Capability Tokenとは何か、ホームAIエージェントをどのように制限するのか?
能力トークンは、特定のリソースと操作に対する所有ベースの権限を付与し、与えられていないすべての能力を持たせないことでエージェントの権限を制限します。
家庭用エージェントは、管理者の永続的な認証情報を受け取ることなく、1つのカレンダーを読み取ったり、1つの部屋の照明を切り替えたり、指定したバックアップをアップロードしたりする必要があるかもしれません。能力トークンは、リソース、アクション、有効期限、予算、コンテキストを検証可能な権限付与にまとめることができます。ツールゲートウェイは呼び出しごとにその権限付与を確認するため、プロンプトのテキストだけでエージェントの権限を拡大することはできません。
トークンはオブジェクト参照と権限を組み合わせる
能力は保護対象のオブジェクトを指定または解決し、それを正当に所有する者に許可された操作を伝えます。広範なAPIキーを使って内部でACLを照会する方式とは異なり、権限付与自体が意図的に狭く、偽造できないようになっています。
オブジェクト能力に関する研究では、オブジェクト能力モデルを、個々のオブジェクトにアクセス権を符号化して相互作用を制限するものと説明しています。ファイルディスクリプタは身近なローカル例です。すでに開かれたオブジェクトへのアクセスを許可しますが、任意のファイルシステム名を指定する権限までは付与しません。
能力は、IDやポリシーと共存できます。IDは関係者が誰かを示し、能力はこの操作のために委任された具体的な権限を示します。この違いは、後の家庭環境でのテストでも明確にしておく必要があります。
減衰により委任の範囲を狭め、拡大は防ぐ
親サービスは、より狭いパス、読み取り専用メソッド、短い有効期限、少ない予算、または特定のリクエストコンテキストに制限された子トークンを生成できます。子はより少ない権限を委任できますが、制約を取り除いたり、より広範な権利を作成したりすることはできません。
Macaroonsは、コンテキストに応じた制約と分散型の委任をサポートする減衰型認可を導入しています。リソースサーバーがリクエストを受け入れる前に、署名チェーンとすべての制約を検証します。自動化を進める前に、中間結果を検査可能な状態に保つ必要があります。
これはエージェントにとって有用です。プランナーはセッション能力を受け取り、タスク固有の派生能力を1つのツール用サブプロセスに渡せるからです。サブプロセスは、プロンプトや環境内にルート認証情報を必要としません。この境界は、現実的な運用条件の下で別途測定する必要があります。
所有、委任、失効はセキュリティ境界であり続ける
ベアラー能力を盗んだ者は、有効期限が切れるか失効するまでそれを行使できます。トークンには、保護された転送と保管、必要に応じた対象者またはチャネルへのバインディング、短い有効期間、監査識別子が必要です。複数の情報源が限られたコンテキストを奪い合うとき、この実際的な影響が現れます。
能力セキュリティの分析は、能力による権限とID中心の制御の違いを説明します。このモデルはアンビエント権限を減らしますが、エージェントが要求したアクションがユーザーの真の意図を反映しているかどうかを判断するものではありません。この依存関係は、最終的なインターフェースでも明示しておく必要があります。
障害の境界となるのは、範囲が広すぎる、リプレイ可能、または漏えいしたトークンです。能力チェックでは、権限付与の範囲内にある有害な利用を防げないため、影響の大きいアクションには、対象の検証、承認、レート制限、監視可能な失効が依然として必要です。したがって、結果は元の証拠と照合する必要があります。
トークン、ツール、リクエストごとに権限を棚卸しする
すべてのツール呼び出しについて、発行者、主体または保持者、対象者、リソース、操作、パスの範囲、予算、有効期限、委任チェーン、制約、失効ハンドル、承認要件、監査IDを記録します。この違いは、後の家庭環境でのテストでも明確にしておく必要があります。
権限付与を能力ベースのセキュリティと比較します。パストラバーサル、変更されたデバイスID、メソッドの置き換え、リプレイ、期限切れトークン、盗まれた子トークン、オフライン検証者、失効した親、許可されているものの影響が大きいリクエストをテストします。自動化を進める前に、中間結果を検査可能な状態に保つ必要があります。
各ツールが最小限の権限付与だけを受け取り、それを増幅できない場合にのみ合格とします。能力の成功は認可として扱い、ユーザーの意図、意味上の安全性、またはツール出力の正しさの証明とはみなしません。この境界は、現実的な運用条件の下で別途測定する必要があります。
おすすめ商品
テック＆AIハブ
もっと読む
ローカルLLMはプロセスの再起動後に生成を再開できますか？
LLM生成の再開についてのメカニズム優先の説明、共有リソースにおけるトレードオフ、クエリ・ファンアウトに関する3つのFAQ、そして実践的な検証プロトコル。
ホームサーバーは同じ内蔵GPUで埋め込み生成と動画トランスコードを実行できますか？
共有 iGPU の埋め込みとトランスコーディングについて、仕組みを第一に説明し、共有リソースのトレードオフ、クエリファンアウトに関する3つのFAQ、実践的な検証方法を紹介します。
アクセストークンの有効期間はセキュリティと家庭内の手間にどのような影響を与えるか？
アクセストークンの有効期間について、仕組みを重視した説明、共有リソースのトレードオフ、クエリファンアウトに関する3つのよくある質問、そして実践的な検証手順。
