論文の概要: AgentCap: Capability-Based Runtime Authorization for Secure LLM Agent Execution
- arxiv url: http://arxiv.org/abs/2611.00729v1
- Date: Sat, 31 Oct 2026 08:13:11 GMT
- ステータス: 情報取得中
- システム内更新日: 2026-11-03 19:58:59.246333
- Title: AgentCap: Capability-Based Runtime Authorization for Secure LLM Agent Execution
- Title（参考訳）: AgentCap: セキュアなLLMエージェント実行のためのキャパビリティベースのランタイム認証
- Abstract要約: 言語モデルエージェントは、セキュリティシステムが分離する2つの決定を崩壊させる。
我々は、この決定をモデルから外部化し、MPPラッパーを通じてすべてのツール呼び出しを仲介するランタイム認可層であるAgentCapを紹介します。
AgentCapは、評価されたモデルベンチマーク設定ごとに攻撃成功を減らし、両方のベンチマークでGPT-5.4で攻撃成功をゼロにする。
- 参考スコア（独自算出の注目度）: 6.255932418151384
- License:
- Abstract: Language-model agents commonly collapse two decisions that security systems separate: selecting an action and determining whether that action is authorized. When a model exercises standing authority, indirect prompt injection can convert influence over its reasoning into unauthorized effects. We present AgentCap, a runtime authorization layer that externalizes this decision from the model and mediates every tool invocation through an MCP wrapper. Each request declares an intent, and AgentCap evaluates policy constraints over trust, workflow prerequisites, mutually exclusive authority, and the provenance of security-sensitive arguments. Authorized requests receive short-lived, budget-bounded capability tokens that are validated at the tool boundary. Delegation is restricted to session-bound parent-child chains that preserve action and resource while budget and lifetime can only be attenuated, preventing authority from being expanded or reused across unrelated agent sessions. A declarative policy language provides a common representation for runtime enforcement and predeployment analysis. Across AgentDojo and InjecAgent, AgentCap reduces attack success in every evaluated model-benchmark setting, including zero attack success with GPT-5.4 on both benchmarks. Controlled adversarial scenarios further show that AgentCap blocks every attempted unauthorized execution (ASR 0%) while preserving all legitimate operations exercised. These results demonstrate that agent security requires authorization of model-proposed effects at the tool boundary, independently of the model's reasoning.
- Abstract（参考訳）: 言語モデルエージェントは通常、セキュリティシステムが分離する2つの決定を崩壊させる。
モデルが立位権限を行使する場合、間接的なインプロンプトインジェクションは、その推論に対する影響を無許可のエフェクトに変換することができる。
我々は、この決定をモデルから外部化し、MPPラッパーを通じてすべてのツール呼び出しを仲介するランタイム認可層であるAgentCapを紹介します。
それぞれのリクエストは意図を宣言し、AgentCapは信頼、ワークフローの前提条件、相互排他的な権限、およびセキュリティに敏感な議論の証明に対するポリシーの制約を評価する。
認証されたリクエストは、ツール境界で検証される、短命で予算に縛られた機能トークンを受け取る。
委譲は、アクションとリソースを保持するセッションバウンドの親子チェーンに制限されるが、予算と寿命は減らされ、権限が無関係なエージェントセッションにまたがって拡張または再利用されるのを防ぐ。
宣言型ポリシー言語は、実行時実行と事前デプロイ分析のための共通の表現を提供する。
AgentDojoとInjecAgent全体で、AgentCapは評価されたモデルベンチマーク設定毎に攻撃成功を減らし、両方のベンチマークでGPT-5.4で攻撃成功をゼロにする。
制御された敵のシナリオはさらに、AgentCapが未承認の実行(ASR 0%)をブロックし、実行されたすべての正当な操作を保存していることを示している。
これらの結果から,エージェントのセキュリティには,モデル推論とは無関係に,ツール境界におけるモデル提案効果の承認が必要であることが示唆された。
関連論文リスト
- Proof-Carrying Contracts: Commitments AI Agents Cannot Break [55.47411235954028]
本稿では,エージェントのシステムとのインタラクションを通じて,合意された制約を強制可能なものにするためのフレームワークであるProof-Carrying Contracts (PC2)を紹介する。
要求された操作が実行される前に、エージェントは、そのモデルによって許されるすべてのケースにおいて、合意された制約を保存するためのマシンチェック可能な証明を提供する必要がある。
我々は、実行中、たとえ敵エージェントであっても、その制約が瞬時に保持されることを証明し、それが世界の安全を意味するかどうかを識別する。
論文 参考訳（メタデータ） (2026-10-20T16:30:34Z) - Kairos: Transactional Security Enforcement at the System Boundary for LLM Agents [10.493000314031077]
大規模言語モデル(LLM)エージェントは、ソフトウェア開発ライフサイクルの不可欠な部分になりつつある。
修正されていない不透明なエージェントの分離境界における参照モニタであるKairosを提示する。
どの情報源が信頼されているかを記述する宣言的政策は、ほとんどの効果を決定論的に決定し、残りを無視し、エージェントが投機的に継続する間に保持される。
論文 参考訳（メタデータ） (2026-10-13T14:24:26Z) - KedgeFlow: A Programmable Control Plane for Enterprise AI Agents [2.124730017640531]
KedgeFlowは、状態変更操作を認可する信頼できるコントローラのための言語に依存しない契約を指定する。
OpenFlowにインスパイアされたOpenFlowは、エビデンスによってサポートされているポリシーチェックと、正確なアクションの署名された許可を接続する。
参照実装は、モデルコンテキストプロトコルを介してエージェントシステムにこの実行パスを公開する。
論文 参考訳（メタデータ） (2026-10-10T11:01:36Z) - Trust propagation and structural containment in Multi-agent LLM pipelines [0.9274656542624661]
本研究では,4エージェントLangGraphパイプラインにおける攻撃伝搬について検討する。
検索した文書に埋め込まれた偽書による共有メモリ中毒と間接的プロンプト注入について検討した。
我々の貢献は、攻撃伝播、認証境界のコンポーネントレベルのアブレーション、および最終行動ではなく攻撃エージェントに対する妥協度を測定するJBR(Judgment Bypass Rate)に関する実証的研究である。
論文 参考訳（メタデータ） (2026-09-15T15:46:01Z) - ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - PhyAgentOS: A Self-Evolving Operating System for Embodied Agents with Decoupled Cognitive Planning and Physical Execution [49.776611937968]
我々は、スケジューリング、検証、メモリ、ベンチマーク、安全性をシステムレベルのサービスとして提供するPhyAgentOSを紹介します。
セッション中心のセッションは、スケジューリング、互換性、監督された実行、エビデンス収集、受け入れの最小単位として、アクションではなくセッションを扱う。
SessionVerifierは、実行終了とセマンティックタスク完了を、成功、失敗、または再計画のエビデンスに基づいて判断する。
ベンチマークはデプロイメントセッションと検証パスを再利用するので、結果は実際の実行に遡る。
論文 参考訳（メタデータ） (2026-07-18T04:46:53Z) - The Meta-Agent Challenge: Are Current Agents Capable of Autonomous Agent Development? [80.24951682268332]
本稿では,自律エージェント開発のためのフロンティアモデルのキャパシティをテストするための評価フレームワークであるMeta-Agent Challenge(MAC)を紹介する。
評価の整合性を確保するため、このフレームワークは報奨ハッキングに対する多層防御によって確保される。
メタエージェントは人間工学的な基本方針とほとんど一致せず、その一部はプロプライエタリなフロンティアモデルに支配されている。
論文 参考訳（メタデータ） (2026-06-03T04:58:17Z) - Before the Tool Call: Deterministic Pre-Action Authorization for Autonomous AI Agents [0.0]
Open Agent Passport (OAP)は、実行前にツール呼び出しを同期的にインターセプトするオープン仕様とリファレンス実装である。
OAPは、53ms(N=1,000)の中央値で認可決定を強制する
セキュリティ制約を強制するのと同じインフラストラクチャでは,品質ゲートや運用契約,コンプライアンスコントロールも実施されている。
論文 参考訳（メタデータ） (2026-03-21T21:34:09Z) - CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。
本稿では,選択防衛フレームワークCausalArmorを提案する。
AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
論文 参考訳（メタデータ） (2026-02-08T11:34:08Z) - Faramesh: A Protocol-Agnostic Execution Control Plane for Autonomous Agent Systems [0.0]
Farameshはプロトコルに依存しない実行制御プレーンで、エージェント駆動アクションの実行時間認証を強制する。
これらのプリミティブが自律的な実行に対して、強制可能で予測可能なガバナンスを実現する方法を示します。
論文 参考訳（メタデータ） (2026-01-25T08:27:27Z) - Progent: Programmable Privilege Control for LLM Agents [46.31581986508561]
本稿では,大規模言語モデルエージェントをセキュアにするための最初の特権制御フレームワークであるProgentを紹介する。
Progentは、潜在的に悪意のあるものをブロックしながら、ユーザタスクに必要なツールコールの実行をエージェントに制限することで、ツールレベルでのセキュリティを強化する。
モジュール設計のおかげで、Progentの統合はエージェント内部を変更せず、既存のエージェントの実装に最小限の変更しか必要としません。
論文 参考訳（メタデータ） (2025-04-16T01:58:40Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。