論文の概要: Local Allow, Global Deny: Why Per-Action Authorization Does Not Compose in LLM Agents

• arxiv url: http://arxiv.org/abs/2610.27620v1
• Date: Tue, 20 Oct 2026 04:35:39 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-21 21:58:47.63556
• Title: Local Allow, Global Deny: Why Per-Action Authorization Does Not Compose in LLM Agents
• Title（参考訳）: ローカライズ、グローバル・デニー: LLMのエージェントにパーアクション・オーソライゼーションが組み込まれていない理由
• Abstract要約: ローカルな認証がグローバルな認証に含まれていないことを示す。 CAFは2つの軸に沿った表現性(シングルトレース安全性とリレーショナルk安全性)と可観測性(observability)を特徴付ける。 関係目的の違反は、トラス毎の責任を負わない2-safety hyperpropertyを形成します。
• 参考スコア（独自算出の注目度）: 15.487510294696392
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Autonomous LLM agents act through tools under per-action authorization: a local guard screens each tool call in isolation. We show that local authorization does not compose into global authorization. A compositional authorization failure (CAF) is a locally authorized execution, or a pair of locally authorized executions, that violates a global policy spanning intent, purpose, provenance, consent, and delegation. We characterize CAFs along two axes, expressiveness (single-trace safety versus relational k-safety) and observability (a ladder of monitor profiles). Our central result is an impossibility: relational purpose violations form a 2-safety hyperproperty with no per-trace locus of blame, so a per-action monitor that never raises a false alarm detects none of them, independent of the underlying model or decision procedure; they become visible only under cross-execution monitoring, which none of the six guardrails we survey implements. We make this constructive with AL-SYNTH, a SAT/SMT synthesizer (using no language model) that emits minimal CAF witnesses, each checked against an exhaustive oracle. The empirical signature is sharp: across nine LLM judges the per-action view approves the synthesized witness almost without exception, blocking it at a rate comparable to a benign control, yet the same models flag it when shown the two executions together. Per-action authorization is therefore structurally insufficient for relational policy conjuncts not reducible to single-trace safety: to bound them, a monitor must compare executions or accept false alarms.
• Abstract（参考訳）: ローカルガードは、各ツールコールを独立してスクリーニングする。 ローカルな認証がグローバルな認証に含まれていないことを示す。 コンポジション認証失敗(CAF)とは、目的、目的、証明、同意、委任を対象とするグローバルな政策に違反した、局所的に認可された実行(または一対の局所的に認可された実行)である。 CAFは2つの軸に沿った表現性(シングルトレース安全性とリレーショナルk安全性)と可観測性(モニタープロファイルのはしご)を特徴付ける。 リレーショナルな目的違反は、トラス毎の非難の軌跡のない2-セーフティなハイパープロパティを形成するため、偽のアラームを起こさないアクションモニターは、基礎となるモデルや決定手順とは独立して、そのどれも検出しない。 我々は、SAT/SMTシンセサイザーであるAL-SYNTHを用いて構築し、最小限のCAF目撃者を出力する(言語モデルを使用しない)。 経験的署名は鋭い: 9つのLCMの判断で、アクションごとのビューは、ほとんど例外なく、合成された目撃者を承認し、良心的な制御に匹敵する速度でそれをブロックするが、2つの実行を一緒に表示するときに同じモデルがそれをフラグ付けする。 したがって、リレーショナルポリシーの接続が単一トレースの安全性に還元できないために構造的に不十分である:それらを束縛するためには、モニターは実行を比較したり、誤報を受け入れる必要がある。

関連論文リスト

• SpanGuard: Decoupling Instruction Localization from Authorization for Lightweight IPI Defense [56.72512373532936]
  我々は,攻撃に依存しない位置決めを行う軽量IPIガードレールを設計し,ブロックレベルの認証判定を行う。 本手法は,強い防御性能を維持しつつ,ガードレールモデルに必要な性能を大幅に低下させる。
  論文  参考訳（メタデータ） (2026-10-19T08:36:20Z)
• Can LLM Agents Automate Reinforcement Learning for Text-to-Speech? [64.13250261774849]
  私たちは、共有ワークスペースの周りに、ヒューマンガイダンスとエージェント実行を構造化するコラボレーティブワークフローを構築します。 エージェントが何を自動化するかを測定するため、我々は公開レシピに対して段階的に軌道ステージを監査する。 以上の結果から, エージェントは不特定レシピを回収し, 改良し, 失速した場合には, 文献を調査し, LMキャリアからフローキャリアへピボットすることがわかった。
  論文  参考訳（メタデータ） (2026-10-03T12:44:09Z)
• Trust Is Not a Score: Runtime Assurance Contracts for High-Risk AI Agents [0.0]
  本稿では,ポリシーレベルの形式的スキーマバインディング境界,コンポーネントの適性,エビデンス状態,遷移ポリシ,ヒューマンレビュー能力,非補償ゲートを提案する。 調整された保証契約(RAC)の下では、ソフトメトリクスはルーティングを通知するが、失敗または未知の強制ゲートフォースはリトライ、スイッチ、エスカレーション、デフェラル、ストップを行う。
  論文  参考訳（メタデータ） (2026-09-30T13:28:42Z)
• Why LLM Agents Collapse Without Oversight: The Enforcement Gap as the Mechanism Behind Emergence World Failures [19.162716475205308]
  リフレクションスタイルのエージェントで監査フラグをバインドすると、監査官を変更することなく、攻撃の成功率が大幅に低下する。 実行確率から検出確率を分離する$p_d$$$p_e$は、すべてのフレームワークでデフォルトで$p_e approx 0$を確立する。
  論文  参考訳（メタデータ） (2026-09-14T09:46:59Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
  我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。 LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。 emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
  論文  参考訳（メタデータ） (2026-05-16T12:53:31Z)
• PRISM: : Planning and Reasoning with Intent in Simulated Embodied Environments [59.07829883257003]
  5つの集合住宅の上に建設され、PRISMは300の人間認証タスクを3つの能力レベルに構成する。 PRISMはエージェントに依存しない実行可能なアクションAPIを公開し、任意のエージェントをエンドツーエンドで評価できるようにする。
  論文  参考訳（メタデータ） (2026-05-12T04:59:47Z)
• The Authorization-Execution Gap Is a Major Safety and Security Problem in Open-World Agents [111.54911637435269]
  オーソライゼーション・実行ギャップ(英: Authorization-Execution Gap、AEG)は、オープンワールドエージェントの安全性とセキュリティの問題である。 AEGは、プリンシパルが認可しようとするものと、オープンワールドエージェントが最終的に実行するものとの違いである。
  論文  参考訳（メタデータ） (2026-05-10T04:05:31Z)
• Sovereign Agentic Loops: Decoupling AI Reasoning from Execution in Real-World Systems [2.124730017640531]
  Sovereign Agentic Loops (SAL) は、モデルが正当化された構造化意図を出力する制御プレーンアーキテクチャである。 SALは難読化膜を結合し、識別に敏感な状態へのモデルアクセスを制限し、監査性と再生のために暗号的にリンクされたEvidence Chainを結合する。 OpenKedgeのクラウドインフラストラクチャ用プロトタイプでは、SALはポリシー層における安全でない意図の93%をブロックし、一貫性チェックを通じて残りの7%を拒否し、12.4msの中央値レイテンシを追加した。
  論文  参考訳（メタデータ） (2026-04-24T00:56:55Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。