論文の概要: Ring-0 by Default: Agents as Operating Systems (AaOS)

• arxiv url: http://arxiv.org/abs/2610.33753v1
• Date: Sat, 24 Oct 2026 15:51:23 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-27 22:27:13.436567
• Title: Ring-0 by Default: Agents as Operating Systems (AaOS)
• Title（参考訳）: Ring-0 byault: Agents as Operating Systems (AaOS)
• Abstract要約: LLMエージェントはファイルを読み書きし、プロセスとサブエージェントを起動し、ネットワークコンテンツをフェッチし、サードパーティ拡張をロードし、状態を保存および再開する。 デプロイされたエージェントは、すでにオペレーティングシステム(AaOS)のようなもので、それをひとつのものとして分析している、と私たちは主張する。
• 参考スコア（独自算出の注目度）: 9.273914489590227
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: LLM agents now read and write files, start processes and subagents, fetch network content, load third-party extensions, and save and resume state, which are the responsibilities of an operating system. They gained these functions within about three years, but not the protections that operating systems built over five decades: whatever the model outputs, whether it follows the user, a tool result, or a downloaded skill, runs with the full authority of the host user, in effect at ring 0. Prior work builds an operating system for agents (OS4A); we argue that a deployed agent already is like an operating system (AaOS) and analyze it as one. Taking the mechanisms of standard OS textbooks as a checklist, we map 116 mechanisms in 19 subsystems to their agent counterparts, from product documentation, source code, and the literature, and label each as isomorphic, degraded (function present, protection dependent on the model), missing, mutated, or novel. Only 11 are isomorphic and 65 are missing, most of them protections: privilege separation, resource quotas, transactions, and tamper-proof audit. Existing defenses confine the whole agent or review its extensions and leave this interior unprotected, and by Anderson's reference-monitor criteria (non-bypassable, tamper-proof, verifiable), rules written in the prompt satisfy none. We test the map with thirteen experiments on Claude Code, Codex CLI, and Gemini CLI, covering 25 mechanisms whose enforcement documentation cannot settle: 16 match the analysis, 7 gain a more precise description, and 2 change verdict. Checks sit in single tools, so the shell bypasses them; all three CLIs load forged transcript records on resume; and task control, sub-agent permissions, and model-based monitors are weak. We identify five problems for which no OS defense transfers and derive a prioritized list of open problems from the gaps of the map.
• Abstract（参考訳）: LLMエージェントはファイルを読み書きし、プロセスとサブエージェントを起動し、ネットワークコンテンツをフェッチし、サードパーティ拡張をロードし、オペレーティングシステムの責務である状態を保存および再開する。 およそ3年以内にこれらの機能が得られたが、50年以上にわたってOSが構築した保護機能ではない。 エージェントのためのOS(OS4A)を構築する以前の作業では、デプロイされたエージェントは、すでにオペレーティングシステム(AaOS)のようなものであり、それをひとつのものとして分析している、と私たちは主張しています。 標準OS教科書のメカニズムをチェックリストとして、製品ドキュメント、ソースコード、文献から19のサブシステムに116のメカニズムをマッピングします。 11のみが同型で65が欠落しており、特権分離、リソースクォータ、トランザクション、改ざん防止監査などの保護がほとんどである。 既存の防衛は、エージェント全体を監禁するか、その拡張を見直して、この内部を無防備にし、アンダーソンの参照監視基準(無防備で、無防備で、検証可能な)によって、プロンプトで書かれた規則は、何も満たさない。 我々は、Claude Code、Codex CLI、Gemini CLIの13の実験でマップをテストし、強制的なドキュメントが解決できない25のメカニズムをカバーした。 チェックは単一のツールに置かれているので、シェルをバイパスする。3つのCLIはすべて、履歴書に偽の書き起こしレコードを読み込む。 我々は,OSのディフェンスが転送されない5つの問題を特定し,地図のギャップから優先順位付けされたオープン問題のリストを導出する。

関連論文リスト

• SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
  コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。 操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。 SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
  論文  参考訳（メタデータ） (2026-08-31T03:39:43Z)
• Claude Code Complete User Handbook [0.0]
  Claude Codeは、未検証アクセス、シェル実行、ブラウザ制御、スケジュールおよびクラウド実行を備えたループで動作する言語モデルである。 この本は、そのシステムを安全かつ生産的に運用するためのタスク指向の参照である。
  論文  参考訳（メタデータ） (2026-08-27T07:32:14Z)
• Formal Verification of Agentic Systems over Operational Data [59.98246281888422]
  大規模言語モデル(LLM)によって駆動されるエージェントシステムは、永続的な運用データを扱う現実世界にますます展開されている。 既存のアプローチはそのようなシステムレベルの保証を提供していません。 本稿では, 1 つの LLM とツールオーケストレーションハーネスからなるエージェントシステムのリレーショナル操作データに対する検証について述べる。
  論文  参考訳（メタデータ） (2026-08-04T13:01:30Z)
• The Balkanization of Execution-Security Research for AI Coding Agents: Isolation, Access Control, and Time-of-Check-to-Time-of-Use Vulnerabilities [0.0]
  サンドボックスアイソレーション、機能とアクセス制御、ポリシー施行、TOCTOU(Time-of-check-to-time-of-use)レース、モデルコンテキストプロトコル(MCP)脅威、アイデンティティデリゲート、実行証明、ネットワークエクスプレス制御、エージェント生成コードの静的解析は独立して公開され、ほとんど引用されない。 我々は2023年から2026年にかけて発行された39の論文を17のカテゴリに分類し、それぞれがソースに対して直接検証した。 カテゴリをまたいで読むと、5つの横断的なギャップが表面化します。
  論文  参考訳（メタデータ） (2026-07-07T01:56:18Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• One Goal, Many Commands: Characterizing Denylist Fragility in AI Agents [8.5338788749266]
  端末AIエージェントはホストシステムと対話するためにシェルコマンドの実行に大きく依存する。 開発者がよく管理しているClaude Codeのビルトイン否定リストは、その有効性を無効にするコマンドをバイパスすることができる。 本稿では、端末AIエージェントにおけるコマンドデファクトリストの脆弱性を初めて体系的に評価する。
  論文  参考訳（メタデータ） (2026-06-14T02:30:09Z)
• Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
  我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。 LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。 emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
  論文  参考訳（メタデータ） (2026-05-16T12:53:31Z)
• Agent-Sentry: Bounding LLM Agents via Execution Provenance [4.306721924522171]
  自然言語命令に基づく新しい機能を自律的に生成するエージェントコンピューティングシステムは、ますます普及しつつある。 非常に有能だが、これらのシステムは深刻なセキュリティ、プライバシー、安全上の懸念を提起する。 本稿では,エージェントシステムにこの問題に対処するためのフレームワークであるAgent-Sentryを提案する。
  論文  参考訳（メタデータ） (2026-03-24T07:12:53Z)
• OS-Harm: A Benchmark for Measuring Safety of Computer Use Agents [60.78202583483591]
  コンピュータ使用エージェントの安全性を計測する新しいベンチマークであるOS-Harmを紹介する。 OS-HarmはOSWorld環境上に構築されており、故意のユーザ誤用、インジェクション攻撃、モデル誤動作の3つのカテゴリでモデルをテストすることを目指している。 我々は、フロンティアモデルに基づいてコンピュータ利用エージェントを評価し、その安全性に関する洞察を提供する。
  論文  参考訳（メタデータ） (2025-06-17T17:59:31Z)
• MIP against Agent: Malicious Image Patches Hijacking Multimodal OS Agents [60.92962583528122]
  オペレーティングシステム(OS)エージェントの最近の進歩により、視覚言語モデル(VLM)がユーザのコンピュータを直接制御できるようになった。 これらのOSエージェントに対する新たなアタックベクターを発見した:MIP(Malicious Image Patches) MIPは、OSエージェントにキャプチャされたとき、特定のAPIを活用することで有害なアクションを誘導する画面領域を逆向きに乱した。
  論文  参考訳（メタデータ） (2025-03-13T18:59:12Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。