resolves each request to the object it will act on, decides on that object, and checks at use that it is acting on the object it authorized. Programs that the broker starts run in a sandbox compiled from the same policy, and approvals are bound to the resolved object and can be used once. Our macOS prototype has 3.2k lines of trusted Rust code, excluding dependencies. We evaluate it against 74 attacks with ground-truth oracles, including replays of 10 publicly disclosed incidents. A tool allowlist loses 66 of them, and an allowlist combined with the kind of command sandbox that deployed agents use loses 56. ZTAC loses 2, both of which encode a secret into traffic to an allowed endpoint, and holds 14 for review. It completes 43 of 46 benign operations, with 8 approval prompts, and 4 of 7 workflows. A no-op brokered request has a median latency of 4.0 ms, and the spawned programs we measured take 8.5 ms to 18.4 ms longer than without ZTAC.
- Abstract（参考訳）: コーディングエージェントは、誰でも書けるレポジトリとWebページを読み、ユーザーの権限で行動する。
プロンプト・インジェクション・ディフェンスは、モデルがステアリングされている可能性は低いが、それを防止しないので、モデルを取り巻くシステムは、既に侵害されているエージェントを含む必要がある。
チェックはパス、引数ベクトル、ディレクトリなどの名前を承認し、後のステップでは、その名前を別のオブジェクトにマップする。
ZTAC(Zero-Trust Agent Cells)を報告する。
セルは、ファイル、プログラムへの唯一のルートであるカーネルサンドボックスでエージェントを実行し、ネットワークはブローカーへのソケットである。
ブローカは、実行するオブジェクトに対する各要求を解決し、そのオブジェクトを決定する。
ブローカが同じポリシからコンパイルされたサンドボックス内で実行を開始するプログラムは、解決されたオブジェクトにバインドされ、一度使用することができる。
私たちのmacOSプロトタイプには、依存関係を除いて、信頼されたRustコードが3.2K行あります。
10件の公告事件のリプレイを含む74件の攻撃に対して,本法を検証した。
ツール許容リストでは66が失われ、デプロイエージェントが使用するコマンドサンドボックスの種類と合わせて56が失われる。
ZTACは2つを失い、どちらも許可されたエンドポイントへのトラフィックに秘密をエンコードし、レビューのために14を保持する。
46の良心的操作のうち43が完了し、承認プロンプトが8つ、ワークフローが7つある。
No-opブローカー要求は4.0msで、ZTACを使わずに発生したプログラムは8.5msから18.4msの時間を要する。
関連論文リスト
- ContractWarden: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts [11.363626505686023]
ContractWardenは、エージェントやポリシー提案を信頼することなく、人間に許可されたダメージ境界を強制する。
モデルが三国間資産契約(許容、否定、否定)を提案する場合もありますが、人間は最終的な選択をします。
実行ゲートは、信頼できないコードが実行される前に、契約を具体的なタスクにバインドする。
論文 参考訳（メタデータ） (2026-09-29T07:13:14Z) - Agent Name Collision Attacks in Multi-Agent Systems [0.0]
マルチエージェントホストはリモートエージェントカードをローカルエージェント、ツール、ワークフローターゲット、ブローカルートに変換する。
A2Aは、カード名を安定したIDではなく、人間が読めるメタデータとして定義している。
一般的な結果は、普遍的な特権継承ではなく、不正なピアディスパッチである。
論文 参考訳（メタデータ） (2026-09-23T09:46:58Z) - MobileCybench: Evaluating Agent Vulnerability Discovery via Executable Probes [79.56668124357292]
本稿では,プローブを用いた脆弱性レポート評価フレームワークを提案する。
報告されたエクスプロイトは、アプリケーションに対してそれを再生し、プローブを実行することで評価される。
プローブが既知の脆弱性ではなくセキュリティプロパティをエンコードしているため、プローブがいつ書かれたか分からない脆弱性を検出することができる。
論文 参考訳（メタデータ） (2026-09-21T01:21:06Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - aiAuthZ: Off-Host, Identity-Bound Authorization for AI Agents [0.0]
エージェントのホストから安全判断を移動させる認証ゲートウェイであるaiAuthZを紹介します。
各決定はSHA-256ハッシュチェーン監査ログに参加し、受信メッセージはHMAC認証QRレシートを生成する。
残りの攻撃成功率は15モデルすべてで0%となり、0.03ミリ秒以上の決定遅延は発生しない。
論文 参考訳（メタデータ） (2026-07-06T18:00:49Z) - When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents [55.87577638514179]
我々は、リモートのブラックボックスが1つのメールペイロードを送信し、エージェントに有毒なメモリを誘導しなければならない、ステルスメモリインジェクションとして脅威を調査する。
我々は,ワンショットペイロード生成フレームワークであるMemGhostを提案する。
56のテストケースで、MemGhostはGPT-5.4でOpenClawで87.5%、Sonnet 4.6でClaude Code SDKで71.4%を達成している。
論文 参考訳（メタデータ） (2026-07-06T15:08:58Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。
我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。
我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
論文 参考訳（メタデータ） (2026-06-22T11:36:58Z) - AgentTrust: Runtime Safety Evaluation and Interception for AI Agent Tool Use [2.9991161518367875]
AgentTrustは実行前にエージェントツールコールをインターセプトし、構造化されたバリデーションを返す。
6つのリスクカテゴリにまたがる300-scenarioベンチマークと、630が独立して構築された現実世界の敵シナリオです。
パッチされたルールセットで評価された630秒のベンチマークでは、AgentTrustは96.7%の精度を達成している。
論文 参考訳（メタデータ） (2026-05-06T11:38:16Z) - AgentWall: A Runtime Safety Layer for Local AI Agents [0.0]
AgentWallは、ローカルAIエージェントのランタイム安全性と可観測性レイヤである。
ホスト環境に到達する前に提案されたすべてのエージェントアクションをインターセプトし、明示的な宣言的なポリシーで評価し、機密性の高い操作に対して人間の承認を必要とし、監査と再生のための完全な実行パスを記録します。
本稿では,AgentWallの設計,アーキテクチャ,脅威モデル,およびポリシーモデルについて述べる。
論文 参考訳（メタデータ） (2026-03-24T11:39:35Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。