論文の概要: Tracekit Box: Running AI Agents in Micro-VMs Where Every Way Out Is Decided and Signed
- arxiv url: http://arxiv.org/abs/2610.38458v1
- Date: Wed, 28 Oct 2026 08:36:22 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-11-01 01:32:09.978024
- Title: Tracekit Box: Running AI Agents in Micro-VMs Where Every Way Out Is Decided and Signed
- Title（参考訳）: マイクロVMでAIエージェントを実行するTracekit Box
- Abstract要約: Tracekit Boxはオープンソースシステム(MIT, v0)である。
各ジョブは、ネットワークカードのない独自のFirecrackerマイクロVMで動作する。
すべてのドアで、トレーキットのシグナーは、エージェントが何を通過するかを決定できず、ボックスごとに1ランに署名する。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: AI agents now install packages, call model APIs with their operators' keys and change code in repositories that deploy to production. The network, credentials and write access they need are also how they can leak data, steal a key or change a system nobody approved. Sandboxes contain an agent but leave little evidence of what crossed their boundary; tracing records what happened but contains nothing. We present Tracekit Box, an open-source system (MIT, v0) that does both. Each job runs in its own Firecracker micro-VM with no network card. The only ways out are doors on the host, served over vsock: commands, outbound connections, secrets, model calls and the workspace patch. At every door a Tracekit signer the agent cannot reach decides what passes and signs it into one run per box. Names are resolved on the host; private and cloud-metadata addresses are always refused; secrets never enter the VM, which sees placeholders the host proxy swaps for real values only in one header for bound hosts; and changes come back as a patch applied file by file after the signer decides each file. Box fails closed, and each job ends as a .tkb bundle anyone can verify offline. All 13 end-to-end checks pass on a real KVM runner (the test that runs them takes 28.5 s, including image pull and boot); 15 fuzz targets on the trust boundary produced nine findings, all fixed; and the demo run's 102 signed records verify. Box does not yet run Firecracker's jailer, needs a co-located signer, and records processes inside the VM only where they cross a door.
- Abstract（参考訳）: AIエージェントはパッケージをインストールし、オペレーターのキーでモデルAPIを呼び、本番環境にデプロイするリポジトリでコードを変更する。
必要なネットワーク、資格情報、書き込みアクセスは、データを漏洩したり、鍵を盗んだり、承認されていないシステムを変更したりする方法でもある。
サンドボックスにはエージェントが含まれているが、境界を越えたものの証拠はほとんど残っていない。
オープンソースシステム(MIT, v0)であるTracekit Boxを紹介します。
各ジョブは、ネットワークカードのない独自のFirecrackerマイクロVMで動作する。
コマンド、アウトバウンド接続、シークレット、モデル呼び出し、ワークスペースパッチ。
すべてのドアで、トレーキットのシグナーは、エージェントが何を通過するかを決定できず、ボックスごとに1ランに署名する。
プライベートとクラウドのMetadataアドレスは常に拒否され、シークレットがVMに入ることはなく、プレースホルダーがホストプロキシをバウンドホストの1つのヘッダでのみ実際の値にスワップし、シグナーが各ファイルを決定すると、ファイルによってパッチ適用ファイルとして変更が返される。
Boxはクローズし、各ジョブは .NET として終了する。
tkbバンドル 誰でもオフラインで確認できます。
13のエンドツーエンドチェックはすべて、実際のKVMランナー(イメージプルとブートを含む28.5秒のテスト)をパスし、信頼境界上の15のファズターゲットが9つの発見を生成し、すべて修正され、デモランの102の署名されたレコードが検証された。
BoxはまだFirecrackerのjailerを実行せず、同じ位置にあるシグナを必要とし、ドアを横切るだけでVM内のプロセスを記録する。
関連論文リスト
- NovaFabric: A Black-Box Recorder for AI Agents with Sealed, Replayable, Diffable and Auditable Runs [0.0]
この記事では、AIエージェントのためのオープンソースのレコーダーであるNovaFabricについて説明する。
ランニングを封印され、再生可能、拡散可能、聴覚可能なエビデンスカプセルに変える。
このレポートは、動詞チェーンキャプチャ、シール、リプレイ、差分、監査の背後にあるアーキテクチャとエンジンをカバーしている。
論文 参考訳（メタデータ） (2026-10-25T21:51:37Z) - Model-as-a-Trojan: Self-Activating Covert DNS Exfiltration Baked Into the Weights of an LLM Agent [0.0]
本稿は,サンドボックスがモデルにできることを全て含んでいるという仮定が,盲点を持つことを実証する。
オープンウェイト LLM を微調整し、単一のカバート動作がパラメータ内に存在するようにします。
チャネルはDNSであるため、攻撃は名前解決以上のインターネットエグレスのないコンテナ内から完了する。
論文 参考訳（メタデータ） (2026-10-15T19:26:27Z) - Names Are Not Objects: Object-Bound Confinement for Compromised AI Coding Agents [0.0]
我々はZTAC(Zero-Truth-Trust Agent Cells)を紹介する。
セルは、ブローカーへの唯一のルートがソケットであるカーネルサンドボックスでエージェントを実行する。
ZTACは46件の良心的操作のうち43件を完了し、8件の承認プロンプト、7件の承認プロンプトが4件ある。
論文 参考訳（メタデータ） (2026-10-10T02:38:11Z) - PyCache Trap: The Inspection-Execution Gap in Agent Skill Scanners [58.177252305216314]
PyCache Trapは、ローダが受け入れた代用キャッシュと良質なソースをペアリングし、タスク関連呼び出しに接続する。
本研究では,検査済みのインストラクション,スクリプト,インポート,実行時のアーティファクトを型付き実行グラフで接続するための実行対応検証(EAV)を提案する。
論文 参考訳（メタデータ） (2026-10-07T07:10:11Z) - MemMux: Runtime Verification and Honest Resource Attribution for Fleets of Parallel Coding Agents [0.0]
標準ツールでは、どのエージェントに属しているかは定かでない。
MemMuxはリソース管理をチェック可能な信号に変換する。
MemMuxはゼロスワップで艦隊を予算(7.5ギB)に維持する。
論文 参考訳（メタデータ） (2026-10-05T18:56:34Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - Tencent WorkBuddy Bench: A Multi-Domain Coding-Agent Benchmark with Contamination-Resistant Task Construction [57.138342889101345]
Tencent WorkBuddy Benchは、コーディングエージェントのためのマルチドメイン評価スイートである。
本報告では, 設計手法, スコアリングプロトコル, クロスモデルリーダーボードについて述べる。
論文 参考訳（メタデータ） (2026-07-23T04:34:06Z) - When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents [55.87577638514179]
我々は、リモートのブラックボックスが1つのメールペイロードを送信し、エージェントに有毒なメモリを誘導しなければならない、ステルスメモリインジェクションとして脅威を調査する。
我々は,ワンショットペイロード生成フレームワークであるMemGhostを提案する。
56のテストケースで、MemGhostはGPT-5.4でOpenClawで87.5%、Sonnet 4.6でClaude Code SDKで71.4%を達成している。
論文 参考訳（メタデータ） (2026-07-06T15:08:58Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - The Proxy Knows Too Much: Sealing LLM API Routers with Attested TEEs [14.19502587458358]
AEGISは、クライアントが認証した忠実なパススルーである、プロバイダ透過型のAPIルータである。
4つの悪質なルータ攻撃クラスが、プレーンテキストアクセスベースラインに対して成功することを示す。
信頼されたパスは851ドルのラインで、コンバージョンなしで3つのプロバイダネイティブAPIを持ち、実際のワークロードとタイプミスですべてのリクエストを完了します。
論文 参考訳（メタデータ） (2026-06-15T07:55:13Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。