論文の概要: The Agent Clicks Approve: Injected Page Text Makes Browser Agents Authorize Access the Task Never Named
- arxiv url: http://arxiv.org/abs/2610.15138v1
- Date: Sat, 10 Oct 2026 19:30:31 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-20 02:22:27.35556
- Title: The Agent Clicks Approve: Injected Page Text Makes Browser Agents Authorize Access the Task Never Named
- Title（参考訳）: エージェントがApproveをクリック: 注入されたページテキストは、ブラウザエージェントが名前のないタスクにアクセスすることを許可する
- Abstract要約: ユーザのサインインセッションで動作するブラウザエージェントは、読み込んだページの2文のメモによって、サードパーティのユーザアカウントへのアクセスを承認することができる。
我々は、この障害を2つの認証面、OAuthスタイルのアクセス許可とWebhook登録で測定する。
- 参考スコア（独自算出の注目度）: 1.1844977816228044
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: A browser agent that works in its user's signed-in session can be steered by a two-sentence note on a page it reads into approving a third party's access to the user's account. The agent is a confused deputy: the session supplies the authority, the page designates the access request to approve or the webhook URL to register, and nothing at the point of action checks one against the other. The agent thereby supplies the approval click that a consent screen reserves for the account holder. We measure this failure on two authorization surfaces, an OAuth-style access grant and a webhook registration, with agents built on an open-source browser framework and models from two providers. Without a defense the unauthorized action completed in all 73 attack runs. An instruction telling the model that only the user's task authorizes a grant still left 7 of 10 consent attacks completing. We therefore move the check to where the action completes. The authority envelope gate has the service accept a request only when it matches the task's envelope, the client and account or the webhook URL that the user's task named, fixed before the agent starts. With the gate the agent still sent the request in every one of 70 attack runs, the service rejected each, and the action completed in every control run whose task named it. A service that receives the task's envelope should therefore check agent-driven authorization requests against it.
- Abstract（参考訳）: ユーザのサインインセッションで動作するブラウザエージェントは、読み込んだページの2文のメモによって、サードパーティのユーザアカウントへのアクセスを承認することができる。
セッションは権限を提供し、ページは承認または登録するWebフックURLを指定する。
これにより、エージェントは、承認画面が口座保有者に予約する承認クリックを供給する。
我々は2つの認証面、OAuthスタイルのアクセス許可とWebフック登録、オープンソースのブラウザフレームワーク上に構築されたエージェント、および2つのプロバイダのモデルでこの障害を測定する。
防御がなければ、73回の攻撃で未承認の行動が完了した。
利用者のタスクのみを許可する命令は、10件の同意攻撃のうち7件を残している。
したがって、私たちはチェックをアクションが完了する場所に移動します。
オーソリティエンベロープゲートは、タスクのエンベロープ、クライアントとアカウント、あるいは、エージェントが起動する前に修正されたユーザのタスクが名前付けられたWebフックURLと一致する場合にのみ、サービスにリクエストを受け付ける。
ゲートでは、エージェントは70回の攻撃ランの1つに要求を送り、サービスはそれぞれの要求を拒絶し、そのタスクが命名されたすべての制御ランで完了した。
そのため、タスクのエンベロープを受け取るサービスは、それに対するエージェント駆動の認証要求をチェックする必要がある。
関連論文リスト
- Same Operation, Different Permission: Evaluating Whether Guardrails Honor Authorization [47.05539777659961]
ベンチは、その言語トラックで同じ操作の 認証証拠を対比するベンチマークです。
ブロックされた操作の多くは、正しい否定ではなく、レビューの失敗によるものであることを示す。
出力フォーマットの修復は使用可能な決定を復元するが、承認された要求に敬意を表し、第2のレビュアーを追加することでエラーを除去する。
論文 参考訳（メタデータ） (2026-10-12T14:17:21Z) - VERA: Authority-Preserving Edge Revocation for Federated AI-Agent Workflows [3.06815294082031]
我々は,エージェントランタイムアダプタが発行する検証可能なリコール契約とAPIであるVERA(Verifiable Edge Revocation for Agents)を署名された証拠として紹介する。
解法的権威の下で、エッジ e の無効化は T_intent(e,G) = reach(G) reach(G e) を正確に無効にする。
LangGraphフレームワーク-repltセルでは、20回繰り返し500コンパイルされたフレームのトレースと2000の有効な署名されたデリゲート決定が生成される。
論文 参考訳（メタデータ） (2026-08-30T23:39:26Z) - Trusted Workflow Relays:Cross-Tenant Email Abuse and Composable Red Team Initial-Access Primitives in Multi-Tenant Clouds [0.0]
クラウドアプリケーションは、プロバイダが操作するメールIDを通じて定期的に通知を送信する。
認証されたアクターはテナント境界を越えて受信者に連絡し、信頼できるプロバイダサービスが配信するコンテンツを制御することができる。
SPF、DKIM、DMARCは、メッセージの認証を行うが、アプリケーションレベルの送信が認可されたことを確立できない。
論文 参考訳（メタデータ） (2026-08-18T04:31:34Z) - Bounded Agents: Delegation Security for Multi-Agent AI Systems [0.0]
LLMベースのエージェントは、ユーザの代理として、クラウドサービスへのアクセス、ツールの呼び出し、エージェントの呼び出しを行うことができる。
セッション開始時にエージェントの許可は設定されるが、静的のままであり、各リクエストは独立して評価される。
プロンプトインジェクションは、エージェントがそのようなアクションを実行する権限を持っている場合にのみリスクを引き起こす。
論文 参考訳（メタデータ） (2026-08-16T18:38:00Z) - Fetch-then-Explore: Decoupling Selection from Extraction over a Persistent Workspace for Search Agents [60.97609995940902]
検索エージェントに対して textbfFetch-then-Explore を提案する。
ページ選択とエビデンス抽出を分離し、選択したものを保持する。
これは、すべてのバックボーンでBrowseCompの精度を導き、一般的にWideSearchのベースラインと一致するか、超える。
論文 参考訳（メタデータ） (2026-08-03T11:58:21Z) - Capable but Careless: Do Computer-Use Agents Follow Contextual Integrity? [54.701199583505144]
アプリケーション間アクセスは、ほとんど見落とされたプライバシーリスクを生み出す。
我々はAgentCIBenchを紹介します。これは、このリスクを決定論的に評価されたシナリオに変換する評価ハーネスです。
我々は15のフロンティアエージェントを評価し、驚くほど高い失敗率を見出す。
論文 参考訳（メタデータ） (2026-06-22T11:36:58Z) - WebAgentGuard: A Reasoning-Driven Guard Model for Detecting Prompt Injection Attacks in Web Agents [117.65855863464863]
Webエージェントはインジェクション攻撃に対して非常に脆弱である。
システム・プロンプト・ディフェンス(英語版)やエージェントの直接微調整を含む既存の防御は、効果が限られている。
本稿では,WebAgentGuardを導入し,インジェクション検出のためのマルチモーダルガードモデルを提案する。
論文 参考訳（メタデータ） (2026-04-14T04:50:35Z) - Who Grants the Agent Power? Defending Against Instruction Injection via Task-Centric Access Control [25.109590157742712]
我々は、動的にタスクスコープ化されたパーミッションを強制する軽量ランタイムアクセス制御フレームワークであるAgentSentryを紹介する。
広範囲で永続的な許可を与える代わりに、AgentSentryは、最小限の一時的なポリシーを動的に生成し、強制する。
我々は,エージェントがプライベートメールの転送に騙されるようなインジェクション攻撃を,エージェントSentryがうまく防ぐことを実証する。
論文 参考訳（メタデータ） (2025-10-30T07:36:59Z) - Agentic JWT: A Secure Delegation Protocol for Autonomous AI Agents [0.6747475365990533]
エージェント設定の推論、プロンプトインジェクション、マルチエージェントオーケストレーションは、サイレントに特権を拡張することができる。
本稿では,エージェントのアクションをユーザインテントにバインドする2面インテントトークンであるAgentic JWT(A-JWT)を紹介する。
A-JWTはエージェントのアイデンティティを、そのプロンプト、ツール、設定から派生したワンウェイハッシュとして保持する。
論文 参考訳（メタデータ） (2025-09-16T23:43:24Z) - GuardAgent: Safeguard LLM Agents by a Guard Agent via Knowledge-Enabled Reasoning [79.07152553060601]
安全ガード要求を満たすか否かを動的に確認し,目標エージェントを保護する最初のガードレールエージェントであるガードアジェントを提案する。
特にGuardAgentは、まず安全ガードの要求を分析してタスクプランを生成し、それからその計画をガードレールコードにマップして実行します。
GuardAgentは、それぞれ98%と83%のガードレール精度を持つ2つのベンチマークにおいて、異なる種類のエージェントに対する違反行為を効果的に抑制することを示した。
論文 参考訳（メタデータ） (2024-06-13T14:49:26Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。