境界付きエージェント：マルチエージェントAIシステムにおける委任セキュリティ

要旨

LLMベースのエージェントは、ユーザーに代わってクラウドサービスにアクセスし、ツールを呼び出し、エージェントを起動することができる。セッション開始時に、エージェントの権限は設定されるが、その後は静的なままとなり、各リクエストは先行アクションを考慮せずに独立に評価される。エージェントは、その権限の範囲内で、委任されたタスクに反する行動をとったり、個別には許可されたアクションを組み合わせて禁止された結果を生み出したり、サブエージェントに権限を制限せずに委任したりする可能性がある。プロンプトインジェクションは、エージェントがそのようなアクションを実行する権限を持つ場合にのみリスクとなる。したがって、これはモデルだけの問題ではなく、認可アーキテクチャの問題である。Agentic Principal Chain（APC）は、あるプリンシパルから次のプリンシパルへの委任された権限を追跡する。APCは、蓄積されたセッション状態に照らして、6つの認可チェックを用いて各リクエストを評価する。APCは、委任されたスコープと予算を繰り越すとともに制限する。合成閉包を用いることで、APCは先行アクションと照合してリクエストをチェックし、禁止された組み合わせを防ぎ、モデルの外部で決定を強制する。我々は、APCの実装についてブラスト半径の単調性と合成健全性を証明する。合成健全性は、完全な制限セットと直列化された受理の下での禁止された組み合わせに限定される。我々は、InjecAgent、AgentDojo、ASBを含む3,154のインスタンスを評価した。我々の侵害モデル評価は、最初の正規のツール呼び出しの後にグラウンドトゥルースの攻撃呼び出しを挿入することにより、APCをモデルの挙動から独立にテストする。AgentDojoの外部漏えいは、4つのドメインすべてで75%～100%から0%に低下した。APCはInjecAgentのデータ窃取全544件をブロックした。意図バインディングにより、破壊は38.6%から4.0%に、操作は90.5%から12.1%に低減された。認可レイテンシは、アイドル状態のホスト上で99パーセンタイルが0.24 msであった。949のAgentDojoタスク-インジェクションペア全体では、ユーティリティは2つの設定でそれぞれ8.6および13.9パーセンテージポイント低かった。実装、評価ツール、およびデータは公開されている。

English

LLM-based agents can act on behalf of a user to access cloud services, call tools, or invoke agents. At session start, the agent's permissions are set but remain static, and each request is evaluated independently, without considering prior actions. Within its permissions, an agent may act contrary to the delegated task, combine individually permitted actions into a prohibited outcome, or delegate authority to a sub-agent without limiting it. A prompt injection poses a risk only if the agent has authority to perform such actions; this is therefore a problem of authorization architecture, not just the model. The Agentic Principal Chain (APC) tracks delegated authority from one principal to the next. APC evaluates each request against the accumulated session state using six authorization checks. APC carries forward and restricts delegated scope and budgets. Using composition closure, APC checks requests against prior actions to prevent prohibited combinations and enforces the decision outside the model. We prove Blast Radius Monotonicity and Composition Soundness for APC implementations; Composition Soundness is limited to prohibited combinations under a complete restriction set and serialized admission. We evaluated 3,154 instances including InjecAgent, AgentDojo, and ASB. Our compromised-model evaluation tests APC independently of model behavior by inserting the ground-truth attack call after the first legitimate tool call. AgentDojo exfiltration fell from 75-100% to 0% across all four domains; APC blocked all 544 InjecAgent data-stealing cases. Intent binding reduced destruction from 38.6% to 4.0% and manipulation from 90.5% to 12.1%. Authorization latency was 0.24 ms at the 99th percentile on an idle host; across 949 AgentDojo task-injection pairs, utility was 8.6 and 13.9 percentage points lower in the two settings. Implementation, evaluation tools, and data are publicly available.