論文の概要: CreepScope: Measuring Post-Use Authorization Exposure in Tool-Using Agents
- arxiv url: http://arxiv.org/abs/2610.15988v1
- Date: Sun, 11 Oct 2026 23:39:44 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-19 08:12:14.192066
- Title: CreepScope: Measuring Post-Use Authorization Exposure in Tool-Using Agents
- Title（参考訳）: CreepScope: ツール使用エージェントにおける使用後の認証露出の測定
- Abstract要約: 個々のツールコールの認証チェックは、以前の権限がいつまで使用可能なのかを明らかにしていない。
私たちはこのライフサイクルの障害を特権の欠如として検討しています。
到達可能な権限を各ステップでサンプリングするトレース指向評価プロトコルであるCreepScopeを提案する。
- 参考スコア（独自算出の注目度）: 7.362328661065831
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Authorization checks at individual tool calls do not reveal how long earlier authority remains usable. We study this lifecycle failure as privilege creep: a capability stays reachable after its last justified workflow step. We present CreepScope, a trace-oriented evaluation protocol that samples reachable authority at every step and separates no-remaining-use exposure into stale-after-use and never-required components; Capability-Step Exposure (CSE) counts total stepwise overexposure and Residual Privilege Debt (RPD) the terminal residue, while stale-after-use exposure is the direct privilege-creep measure. A 96-cell deterministic replay over 12 controlled storage, communication, and cloud-operation workflows validates these semantics: Static Task Scope and Monotonic On-Demand retain mean CSEs of 26 and 13, whereas an oracle-controlled Step Lease has zero CSE and zero residual debt by construction. All three persistent regimes share the same stale-after-use exposure of 13, so their CSE differences come from scope and grant timing rather than post-use retention; Full Access alone adds 91.33 never-required capability-steps. A separate 24-episode local case then lets Qwen2 7B choose tools in one simulated mail workflow: the injected stale send executes in all nine persistent-policy episodes and in none of the three Step-Lease episodes, while all 24 required action sequences complete. These results establish a reproducible containment case, not cross-workflow or cross-model effectiveness. Core metrics are reconstructed from raw events, and exact gates reject incomplete or duplicated evaluation grids.
- Abstract（参考訳）: 個々のツールコールの認証チェックは、以前の権限がいつまで使用可能なのかを明らかにしていない。
私たちはこのライフサイクルの障害を特権の欠如として検討しています。
本稿では,各ステップで到達可能な権限を抽出し,無残使用露光を不要かつ不要なコンポーネントに分離するトレース指向評価プロトコルであるCreepScopeについて述べる。
静的タスクスコープとMonotonic On-Demandは平均CSEを26と13に保ちます。
3つの永続的な体制はいずれも13の時効後露光を共有しているため、CSEの違いは使用後の保持よりもスコープと許可のタイミングから来ている。
Qwen2 7Bは1つのシミュレートされたメールワークフローでツールを選択することができる: 注入されたストールは9つの永続的な政治エピソードと3つのステップ・リースエピソードのいずれも実行し、24のアクションシーケンスは完了した。
これらの結果は、クロスワークフローやクロスモデルの有効性ではなく、再現可能な封じ込めのケースを確立する。
コアメトリクスは生のイベントから再構築され、正確なゲートは不完全または重複した評価グリッドを拒否する。
関連論文リスト
- Before They Can Solve: Predicting Post-Training Coding-Agent Performance from Base Models [87.94969284553706]
エンド・ツー・エンドのpass@$K$は、成功した振る舞いがベースモデルのディストリビューションにすでに現れるかどうかをテストする。
コールドスタートからハーネスを駆動するために、ベースチェックポイントを必要としない3つのスクリーンを構築します。
3つの画面はいずれも、ポストトレーニング後のSWE-bench Verified pass@$1$と密接に一致して、コホートをランク付けする。
論文 参考訳（メタデータ） (2026-10-07T17:37:19Z) - Compromise Is Not Consequence: Evaluating Task-Scoped Authorization in LLM Agents with Paired Replay [0.0]
タスクスコープによる認証には,ツールの実行結果が含まれているかを検討する。
ペア化されたリプレイテストベッドはモデル要求を一度サンプリングし、同じアクション、リソース、引数を広義のJWT、送信者制限、オープンポリシーエージェントの条件に送信します。
論文 参考訳（メタデータ） (2026-10-05T05:47:08Z) - StateWise: Diagnosing and Repairing Persistent Operational State Before Agent Actions [40.67530816009153]
動作実行前に永続的な動作状態の診断と修復を行うためのフレームワークであるStateWiseを提案する。
腐敗した永続状態の下では、StateWiseは93.3%の全体的な正当性を達成するが、ベースラインエージェントは38.7%で安全でない。
論文 参考訳（メタデータ） (2026-10-04T14:12:18Z) - Runtime Authorization of Self-Generated Subgoals in Long-Horizon Tool-Using AI Agents [4.805352087824778]
ツールごとのパーミッションチェックでは、変更したゴールグラフがプリンシパル承認されたタスク内に留まることを確認できない。
我々は、この認証ギャップを1つのプリンシパルと1つの認証ルートを持つ有限構造領域で解決する。
我々は、明示的な調停、抽象化、新鮮さ、原子性仮定の下で、トレース政治とモデル化された状態保存を証明した。
論文 参考訳（メタデータ） (2026-10-04T05:43:47Z) - Learning What to Skip: Counterfactual Credit Assignment for Efficient Multi-Agent LLM Workflows [49.15875332210974]
すべてのコンポーネントを実行することは、計算を無駄にしたり、正しい中間回答を上書きすることができる。
我々は、制御されたスキップ介入からアクション固有の安全モデルを学ぶ「Skip to Skip」について紹介する。
早期スキップが拒否されると、コントローラは実行を継続し、後続のコンポーネントを再考することができる。
論文 参考訳（メタデータ） (2026-09-25T03:02:57Z) - Agent Approval Laundering: Transitive Effects Beyond the Approved Invocation [4.976922673853743]
コーディングエージェントの承認インターフェースは、人間の決定をコマンドやツールコールに結び付ける。
私たちは、結果として生じる記録的障害承認洗浄を呼んでいます。
エージェントシステムにおけるこの記録-閉鎖関係の最初の系統的セキュリティ解析について述べる。
論文 参考訳（メタデータ） (2026-09-23T13:47:35Z) - When Agent Metrics Measure Different Things: An Evidence-Grounded Audit of the Praxa AI Pipeline [0.0]
本稿では,選択したPraxa AI実装ファイル,過去の評価アーティファクト,運用記録の振り返り評価を行う。
139ケースのオフラインルーティングレポートには、112回のパスと27回の障害が含まれている。
記録された99番目のパーセンタイルは2,147,483,647 msであり、サーバが保存したコールのうち38,118.31 msである。
論文 参考訳（メタデータ） (2026-09-10T07:55:12Z) - Threshold Choice, Not Sample Size, Bounds Trustless Verification of Nondeterministic Compound AI Workflows [0.0]
複合AIパイプライン LLMコール、レトリバー、ツールは非決定論的である。
各ステージのインプット、アウトプット、コンテキストのダイジェストをコミットします。
合成HotpotQAパイプラインでは、校正された固定しきい値が45個の正直な複製のうち44個を受け入れ、105個の発散ペアのうち104個を拒絶する。
論文 参考訳（メタデータ） (2026-09-07T22:10:54Z) - Object-to-Source Mapping under Optimization: What a Control-Flow Trace Can Show, and Where Source-Level Coverage Breaks [46.45816037744739]
制御フロートレースは、マシンレベルの実行を再構築することができるが、ソースレベルの構造カバレッジに加えて、生成された命令からの検証された帰属と、ソースの義務への分岐結果が必要である。
本稿では,その境界を定義し,コンパイラの正確な出力を図示する。
付録では、実際のシリコン上でのエンド・ツー・エンドのメカニズムを例示している。
論文 参考訳（メタデータ） (2026-08-29T17:06:10Z) - Hierarchical Advantage Weighting for Online RL Fine-Tuning of VLAs from Sparse Episode Outcomes [40.20394793623452]
事前トレーニングされたVLAポリシーがオンラインRLを介して微調整されると、各ロールアウトエピソードは単一のバイナリ結果のみを生成する。
階層的アドバンテージ・重み付き行動クローン (HABC) を提案する。
HABCは教師付き微調整(SFT)ベースラインを36%、44%、12%から92%、88%、38%で成功している。
論文 参考訳（メタデータ） (2026-06-15T17:57:14Z) - Claw-Eval: Toward Trustworthy Evaluation of Autonomous Agents [66.97968363332465]
エージェントベンチマークの3つのギャップに対処するエンドツーエンド評価スイートであるClaw-Evalを紹介した。
Claw-Evalは3つのグループにまたがる9つのカテゴリにまたがる300の人間検証タスクで構成されている。
すべてのエージェントアクションは、3つの独立したエビデンスチャネルを通じて記録される。
論文 参考訳（メタデータ） (2026-04-07T17:43:18Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。