제한된 에이전트: 다중 에이전트 AI 시스템을 위한 위임 보안

초록

LLM 기반 에이전트는 사용자를 대신하여 클라우드 서비스에 접근하고, 도구를 호출하거나 에이전트를 호출할 수 있다. 세션 시작 시 에이전트의 권한이 설정되지만 정적으로 유지되며, 각 요청은 이전 작업을 고려하지 않고 독립적으로 평가된다. 에이전트는 권한 범위 내에서도 위임된 작업에 반하는 행동을 하거나, 개별적으로 허용된 작업을 결합하여 금지된 결과를 만들어 내거나, 하위 에이전트에 권한을 제한 없이 위임할 수 있다. 프롬프트 주입은 에이전트가 그러한 행동을 수행할 권한을 가진 경우에만 위험을 초래하므로, 이는 단순히 모델의 문제가 아니라 인가 아키텍처의 문제이다. 에이전트 주체 체인(APC)은 한 주체에서 다음 주체로 위임된 권한을 추적한다. APC는 축적된 세션 상태에 대해 각 요청을 여섯 가지 인가 검사를 통해 평가한다. APC는 위임된 범위와 예산을 이월하고 제한한다. 합성 폐포를 사용하여 APC는 요청을 이전 작업과 대조하여 금지된 조합을 방지하고, 모델 외부에서 결정을 집행한다. 우리는 APC 구현에 대한 폭발 반경 단조성과 합성 건전성을 증명한다. 합성 건전성은 완전한 제한 집합과 직렬화된 승인 하의 금지된 조합으로 제한된다. 우리는 InjecAgent, AgentDojo, ASB를 포함한 3,154개의 인스턴스를 평가했다. 우리의 손상 모델 평가는 첫 번째 정당한 도구 호출 이후에 실측 공격 호출을 삽입하여 모델 행동과 독립적으로 APC를 테스트한다. AgentDojo 데이터 유출은 네 도메인 모두에서 75-100%에서 0%로 감소했으며, APC는 544개의 InjecAgent 데이터 탈취 사례를 모두 차단했다. 의도 바인딩은 파괴를 38.6%에서 4.0%로, 조작을 90.5%에서 12.1%로 감소시켰다. 인가 지연 시간은 유휴 호스트에서 99번째 백분위수 기준 0.24ms였다. 949개의 AgentDojo 작업-주입 쌍에서 유용성은 두 설정에서 각각 8.6 및 13.9퍼센트 포인트 낮았다. 구현, 평가 도구 및 데이터는 공개적으로 이용 가능하다.

English

LLM-based agents can act on behalf of a user to access cloud services, call tools, or invoke agents. At session start, the agent's permissions are set but remain static, and each request is evaluated independently, without considering prior actions. Within its permissions, an agent may act contrary to the delegated task, combine individually permitted actions into a prohibited outcome, or delegate authority to a sub-agent without limiting it. A prompt injection poses a risk only if the agent has authority to perform such actions; this is therefore a problem of authorization architecture, not just the model. The Agentic Principal Chain (APC) tracks delegated authority from one principal to the next. APC evaluates each request against the accumulated session state using six authorization checks. APC carries forward and restricts delegated scope and budgets. Using composition closure, APC checks requests against prior actions to prevent prohibited combinations and enforces the decision outside the model. We prove Blast Radius Monotonicity and Composition Soundness for APC implementations; Composition Soundness is limited to prohibited combinations under a complete restriction set and serialized admission. We evaluated 3,154 instances including InjecAgent, AgentDojo, and ASB. Our compromised-model evaluation tests APC independently of model behavior by inserting the ground-truth attack call after the first legitimate tool call. AgentDojo exfiltration fell from 75-100% to 0% across all four domains; APC blocked all 544 InjecAgent data-stealing cases. Intent binding reduced destruction from 38.6% to 4.0% and manipulation from 90.5% to 12.1%. Authorization latency was 0.24 ms at the 99th percentile on an idle host; across 949 AgentDojo task-injection pairs, utility was 8.6 and 13.9 percentage points lower in the two settings. Implementation, evaluation tools, and data are publicly available.