مقاله‌ی arXiv:2610.01349 · منتشرشده در کانال
PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents
پیس: اعمال توانایی آگاه از منشأ برای ایجنت‌های ابزارمحور در لحظه‌ی پیش از اجرای هر فراخوانی
- تاریخ
- (۹ مهر ۱۴۰۵) 2026-10-01 تأییدشده از روی تاریخ ارسال نسخه‌ی اول در آرکایو
- نویسنده‌ها
- Fengpeng Li, Qizhou Wang, Yuke Hu, Kemou Li, Jun Liu, Haiwei Wu, Jiantao Zhou, Di Wang
- نهاد نویسنده‌ها
- PRADA Lab, King Abdullah University of Science and Technology; RIKEN Center for Advanced Intelligence Project; University of Macau; National Institute of Informatics; University of Electronic Science and Technology of China
خلاصه‌ی فارسی
مسئله
ایجنت‌های ابزارمحور متن تولیدشده را به اثر واقعی تبدیل می‌کنند، پس فراداده‌ی آلوده‌ی ابزار، صفحه‌های بازیابی‌شده، حافظه و مهارت‌های قابل استفاده‌ی مجدد می‌توانند فراخوانی بعدی را هدایت کنند. بررسی یک مهارت یا ابزار پیش از پذیرش کافی نیست: یک نسخه‌ی امن و یک نسخه‌ی نشت‌دهنده می‌توانند شاهد پذیرش یکسانی تولید کنند.
روش
روش PACE هر فراخوانی ابزار را درست پیش از اجرا میانجی‌گری می‌کند. محصورسازی مسیر یک برش اجرایی از مسیرهای تأثیر نمایش‌داده‌شده پیشنهاد می‌دهد، و تأیید توانایی و اثر، اثرهای تعریف‌شده در طرح را با اختیاری که از درخواست احرازشده کامپایل شده مقایسه می‌کند. نویسنده‌ها قرارداد اجرای گواهی‌شده را از پیکربندی ارزیابی‌شده جدا می‌کنند که می‌تواند پس از یک مسدودسازی پیشنهادی، فراخوانی مجاز را بازگرداند یا یک تعمیر اعلام‌شده را اعمال کند.
یافته‌ها
- روی هشت بنچمارک اجرایی امنیت ایجنت با سه خانواده‌ی مدل هدف، در ۶۲ از ۷۹ ستون حمله‌ی واجد شرایط اکیداً کمترین موفقیت حمله را داشت و در ۱۴ ستون برابر بود.
- سودمندی کامل بنچمارک حداکثر سه امتیاز نسبت به ایجنت بدون دفاع کم شد.
- آزمایش حذفی کامل روی ۱۱۶۷ حالت جفتی بیشتر بهبود امنیت را به تأیید اثر نسبت داد، و یک جست‌وجوی تطبیقی کوچک‌مقیاس در ۰ از ۳۰ هدف خارج از اختیار موفق شد.
محدودیت‌ها
مقاله بخش جداگانه‌ای برای محدودیت‌ها ندارد؛ جست‌وجوی حمله‌ی تطبیقی در مقیاس کوچک انجام شده است.
چرا مهم است
نمی‌شود فقط با بررسی ابزارها و مهارت‌ها پیش از نصب امنیت ایجنت را تضمین کرد. این کار نشان می‌دهد آخرین نقطه‌ی قابل اعمال، لحظه‌ی پیش از اجرای هر فراخوانی است و آنجا می‌شود بیشتر حمله‌ها را با هزینه‌ی کم سودمندی متوقف کرد.