arXiv cs.AI· Sai Varun Kodathala, Prashanth Pollishetty, Jaylen Cargill·· 2 天前AI 评分34
智能体升级授权中的效果绑定与可信渲染：ASU 网关如何防御 12 类审批攻击
Approve What, Exactly? Effect Binding and Trusted Rendering for Agent Step-Up Authorization
AI 导读
研究定义了对智能体审批路径的 12 类攻击（含诱饵收款人、金额取消、标签欺骗等），并测试了 AP2、微软 action-bound approval 和 MCP elicitation。
正文 · AI 翻译
摘要：AI 智能体现在在转账、删除文件或向外部人员发送邮件之前会暂停以等待批准，而这种批准通常被视为第二因素。我们认为，只有当攻陷智能体本身无法产生该批准，并且该批准明确指明其所批准的具体内容时，它才真正构成第二因素，我们对这两个条件都进行了测试。我们定义了针对批准路径的十二种攻击，包括诱饵收件人、金额抵消、卡片填充、标签欺骗、注册抢占和阈值拆分，并将它们针对 Agent Payments Protocol（AP2）、Microsoft 的动作绑定批准设计以及 Model Context Protocol（MCP）elicitation 进行了测试。对十个智能体运行时的审计发现，不存在第三方可验证的批准记录，在可测量之处不存在洪泛限制，并且在八个具有可测量绑定性的运行时中有四个存在批准后参数变更。作为参考防御，我们构建了 ASU（Agent Step-Up），这是一个网关，它根据规范化的效果描述符渲染批准卡片，让用户手机上的通行密钥对其摘要进行签名，并且只执行已存储的调用。Tamarin 在三个明确假设下证明了其绑定、单次使用和密钥级不可否认性属性（53 条引理）。在 27,108 次脚本化试验和 609 对 AgentDojo 攻击中，ASU 阻止了替换、重放和授权拉伸，并且可信卡片将伪造叙述攻击成功率从 0.54 降至 0.03。在 15 个当前语言模型作为自动批准者的情况下，可信卡片将攻击捕获率从 0.30 提高到 0.98，代价是拒绝了 16% 的无害近似误报，这主要是由于我们刺激材料中的一个占位符伪影。在这些实验中，第二个设备相比可信的宿主内确认没有增加任何可测量的效果，针对建模的批准者，洪泛攻击仍有 0.45 到 0.60 的成功率，并且批准无法阻止策略已经允许的效果。代码、数据和证明：此 https URL
| 评论： | 36 页，13 幅图，13 张表。代码和数据见 此 https URL |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2610.21063 [cs.CR] |
| （或 arXiv:2610.21063v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.21063 arXiv 颁发的 DOI 通过 DataCite（待注册） |
提交历史
来自：Sai Varun Kodathala [查看电子邮件]
[v1]
2026 年 10 月 15 日星期四 01:11:23 UTC（976 KB）
来源：arXiv cs.AI · arxiv.org