論文の概要: When Neither Side Confirms: Destructive Tool Approval Across MCP Servers and Hosts

• arxiv url: http://arxiv.org/abs/2611.02527v1
• Date: Mon, 02 Nov 2026 04:57:42 GMT
• ステータス: 情報取得中
• システム内更新日: 2026-11-03 19:16:27.101796
• Title: When Neither Side Confirms: Destructive Tool Approval Across MCP Servers and Hosts
• Title（参考訳）: どちらの側も確認していない: 破壊的なツールがMSPサーバとホストにまたがって承認される
• Abstract要約: LLMエージェントはデータを削除したり、Model Context Protocol (MCP)を通してお金を移動させるツールを呼び出します。 公式MPPレジストリの1,000リポジトリのサンプルでは、およそ90%の破壊ツールがサーバ側の確認をしていない。 41の人気のあるオープンソースホストとエージェントSDKのうち、32は、25のアプリケーションのうち16を含む、デフォルトでは承認ステップを持たない。
• 参考スコア（独自算出の注目度）: 1.9427492211424682
• License:
• Abstract: LLM agents call tools that delete data or move money through the Model Context Protocol (MCP). The specification asks for a human who can deny tool calls but splits the mechanism between the server, which can annotate a tool or ask the user through the host (elicitation), and the host application, which decides whether to prompt. We measure both sides from source code. In a 1,000-repository sample of the official MCP registry, an estimated 90% of destructive tools (95% CI 82-95) have no server-side confirmation, and most servers that elicit proceed, or fall back to a flag the model can set, when the host cannot relay the question. Of 41 popular open-source hosts and agent SDKs, 32 have no approval step by default, including 16 of 25 applications. Pairing sampled destructive tools flagged by a rule-based extractor with these applications, 60.7% of pairs have no enforced human approval by default. Through four agent SDKs, four of five low-cost models executed an injected deletion in 479 of 960 runs. If hosts prompted for every tool not annotated read-only or non-destructive, the unapproved share of these pairs would fall to 5.4%; universal elicitation support would leave 56.7%. Applications should therefore configure approval.
• Abstract（参考訳）: LLMエージェントはデータを削除したり、Model Context Protocol (MCP)を通じてお金を移動させるツールを呼び出します。 この仕様では、ツールコールを否定できるが、ツールに注釈を付けたり、ホストを通じてユーザを問うことができるサーバと、プロンプトを決定するホストアプリケーションの間にメカニズムを分割する人間を要求している。 ソースコードから両側を測定する。 公式MPPレジストリの1,000リポジトリのサンプルでは、およそ90%の破壊ツール(95% CI 82-95)がサーバ側の確認がなく、ホストが質問をリレーできない場合には、モデルが設定可能なフラグに転送またはフォールバックするほとんどのサーバが処理を行う。 41の人気のあるオープンソースホストとエージェントSDKのうち、32は、25のアプリケーションのうち16を含む、デフォルトでは承認ステップを持たない。 これらのアプリケーションでルールベースの抽出器によってフラグ付けされた、サンプル化された破壊ツールをペアリングすると、60.7%のペアは、デフォルトでは人間の承認を強制しない。 4つのエージェントSDKを通して、5つの低価格モデルのうち4つのモデルが960ラン中479ランで注入された削除を実行した。 もしアノテートされた読み取り専用または非破壊的でない全てのツールに対してホストが促された場合、承認されていないペアのシェアは5.4%に低下し、ユニバーサル・エリケーションのサポートは56.7%となった。 したがって、アプリケーションは承認を設定する必要がある。

関連論文リスト

• MCP Tool Poisoning in Agentic AI Frameworks: A Cross-Framework Measurement Study [0.916708284510944]
  Model Context Protocol (MCP)は、エージェントAIフレームワークが言語モデルを外部ツールプロバイダに接続することを可能にする。 以前のベンチマークでは、実際の実行を確認することなく、有毒な命令によるモデルコンプライアンスを測定していた。 実ツール実行によるMPPツール中毒のクロスフレームな測定を行った。
  論文  参考訳（メタデータ） (2026-11-02T18:17:08Z)
• Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol [7.073753197587707]
  LLM エージェントは Model Context Protocol (MCP) を通じて外部ツールにアクセスしやすくなっている。 Log-To-Leak(ログ・トゥ・リーク)は、最後の正当な呼び出しの後、個別のアタッカーが制御する呼び出しを誘導するポストホックロギング攻撃である。 5つのMPPサーバと4つのLCMエージェントを,有効性,有用性,効率性にまたがる5つの指標を用いて評価した。
  論文  参考訳（メタデータ） (2026-10-26T18:20:24Z)
• MobileCybench: Evaluating Agent Vulnerability Discovery via Executable Probes [79.56668124357292]
  本稿では,プローブを用いた脆弱性レポート評価フレームワークを提案する。 報告されたエクスプロイトは、アプリケーションに対してそれを再生し、プローブを実行することで評価される。 プローブが既知の脆弱性ではなくセキュリティプロパティをエンコードしているため、プローブがいつ書かれたか分からない脆弱性を検出することができる。
  論文  参考訳（メタデータ） (2026-09-21T01:21:06Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• MemToC: Benchmarking Memory-Tool Conflict Resolution in Large Language Models [49.47300047353726]
  MemToCは、実行時ツールによるポストツール-リターン仲裁のベンチマークである。 MemToCは、542の質制御された事実質問から構築された6,504回の評価エピソードで構成されている。 オープンウェイトな7-9Bモデルでは、ツールが強く支配的なクローズドブックの回答を返す。
  論文  参考訳（メタデータ） (2026-08-26T18:22:03Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Attested Tool-Server Admission: A Security Extension to the Model Context Protocol [0.0]
  Model Context Protocol(MCP)は、大規模言語モデル(LLM)エージェントと外部ツールサーバがメッセージ交換を行う方法の標準化である。 EnclawedエージェントはGoogleの外部操作型MPPサーバを安全に使用することができる。
  論文  参考訳（メタデータ） (2026-05-22T21:52:51Z)
• Hallucination as Exploit: Evidence-Carrying Multimodal Agents [10.441697487723568]
  マルチモーダルエージェントはますます、スクリーンショットやドキュメント、Webページからツールコールを選択している。 本稿では,自由形式モデルテキストを不許容な証拠として扱うエビデンス搬送型マルチモーダルエージェント(ECA)を提案する。 ECAは不透明なモデルの信念を検証者、スキーマ、実装レベルで監査可能な残留物に変換する。
  論文  参考訳（メタデータ） (2026-05-18T23:40:43Z)
• How Far Is Document Parsing from Solved? PureDocBench: A Source-TraceableBenchmark across Clean, Degraded, and Real-World Settings [56.70440596502351]
  昨年は20以上のオープンドキュメントパースモデルが見られたが、ベンチマークはほぼOmniDocBenchにのみ依存している。 HTML/CSSのドキュメントイメージをレンダリングするベンチマークであるPureDocBenchは、10のドメイン、66ページ、1,475ページをカバーしています。
  論文  参考訳（メタデータ） (2026-05-08T09:30:31Z)
• SOPBench: Evaluating Language Agents at Following Standard Operating Procedures and Constraints [59.645885492637845]
  SOPBenchは、各サービス固有のSOPコードプログラムを実行可能な関数の有向グラフに変換する評価パイプラインである。 提案手法では,各サービス固有のSOPコードプログラムを実行可能関数の有向グラフに変換し,自然言語SOP記述に基づいてこれらの関数を呼び出しなければならない。 我々は18の先行モデルを評価し、上位モデルでさえタスクが困難であることを示す。
  論文  参考訳（メタデータ） (2025-03-11T17:53:02Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。