مقاله‌ی arXiv:2609.37196 · منتشرشده در کانال
ToolFence: Fine-Grained Authorization for Secure Tool-Using LLM Agents
تول‌فنس: مجوزدهی ریزدانه برای ایجنت‌های ابزارمحور امن
- تاریخ
- (۷ مهر ۱۴۰۵) 2026-09-29 تأییدشده از روی تاریخ ارسال نسخه‌ی اول در آرکایو
- نویسنده‌ها
- Yanjie Li, Xiangyu He, Xuelong Dai, Bin Xiao
- نهاد نویسنده‌ها
- Hong Kong Polytechnic University; Shandong University
خلاصه‌ی فارسی
مسئله
ایجنت‌های ابزارمحور در برابر تزریق غیرمستقیم پرامپت آسیب‌پذیرند چون دستورهای مورد اعتماد و مشاهده‌های نامطمئن یک کانتکست مشترک دارند. دفاع‌های اجماع چندمسیره هنوز نرخ موفقیت حمله‌ی بالایی دارند چون محتوا یا خروجی تجمیعی را بررسی می‌کنند نه اثرها را، به‌ویژه در حمله‌ی درون‌ابزاری که ابزار موردنظر را حفظ می‌کند اما آرگومان‌هایش را دست‌کاری می‌کند؛ مثلاً ایمیل به همان ابزار ارسال می‌شود اما به گیرنده‌ی مهاجم. کنترل جریان داده مثل CaMeL تضمین قوی‌تری می‌دهد اما تأخیر زیادی دارد.
روش
روش ToolFence پیش از اجرا یک نقشه‌ی مجوز نوع‌دار کامپایل می‌کند، آن را با یک پایشگر قطعی اعمال می‌کند، و وقتی نقشه ناقص است از یک داور می‌خواهد توانایی جدید اعطا کند به جای این‌که درباره‌ی هر فراخوانی مشخص قضاوت کند. مجوزدهی آگاه از منشأ مقادیر مجاز کاربر را از مشاهده‌های نامطمئن جدا می‌کند و مسیر سریع قطعی تعداد فراخوانی‌های گران داور را کم می‌کند.
یافته‌ها
- روی AgentDojo با Qwen3-max نرخ کلی موفقیت حمله را به نزدیک صفر رساند.
- سودمندی در حالت بدون حمله فقط ۳٫۸۰ واحد درصد افت کرد و سربار زمان اجرا عملی بود.
محدودیت‌ها
مقاله بخش جداگانه‌ای برای محدودیت‌ها ندارد؛ نویسنده‌ها اشاره می‌کنند روش منشأ یک مقدار را تأیید می‌کند اما نه این‌که انتخاب مدل از میان چند مقدار مجاز با نیت کاربر مطابق است.
چرا مهم است
حمله‌هایی که ابزار درست را با آرگومان غلط فرا می‌خوانند، از دفاع‌های محتوایی رد می‌شوند. این کار نشان می‌دهد مجوزدهی ریزدانه با رد منشأ، این حمله‌ها را با هزینه‌ی کم متوقف می‌کند.