論文の概要: Connection Escrow: Holding AI-Agent Pod Egress in the Kernel Until an Isolated Verifier Rules

• arxiv url: http://arxiv.org/abs/2610.26501v1
• Date: Mon, 19 Oct 2026 14:36:05 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-23 02:55:31.036987
• Title: Connection Escrow: Holding AI-Agent Pod Egress in the Kernel Until an Isolated Verifier Rules
• Title（参考訳）: Connection Escrow: 独立した検証ルールまで、カーネルにAI-Agent Pod Egressを保持する
• Abstract要約: コンテナ内のAIエージェントは、ネットワーク接続をオープンすることで動作し、それらを駆動するテキストは敵対的になる可能性がある。 制御されたポッドからのアウトバウンドTCP接続は、任意のパケットが存在する前に、ポッドのcgroup上の98命令のeBPFプログラムによってカーネルのconnect()パス内に駐車される。 ノードインターセプターは保持されているソケットをカーネルソケットクッキー、プロセス、実行可能ダイジェスト、cgroup、ポッドのアイデンティティに属性付け、エージェントが記述した最初のバイトを駐車し、検証を独自のキーでコンテナに要求する。 接続は署名付き判決名だけで解放される
• 参考スコア（独自算出の注目度）: 0.0
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: AI agents in containers act by opening network connections, and the text that drives them can be hostile. Controls placed between the agent and its tools are bypassed by a child process or a direct socket, and their approval is not tied to the connection the kernel later opens. We present connection escrow: every outbound TCP connection from a supervised pod is parked inside the kernel's connect() path, before any packet exists, by a 98-instruction eBPF program on the pod's cgroup. A node interceptor attributes the held socket to its kernel socket cookie, process, executable digest, cgroup and pod identity, parks the first bytes the agent writes, and asks a verifier in a separate container with its own key. The connection is released only on a signed verdict naming that one socket cookie and destination, unexpired and unused; no verdict by the deadline resets it, and a late approval is refused. The agent is unmodified. A 36-check adversarial suite with real cgroups passes on the eBPF hold point (33 of the checks also apply, and pass, on an iptables hold point): refused connections never reach the destination; forged, rebound, replayed, expired and late verdicts are refused; the agent's attempt to reach the verifier is itself escrowed; child-process and renamed-binary bypasses fail; UDP is pinned to the resolver. On a Kubernetes cluster, unmodified pods are held per connection and attributed to their SPIFFE identity, a raw socket that bypasses a sidecar proxy is held, and 600 connections from six pods are gated. The hold adds 4.5 ms median per released connection, of which 24 us is policy. Finally, we gate on request content without terminating TLS: an eBPF uprobe reads the plaintext at the agent's TLS-library boundary (shared OpenSSL, static OpenSSL, Go crypto/tls), a model scores it, and the connection is held on that verdict while TLS stays end-to-end and the enforcer holds no key.
• Abstract（参考訳）: コンテナ内のAIエージェントは、ネットワーク接続をオープンすることで動作し、それらを駆動するテキストは敵対的になる可能性がある。 エージェントとそのツールの間に置かれるコントロールは、子プロセスまたは直接ソケットによってバイパスされる。 制御されたポッドからのアウトバウンドTCP接続は、任意のパケットが存在する前に、ポッドのcgroup上の98命令のeBPFプログラムによってカーネルのconnect()パス内に駐車される。 ノードインターセプターは保持されているソケットをカーネルソケットクッキー、プロセス、実行可能ダイジェスト、cgroup、ポッドのアイデンティティに属性付け、エージェントが記述した最初のバイトを駐車し、検証を独自のキーでコンテナに要求する。 接続は、1つのソケットクッキーと宛先が未使用で未使用である、という署名付き判決でのみ解放される。 エージェントは変更されていません。 実際のcgroupを持つ36のチェック対向スイートは、eBPFホールドポイントを通過する(チェックの33は、iptablesホールドポイントに適用される)。 拒否された接続は、決して目的地に到達せず、偽造、リバウンド、リプレイ、期限切れ、そして遅れた判定は拒否され、検証者に到達するエージェントの試みは、それ自体がエスカレーションされ、子プロセスと改名されたバイナリバイパスは失敗し、UDPはリゾルバにピン留めされる。 Kubernetesクラスタでは、修正されていないポッドがコネクション毎に保持され、SPIFFEアイデンティティに関連付けられ、サイドカープロキシをバイパスする生ソケットが保持され、6つのポッドからの600接続がゲートされる。 このホールドは、リリースされた接続毎に4.5msの中央値を追加し、うち24はポリシーである。 最後に、TLSを終了させることなく要求内容をゲートする: eBPF uprobeはエージェントのTLS-library境界(OpenSSL、静的OpenSSL、Gocrypt/tls)でプレーンテキストを読み取る。

関連論文リスト

• AgentLoupe: Kernel-Resident Semantic Causal Labels for AI Agent Observability [14.471558061788464]
  AgentLoupeはアプリケーション透過型のeBPFベースの可観測性ツールである。 本稿では,アプリケーション透過型eBPFベースの可観測性ツールであるAgentLoupeを紹介する。
  論文  参考訳（メタデータ） (2026-10-16T10:01:50Z)
• API Secrets Should Never Become Tokens in the LLM's Vocabulary: A Threat Analysis of API Credential Handling in LLM Agent Systems and an Empirical Evaluation of a Vault-Mediated Execution Boundary [0.7611870296994722]
  本稿では,エージェントシステムにおけるクレデンシャル・エクスポージャー・脅威連鎖を定式化する。 モデルがコネクタを選択し、信頼された要求境界が認証を提供する。 我々は,2つのブラックボックス実験において,Corvic Security Vaultという製品の実装を評価した。
  論文  参考訳（メタデータ） (2026-09-27T08:55:16Z)
• AgentXploit: Autonomous Repository-to-Runtime Red-Teaming for AI Agents [44.02819189078546]
  AgentXploitは,リポジトリレベルのアタックパス発見とランタイムのエクスプロイトを分離する2つのロール監査システムである。 3回のレースで、AgentXploitは59.3%のエンド・ツー・エンドで成功し、Codexは38.4%だった。 これらの結果は、エンドツーエンドのエージェントセキュリティ監査における個別の課題として、リポジトリの発見とランタイムのエクスプロイトを強調している。
  論文  参考訳（メタデータ） (2026-09-25T14:26:04Z)
• When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents [55.87577638514179]
  我々は、リモートのブラックボックスが1つのメールペイロードを送信し、エージェントに有毒なメモリを誘導しなければならない、ステルスメモリインジェクションとして脅威を調査する。 我々は,ワンショットペイロード生成フレームワークであるMemGhostを提案する。 56のテストケースで、MemGhostはGPT-5.4でOpenClawで87.5%、Sonnet 4.6でClaude Code SDKで71.4%を達成している。
  論文  参考訳（メタデータ） (2026-07-06T15:08:58Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Same-Origin Policy for Agentic Browsers [44.11414121871524]
  エージェントブラウザは、自動AIエージェントをWebブラウザに統合し、自然言語でWebタスクを実行できる。 同じオリジンポリシー(SOP)は、スクリプトによって誘導される不正なクロスオリジンデータフローを防ぐ基本的なブラウザセキュリティメカニズムである。 エージェントブラウザに適したSOP強制機構であるSOPGuardを提案する。
  論文  参考訳（メタデータ） (2026-06-12T02:01:38Z)
• FIDEM: A Standard-Compliant Framework for Secure Binding of MUD Profiles to IoT Devices [90.91375734523943]
  FIDEMは、DHCPベースのMUDURL発行を保証するための標準準拠のフレームワークである。 これはZero-Knowledge-Proof認証を利用することで、IoTデバイスとそのMUDプロファイル間の暗号化バインディングを提供する。
  論文  参考訳（メタデータ） (2026-05-28T09:16:50Z)
• Heartbeat-Bound Hierarchical Credentials: Cryptographic Revocation for AI Agent Swarms [0.0]
  既存のクレデンシャルリコール機構であるOAuth2.0イントロスペクション、OCSP、W3Cステータスリストは、中央機関へのネットワーク接続を必要とする。 本稿では,HBHC(Heartbeat-Bound Hierarchical Credentials)について述べる。
  論文  参考訳（メタデータ） (2026-05-20T05:03:03Z)
• CapSeal: Capability-Sealed Secret Mediation for Secure Agent Execution [1.9473631530390483]
  CapSealは、ダイレクトシークレットアクセスをローカルの信頼できるブローカによる制約付き呼び出しに置き換える、機能封入のシークレット仲介アーキテクチャである。 我々は、MPP対応アダプタと統合されたRustプロトタイプについて、非開示、制約された使用、リプレイ抵抗、監査可能性のための条件付きセキュリティ目標を定式化した。
  論文  参考訳（メタデータ） (2026-04-18T00:23:32Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。