論文の概要: PHP2Shell and the Future of AI-Discovered Vulnerability Disclosure: Evidence, Verification, and Human Authority
- arxiv url: http://arxiv.org/abs/2610.36334v1
- Date: Mon, 26 Oct 2026 22:03:59 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-28 21:04:31.439984
- Title: PHP2Shell and the Future of AI-Discovered Vulnerability Disclosure: Evidence, Verification, and Human Authority
- Title（参考訳）: PHP2ShellとAIが発見する脆弱性の開示:証拠、検証、人事機関
- Abstract要約: FedTrust-CVDv2は、証拠検証、組織間調整、人事管理、認可監査を分離する、協調的な脆弱性開示フレームワークである。
PHP2Shellケースの定式化は、実行時エビデンス、パッチ状態、緊急調整、CNA権限が、AIに対するサポート対象の主張や、監査の完全性を脆弱性の真実として扱うことなく、どのように表現できるかを示している。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: AI-assisted vulnerability discovery can produce technically plausible findings faster than maintainers can validate, coordinate, and safely disclose them. The resulting challenge is not only to establish whether a vulnerability claim is credible, but also to ensure that its supporting evidence, human authorization, intended recipients, and applicable policy remain bound to the same case revision. We present FedTrust-CVDv2, a federated coordinated vulnerability disclosure framework that separates evidence validation, interorganizational coordination, human governance, and permissioned auditing. The framework binds independently signed observations to exact evidence revisions and scopes external actions to approved payloads, audiences, expiry, policy, and revocation state while preserving existing CVE Numbering Authority (CNA) roles. A local reference implementation accepted all 25 valid fixtures and rejected all 650 invalid fixtures across 27 constructed policy families; six single-safeguard ablations admitted 25-75 invalid fixtures. Supporting experiments exercised signed messaging, authenticated encryption, audit certificates, and finite quorum-set conditions. A PHP2Shell case formulation illustrates how runtime evidence, patch state, emergency coordination, and CNA authority can be represented without attributing unsupported claims to AI or treating audit integrity as vulnerability truth. This short version focuses on the architecture, evidence-to-action contract, selected conformance results, and case formulation. An expanded version containing the full implementation, extended experiments, operational analysis, and additional results will be submitted to a journal.
- Abstract（参考訳）: AIによる脆弱性発見は、メンテナが検証、コーディネートし、安全に開示できるよりも、技術的に妥当な発見を素早く得る。
結果として生じる課題は、脆弱性の主張が信頼できるかどうかを確立することだけでなく、その支持された証拠、人間の認可、意図された受取人、および適用可能なポリシーが、同じケースリビジョンに拘束されることを保証することである。
我々は,エビデンス検証,組織間調整,人事管理,許可監査を分離する,連携型脆弱性開示フレームワークであるFedTrust-CVDv2を提案する。
このフレームワークは、承認されたペイロード、オーディエンス、期限、ポリシー、取り消し状態に対して、既存のCVE番号局(CNA)の役割を保ちながら、正確な証拠の修正と、外部アクションのスコープに独立して署名された観察を結び付ける。
ローカルなリファレンス実装は25の有効なフィクスチャをすべて受け入れ、27の政策ファミリにまたがる650の無効フィクスチャをすべて拒絶した。
テストのサポートには、署名されたメッセージング、認証された暗号化、監査証明書、有限量子セット条件があった。
PHP2Shellケースの定式化は、実行時エビデンス、パッチ状態、緊急調整、CNA権限が、AIに対するサポート対象の主張や、監査の完全性を脆弱性の真実として扱うことなく、どのように表現できるかを示している。
この短いバージョンは、アーキテクチャ、エビデンス・ツー・アクションの契約、選択された適合結果、ケースの定式化に焦点を当てている。
完全な実装、拡張された実験、運用分析、追加の結果を含む拡張版がジャーナルに提出される予定だ。
関連論文リスト
- Watermarking: from Impossibility to Auditable Compliance [78.87513208320995]
EU人工知能法第50条(2)は、合成出力を機械可読かつ検出可能にするために、生成システムの提供者を要求する。
自由形式のテキストにとって、重要な実装の1つは、生成的な透かし処理の実装である。
本稿は、強い透かしに代わる聴覚的な代替品を開発する。
論文 参考訳（メタデータ） (2026-10-05T13:32:41Z) - Cognitive Admission Control: Risk-Conditioned Assurance for Consequential Actions in Agentic Distributed Systems [2.124730017640531]
エージェント分散システムでは、エージェントは外部のインフラを変更できるが、突然変異の実行準備が整っているという証拠は欠如している。
CAC(Cognitive Admission Control)は、この証拠を明示する。
ポリシーは、型付けされた行動とそのモデル化されたリスクを、述語、エビデンスクラス、スコープ、鮮度、証人セットの制約を指定する保証義務にマップする。
承認が成功すると、アクション、証人マニフェスト、ディスパッチタイムガードを結び付ける証明書が生成される。
論文 参考訳（メタデータ） (2026-09-14T20:20:54Z) - From Intent to Execution Grant: An Execution-Boundary Conformance Profile for High-Risk AI Actions [9.27474112226667]
EBL-Coreは、1つの標準的な、完全に実体化されたAI生成候補が、明示的な条件下でアクションスコープ実行権限を受け取ることができるかどうかを決定する。
拘束力、政策非監視、エビデンス処理、決定論的判断、検証、ライフサイクル行動の付与などである。
100回の試験で32回の同時再空輸試験が成功し、1回の試行で完全に1回成功し、テスト効果が保護された。
論文 参考訳（メタデータ） (2026-09-10T14:21:45Z) - Stored Is Not Supported: Typed Provenance and Assertion Guardrails for Persistent AI Agents [2.124730017640531]
永続AIエージェントは、リフレクション、検索、統合を通じて自伝的状態を構築する。
自伝的アサーション境界性に対する型付き前置詞とアサーションガードレールを指定する。
論文 参考訳（メタデータ） (2026-09-02T05:35:33Z) - Mechanizing Typed Regulatory Actions for Security Tokens: Semantics, Falsification, and Bounded EVM Evidence [9.32030540168344]
セキュリティ標準は、実行された法的効果や、それが持つ証拠やリバース義務を特定せずに、特権的なコントロールを公開します。
我々はIsabelle/HOLで、FREEZE、SEIZE、CONFISCATE、LIQUIDATE、RESTRICT、RECOVERの6つのERC-8319の参照実行セマンティクスを定式化する。
論文 参考訳（メタデータ） (2026-08-29T08:23:27Z) - AI Slop and Hallucinations in Vulnerability Assessment: A Survey on Reasoning Failures and Trustworthy Mitigation [48.55515767840701]
AIスロープ(AI slop)は、アーティファクト、幻覚的脆弱性、可視だが正しくないパッチ、セマンティックに再パッケージされたバグレポートである。
本稿では,実証的証拠を調査し,統一メカニズムを特定し,信頼に値するトリアージへの道筋をたどる。
論文 参考訳（メタデータ） (2026-08-26T11:48:38Z) - $Z^2$-ACT: End-to-End Verifiable Agentic Intent Control for Open 6G RAN [43.15181031994434]
本稿では,ゼロ知識監査制御とゼロ信頼検証エージェントインテントアーキテクチャを提案する。
実大規模言語モデルは、オペレータの意図をIntent Contractsに変換するために、非リアルタイムパスで使用される。
その結果、動作フィルタリングと攻撃レジリエンスを適度なレイテンシとシグナリングコストで改善したことが示唆された。
論文 参考訳（メタデータ） (2026-08-21T12:44:03Z) - Verifiable Agentic Infrastructure: Proof-Derived Authorization for Sovereign AI Systems [2.124730017640531]
構造化された人工物から実行権限を演算する制御された突然変異システムに対する検証フレームワークを提案する。
DTFは、エージェント実行を統治可能、監査可能、およびソブリンAIデプロイメントにバウンド化するためのインフラストラクチャ基盤を提供する。
論文 参考訳（メタデータ） (2026-05-13T17:58:52Z) - The Authorization-Execution Gap Is a Major Safety and Security Problem in Open-World Agents [111.54911637435269]
オーソライゼーション・実行ギャップ(英: Authorization-Execution Gap、AEG)は、オープンワールドエージェントの安全性とセキュリティの問題である。
AEGは、プリンシパルが認可しようとするものと、オープンワールドエージェントが最終的に実行するものとの違いである。
論文 参考訳（メタデータ） (2026-05-10T04:05:31Z) - Agents of Chaos [50.53354213047402]
実験室環境に展開する自律言語モデルを用いたエージェントの探索的再チームの研究を報告する。
20人のAI研究者が、良心的および敵対的な条件下でエージェントと対話した。
我々の発見は、現実的なデプロイメント設定におけるセキュリティ、プライバシ、ガバナンスに関連する脆弱性の存在を確立します。
論文 参考訳（メタデータ） (2026-02-23T16:28:48Z) - Preventing the Collapse of Peer Review Requires Verification-First AI [49.995126139461085]
我々は、真理結合、すなわち、過度に科学的真理をトラックする場所のスコアの厳密さを提案する。
プロキシ・ソブリン評価に向けた相転移を駆動する2つの力の形式化を行う。
論文 参考訳（メタデータ） (2026-01-23T17:17:32Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。