[論文レビュー] PAuth - Precise Task-Scoped Authorization For Agents

Reshabh K Sharma, Linxi Jiang+2 more|arXiv (Cornell University)|Mar 17, 2026

Access Control and Trust被引用数 0

ひとこと要約

PAuth は NL 由来のスライスとエンベロープを用いて、AI エージェントの忠実なタスク実行を担保する、タスクスコープ付きの正確な暗黙的承認を導入し、AgentDojo のテストスイートで偽陽性・偽陰性ゼロを達成した。

ABSTRACT

The emerging agentic web envisions AI agents that reliably fulfill users' natural-language (NL)-based tasks by interacting with existing web services. However, existing authorization models are misaligned with this vision. In particular, today's operator-scoped authorization, exemplified by OAuth, grants broad permissions tied to operators (e.g., the transfer operator) rather than to the specific operations (e.g., transfer $100 to Bob) implied by a user's task. This will inevitably result in overprivileged agents. We introduce Precise Task-Scoped Implicit Authorization (PAuth), a fundamentally different model in which submitting an NL task implicitly authorizes only the concrete operations required for its faithful execution. To make this enforceable at servers, we propose NL slices: symbolic specifications of the calls each service expects, derived from the task and upstream results. Complementing this, we also propose envelopes: special data structure to bind each operand's concrete value to its symbolic provenance, enabling servers to verify that all operands arise from legitimate computations. PAuth is prototyped in the agent-security evaluation framework AgentDojo. We evaluate it in both benign settings and attack scenarios where a spurious operation is injected into an otherwise normal task. In all benign tests, PAuth executes the tasks successfully without requiring any additional permissions. In all attack tests, PAuth correctly raises warnings about missing permissions. These results demonstrate that PAuth's reasoning about permissions is indeed precise. We further analyze the characteristics of these tasks and measure the associated token costs.

研究の動機と目的

• オペレータースコープの OAuth を超える、エージェントワークフローにおけるより細粒度の承認の必要性を動機付ける。
• ユーザータスクの忠実な実行に基づくモデルとして Precise Task-Scoped Implicit Authorization (PAuth) を定義する。
• 各操作とオペランドがタスク意図に従うことをサーバー側で検証できるよう、NL slices と envelopes を導入する。
• AgentDojo フレームワークでの実装と評価、および attack シナリオを含むマルチホスト環境での実現可能性を示す。

提案手法

• サービスが想定する呼び出しの NL slices を、ユーザータスクと上流結果から派生させる象徴的表現として導入する。
• 具体的なオペランド値を象徴的な出自に結びつける envelopes を定義し、オペランドの出所をサーバー側で検証できるようにする。
• 事前計算された NL-slice ルールに対して具体的な呼び出しを照合し、envelopes を検証するランタイム・エンフォーサーを実装する。
• AgentDojo フレームワークで PAuth をプロトタイプ化し、現実の Web 展開を反映するためにマルチホスト環境へ拡張する。
• 100 の通常タスクと 634 のプロンプト改ざんタスクで評価し、偽陽性ゼロ・偽陰性ゼロを報告する。

Figure 1 : A protocol flow example.

実験結果

リサーチクエスチョン

• RQ1 タスク固有の承認モデルは、ユーザータスクによって各操作が暗黙的に示されることを保証することで過度な特権付与を防止できるか。
• RQ2 NL slices と envelopes はサーバーがエージェントのアクションの忠実な実行を決定論的に検証できるようにするか。
• RQ3 実証評価は、健全な条件と攻撃条件の下で正確な権限推論を示しているか。
• RQ4 実践での PAuth 実装の性能とトークンコストへの影響はどのようになるか。

主な発見

• 健全性のテストでは、PAuth は追加の権限なしにタスクを正常に実行する。
• 攻撃テストでは、偽りの操作が注入された場合に PAuth が警告を発し、許可しない。
• テストスイート全体で、権限推論において偽陽性ゼロ・偽陰性ゼロを達成。
• 評価にはタスク特性、NL-slice 構造、トークンコストの分析が含まれる。
• PAuth は、タスク推論に基づく演算に対してオペレータとオペランドの両方を検証することで、精密な執行を実証する。

Figure 2 : Chase.com derives its slice from an NL task.