論文の概要: Approve What, Exactly? Effect Binding and Trusted Rendering for Agent Step-Up Authorization

• arxiv url: http://arxiv.org/abs/2610.21063v1
• Date: Thu, 15 Oct 2026 01:11:23 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-16 19:13:16.116202
• Title: Approve What, Exactly? Effect Binding and Trusted Rendering for Agent Step-Up Authorization
• Title（参考訳）: エージェントステップアップ認証のためのエフェクトバインディングと信頼されたレンダリング
• Abstract要約: 我々は、標準エフェクト記述子から承認カードをレンダリングし、ダイジェストにサインするユーザの電話にパスキーを持ち、ストアドコールのみを実行するゲートウェイを構築する。 現在の15の言語モデルを自動承認装置として使用することで、信頼されたカードは攻撃のキャッチレートを0.30から0.98に引き上げる。 第2の装置は、これらの実験で信頼されたホストの確認について何も測定できないが、洪水はモデル化された承認者に対する0.45から0.60の時間でまだ成功し、承認が既に許されているポリシーの影響を止めることはできない。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: AI agents now pause for approval before they send money, delete files or email outsiders, and that approval is usually treated as a second factor. We argue it is one only when compromising the agent cannot produce it and when it names exactly what it approves, and we test both conditions. We define twelve attacks on the approval path, including decoy recipients, amount cancellation, card padding, label spoofing, enrollment squatting and threshold splitting, and run them against the Agent Payments Protocol (AP2), the Microsoft action-bound approval design and Model Context Protocol (MCP) elicitation. An audit of ten agent runtimes finds no third-party verifiable approval record, no flood limits where measurable, and post-approval argument changes in four of eight runtimes with measurable binding. As a reference defense we build ASU (Agent Step-Up), a gateway that renders the approval card from a canonical effect descriptor, has a passkey on the phone of the user sign its digest, and executes only the stored call. Tamarin proves its binding, single-use and key-level non-repudiation properties under three stated hypotheses (53 lemmas). Across 27,108 scripted trials and 609 AgentDojo attack pairs, ASU stops substitution, replay and grant stretching, and the trusted card cuts forged-narration attack success from 0.54 to 0.03. With 15 current language models as automated approvers, the trusted card raises the attack catch rate from 0.30 to 0.98, at the cost of refusing 16 percent of harmless near misses, mostly due to a placeholder artifact in our stimuli. A second device adds nothing measurable over a trusted on-host confirmation in these experiments, flooding still succeeds 0.45 to 0.60 of the time against a modeled approver, and approval cannot stop effects that policy already allows. Code, data and proofs: https://github.com/Sports-Vision-Inc/agent-step-up
• Abstract（参考訳）: AIエージェントは、送金、ファイルの削除、あるいは外部メールを送信する前に承認を一時停止し、その承認は通常、第2の要因として扱われる。 エージェントがそれを生成できない場合と、それが承認したものを正確に名付ける場合のみであり、両方の条件をテストする。 我々は、デコイ受信者、量キャンセル、カードパディング、ラベルスプーフィング、スクワットとしきい値分割を含む承認パスに対する12の攻撃を定義し、エージェント支払いプロトコル(AP2)、Microsoftアクションバウンドの承認設計、モデルコンテキストプロトコル(MCP)の適用に対してそれらを実行する。 10のエージェントランタイムの監査では、サードパーティの検証可能な承認記録、測定可能なフラッド制限、測定可能なバインディングを持つ8つのランタイムのうち4つで承認後の引数が変更されない。 リファレンスディフェンスとして、標準エフェクト記述子から承認カードをレンダリングするゲートウェイであるASU(Agent Step-Up)を構築し、ユーザがダイジェストにサインした電話にパスキーを持ち、ストアドコールのみを実行する。 タマリンは、3つの仮説 (53 lemmas) の下で、その結合性、単一使用性、キーレベルの非評価特性を証明している。 27,108件のスクリプト・トライアルと609件のエージェント・道場攻撃対、ASUは置換、再生、認可のストレッチを中止し、信頼されたカードカットでは、ナレーション攻撃が0.54から0.03に成功している。 現在の15の言語モデルを自動承認装置として使用することで、信頼されたカードは攻撃キャッチレートを0.30から0.98に引き上げる。 第2の装置は、これらの実験で信頼されたホストの確認について何も測定できないが、洪水はモデル化された承認者に対する0.45から0.60の時間でまだ成功し、承認が既に許されているポリシーの影響を止めることはできない。 コード、データ、証明:https://github.com/Sports-Vision-Inc/agent-step-up

関連論文リスト

• APEX: Active Protection at Execution Boundaries for LLM Agents [28.248669917755166]
  間接的プロンプトインジェクション(IPI)は、大きな言語モデル(LLM)エージェントが実行時に読み取る内容の逆命令を隠蔽する。 我々は,この境界において,単一の認証契約から双方を強制するアクティブディフェンスであるAPEXを提示する。
  論文  参考訳（メタデータ） (2026-10-03T17:53:29Z)
• PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents [27.303145899045074]
  本稿では、PACE(Provenance-Aware Capability Enforcement)を紹介し、実行直前にすべてのツールコールを仲介する。 PACEは、提案されたブロックの後に認証された呼び出しを復元したり、宣言された修復を適用することができる。 スケールの縮小された適応探索は、0/30の不正なターゲットで防御に成功している。
  論文  参考訳（メタデータ） (2026-10-01T09:18:05Z)
• CATP: Design and Evaluation of Local Agent Authorization and Audit Evidence [1.2691047660244335]
  署名された認可記録は、署名者が主張したものを認証するが、それ自体は、アサーションが実行時決定に使用されるポリシーとアクションに一致することを証明していない。 CATPは、ローカルな実行前決定をオフラインで検証可能な証拠に伝達するために必要な結合を指定する。
  論文  参考訳（メタデータ） (2026-09-28T04:06:20Z)
• Loopjacking: Hijacking Human-in-the-Loop Approval [0.0]
  このバインディングの障害をLoopjackingと呼びます。 表現ベースの攻撃では、Bはすでに符号化されているが、承認時に省略されるか、あるいは誤表現される。 承認後の状態置換攻撃では、ヒトは正しいAと変更可能なワークフロー状態が後にBに置き換えられる。
  論文  参考訳（メタデータ） (2026-09-17T20:58:26Z)
• From Verdict to Diagnosis: Attributable Security Review of Pull Requests [37.704472942055126]
  自動コードレビュアは、プルリクエスト(PR)のゲートとしてますます使われています。 しかし、評価は悪意のある変更をブロックするかどうかを測定する。 89個の悪意のあるPRと50個のペアの良性制御のメカニズム基底ベンチマークであるMalPR-Benchを提案する。
  論文  参考訳（メタデータ） (2026-08-26T12:44:33Z)
• AID-Guard: Stateful Authorization for Delegated Agent Effects [0.0]
  AID-Guardはステートフルな認可から効果のあるクロージャプロトコルである。 コミット時に承認された要求とプロバイダ状態を再検証し、曖昧さの下で1つの予約を保持し、端末結果の後にのみリリースまたは1つの後継を許可する。
  論文  参考訳（メタデータ） (2026-08-21T14:31:29Z)
• aiAuthZ: Off-Host, Identity-Bound Authorization for AI Agents [0.0]
  エージェントのホストから安全判断を移動させる認証ゲートウェイであるaiAuthZを紹介します。 各決定はSHA-256ハッシュチェーン監査ログに参加し、受信メッセージはHMAC認証QRレシートを生成する。 残りの攻撃成功率は15モデルすべてで0%となり、0.03ミリ秒以上の決定遅延は発生しない。
  論文  参考訳（メタデータ） (2026-07-06T18:00:49Z)
• SafeClawBench: Separating Semantic, Audit-Evidence, and Sandbox Harm in Tool-Using LLM Agents [31.978790013349947]
  SafeClawBenchは、600の制御された敵タスクを備えたツール使用エージェントセキュリティのためのベンチマークである。 5つのエージェントエンドポイントを4つのプロンプトレベルポリシーで評価する。 これらのエンドポイントは、異なる障害モードをキャプチャします。
  論文  参考訳（メタデータ） (2026-06-16T18:04:45Z)
• Hallucination as Exploit: Evidence-Carrying Multimodal Agents [10.441697487723568]
  マルチモーダルエージェントはますます、スクリーンショットやドキュメント、Webページからツールコールを選択している。 本稿では,自由形式モデルテキストを不許容な証拠として扱うエビデンス搬送型マルチモーダルエージェント(ECA)を提案する。 ECAは不透明なモデルの信念を検証者、スキーマ、実装レベルで監査可能な残留物に変換する。
  論文  参考訳（メタデータ） (2026-05-18T23:40:43Z)
• Overeager Coding Agents: Measuring Out-of-Scope Actions on Benign Tasks [40.270213696031625]
  OverEager-Genは、良質なタスクの振る舞いをオーバーイーガーするベンチマークである。 クロード・コードでは、同意宣言を削除するだけで、オーバーイーガー率は0.0%から17.1%に上昇する。 オーバーイーガー・ジェン(OverEager-Gen)は、入場前に各シナリオの識別力を認定する。
  論文  参考訳（メタデータ） (2026-05-18T16:00:41Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。