論文の概要: When Approval Becomes Execution: Authorization-Grounded Workflow Attacks on Tool-Using Agents
- arxiv url: http://arxiv.org/abs/2610.23077v1
- Date: Fri, 16 Oct 2026 07:47:57 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-20 00:56:07.821453
- Title: When Approval Becomes Execution: Authorization-Grounded Workflow Attacks on Tool-Using Agents
- Title（参考訳）: 承認が実行に移されたとき: ツール使用エージェントによる認証付きワークフローアタック
- Abstract要約: 本稿では,OpenClaw Agent Security Attack Competitionにおけるワークフローアタックについて検討する。
本稿では、コンテキストバウンドトークン、サービス側ポリシーバインディング、エージェント側認証チェック、トレース対応ベンチマーク設計に対する攻撃パターン、制御されたトレース分析、防御的意味について述べる。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Tool-using language-model agents increasingly rely on local services for document access, approval management, and enterprise workflow execution. This paper studies an authorization-grounded workflow attack in the OpenClaw Agent Security Attack Competition, a controlled benchmark derived from SeClaw-style security task synthesis. Rather than using explicit policy-override instructions, the attack guides the agent through a locally coherent approval workflow: a protected document request is denied, the agent requests a normal approval token from the local approval service, and the returned token is supplied to the document service through authorized_by. Official submission traces show this pattern succeeding on three Enterprise OA document targets. We also conducted 23 controlled local validation experiments in the official OpenClaw execution environment: the original configuration reached the approval-token transition in 9/9 reruns and completed the exact target operation in 8/9 reruns, while single-component variants remained successful on the three document targets. The results provide concrete case evidence of an authorization-context gap: token possession can be treated as sufficient authorization even when requester identity, approver authority, resource scope, action type, destination or recipient, and business purpose are not jointly enforced. We present the attack pattern, controlled trace analysis, and defensive implications for context-bound tokens, service-side policy binding, agent-side authorization checks, and trace-aware benchmark design.
- Abstract（参考訳）: ツールを使用する言語モデルエージェントは、ドキュメントアクセス、承認管理、エンタープライズワークフローの実行に、ますますローカルサービスに依存している。
本稿では,SeClaw スタイルのセキュリティタスク合成から派生した制御ベンチマークである OpenClaw Agent Security Attack Competition において,認証済みのワークフロー攻撃について検討する。
保護された文書要求が拒否され、エージェントがローカルの承認サービスから正常な承認トークンを要求され、返却されたトークンが認証_byを介してドキュメントサービスに供給される。
公式の投稿トレースは、3つのEnterprise OAドキュメントターゲットでこのパターンが成功することを示している。
また,オフィシャルなOpenClaw実行環境において,23個の制御されたローカル検証実験を行った。最初の構成は9/9再実行で承認-トークン遷移に達し,正確なターゲット操作は8/9再実行で完了したが,単一成分の変種は3つの文書ターゲットで成功したままであった。
トークン保有は、要求者ID、承認者権限、リソースの範囲、アクションタイプ、宛先又は受け手、ビジネス目的が共同で実施されていない場合でも、十分な認可として扱われる。
本稿では、コンテキストバウンドトークン、サービス側ポリシーバインディング、エージェント側認証チェック、トレース対応ベンチマーク設計に対する攻撃パターン、制御されたトレース分析、防御的意味について述べる。
関連論文リスト
- From Approval to Abuse: Privilege Escalation Attacks on Harness-Protected Coding Agents [71.95900681890676]
コーディングエージェントは、実行ハーネスを使用して、パーミッション境界を強制することによって、プロンプトインジェクションの結果を制限する。
承認疲労を軽減するために、ユーザはエージェントが提案する許可ルールを承認し、その後、ルールにマッチする将来のアクションをプロンプトなしで許可する。
信頼できないコンテキストは、承認のために提示された許可に影響を与える可能性がある。
論文 参考訳（メタデータ） (2026-10-16T06:13:06Z) - Same Operation, Different Permission: Evaluating Whether Guardrails Honor Authorization [47.05539777659961]
ベンチは、その言語トラックで同じ操作の 認証証拠を対比するベンチマークです。
ブロックされた操作の多くは、正しい否定ではなく、レビューの失敗によるものであることを示す。
出力フォーマットの修復は使用可能な決定を復元するが、承認された要求に敬意を表し、第2のレビュアーを追加することでエラーを除去する。
論文 参考訳（メタデータ） (2026-10-12T14:17:21Z) - KedgeFlow: A Programmable Control Plane for Enterprise AI Agents [2.124730017640531]
KedgeFlowは、状態変更操作を認可する信頼できるコントローラのための言語に依存しない契約を指定する。
OpenFlowにインスパイアされたOpenFlowは、エビデンスによってサポートされているポリシーチェックと、正確なアクションの署名された許可を接続する。
参照実装は、モデルコンテキストプロトコルを介してエージェントシステムにこの実行パスを公開する。
論文 参考訳（メタデータ） (2026-10-10T11:01:36Z) - From Evidence to Action: How Tool-Using Agents Fail [44.361207294180424]
このエビデンス・ツー・アクション・チェーンは、エージェントが単一アクションの実行に行動するかどうかを決定するため、どこで壊れるかを調査する。
10のモデルハーネスで、強力な静的アクションアセスメントは、より弱いインタラクティブ実行と共存することができる。
論文 参考訳（メタデータ） (2026-10-06T04:50:29Z) - PolicyGuide: From Guarding One Action to Guiding the Whole Workflow for Policy-Compliant LLM Agents [46.25624714630383]
PolicyGuideは、各ドメインポリシーをワークフローグラフにコンパイルし、ユーザターンバウンダリでプロアクティブ検証を起動する。
永続的なグラフ状態から、検証者はオープンリクエストを調整し、ポリシーに準拠したパスに沿ってステップ固有の修復を返す。
論文 参考訳（メタデータ） (2026-08-20T10:13:19Z) - Agent Security Needs Redefinition through a Holistic Framework [46.88917910966891]
被告は、命令が悪意あるように見えるかどうかを問う。ベンチマークは、エージェントが有害な鳴き声を行うかどうかを問う。
我々は,エージェントの軌道全体にわたって連続的に評価されなければならない4つの特性を通じて,コンテキストセキュリティを運用する。
論文 参考訳（メタデータ） (2026-07-24T06:43:09Z) - Sovereign Execution Broker: Enforcing Certificate-Bound Authority in Agentic Control Planes [2.124730017640531]
Sovereign Execution Broker (SEB) は証明書バウンドエージェントインフラストラクチャのランタイム実行境界である。
提案、承認、実行を分離することで、SEBは認定された権限を短期間で監査可能なランタイム能力に変換する。
本稿では,SEBの実行モデル,証明書と再生検証の述語,スコープ付きアイデンティティセマンティクス,バイパス防止デプロイメントパターン,障害行動,具体的プロトタイプ実装について述べる。
論文 参考訳（メタデータ） (2026-06-18T17:36:46Z) - Sovereign Assurance Boundary: Certificate-Bound Admission for Agentic Infrastructure [2.124730017640531]
Sovereign Assurance境界は、自動実行権限のための証明書バウンドランタイムアクセス層である。
本稿では,エアロックブローカーのアーキテクチャを詳述し,その入力と取り消しの不変性を定式化し,Goプロトタイプの予備実現可能性の測定結果を報告する。
論文 参考訳（メタデータ） (2026-06-10T03:49:57Z) - Proof-Carrying Agent Actions: Model-Agnostic Runtime Governance for Heterogeneous Agent Systems [0.6526824510982799]
本稿では,アクション証明書を中心としたランタイム中立ガバナンスモデルであるProof-Carrying Agent Actions (PCAA)を提案する。
PCAAは5つのチェックポイント(事前行動の許容、行動のオープン、仮定のキャプチャ、承認、結果のクロージャ)を統括する。
異種エージェント制御プレーンと開示バウンダリ評価プロトコルの参照実装を用いてモデルについて検討する。
論文 参考訳（メタデータ） (2026-06-02T18:10:35Z) - The Authorization-Execution Gap Is a Major Safety and Security Problem in Open-World Agents [111.54911637435269]
オーソライゼーション・実行ギャップ(英: Authorization-Execution Gap、AEG)は、オープンワールドエージェントの安全性とセキュリティの問題である。
AEGは、プリンシパルが認可しようとするものと、オープンワールドエージェントが最終的に実行するものとの違いである。
論文 参考訳（メタデータ） (2026-05-10T04:05:31Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。