Delegation Without Trust: quyền của agent phải chặn ở runtime, không nằm trong prompt
Agent bị chiếm quyền trọn vẹn thì vẫn không được làm quá thứ được giao — đo chuẩn đó ở đâu?
Mở
Câu hỏi cũ của hệ phân tán (ai được làm gì, dưới quyền ai) đột nhiên trở nên cấp bách, vì thứ điều khiển mỗi agent không phải một service có sẵn logic chặn quyền mà là một mô hình ngôn ngữ mà đối thủ có thể chiếm. Paper này đưa ra một chuẩn kiểm chứng được: một hệ đúng là hệ mà agent đã bị prompt-inject trọn vẹn vẫn không vượt ra ngoài quyền được giao. Đối với người chạy đội agent, đây là thước đo cụ thể hơn mọi checklist bảo mật chung chung.
Paper này làm gì
Tác giả đi từ mô hình mối đe dọa tới hệ chứng minh được. Họ dựng một threat model cho delegation trong hệ nhiều agent xoay quanh bốn loại đối thủ, rồi từ đó suy ra tám yêu cầu bảo mật mà một hệ agent có quản trị phải đáp. Phần kiểm chứng có ba lớp: một runtime agent mặc định mô phỏng thực hành phổ biến (bearer credential rộng và quyền quyết định nằm bên trong model) để đo mức độ hở; bốn framework được dùng rộng rãi là LangGraph, CrewAI, AutoGen và mô hình ủy quyền MCP; cuối cùng là một authorization broker được dựng ra rồi thử nghiệm bằng tấn công trực tiếp.
Phát hiện chính
Chuẩn đúng là giả định model không đáng tin — Thay vì hỏi hệ có bị tấn công không, paper hỏi điều kiểm chứng được hơn: kể cả khi agent bị chiếm hữu hoàn toàn, nó vẫn nằm trong phạm vi quyền được giao.
a fully prompt-injected agent still cannot exceed the authority explicitly delegated to it
Bốn đối thủ, tám yêu cầu — Mô hình mối đe dọa tập trung vào bốn loại: confused deputy, đánh cắp và phát lại token, leo thang quyền qua prompt-injection, cùng sub-agent bị compromise; từ bốn cái đó tác giả suy ra tám yêu cầu mà một hệ agent có quản trị phải giữ.
a threat model for multi-agent delegation centered on four adversaries – confused deputy, token theft and replay, prompt-injection privilege escalation, and compromised sub-agents
Bốn framework thịnh hành, không cái nào chặn đủ — Ba trong bốn không có confinement tích hợp, cái thứ tư chỉ một phần; không chuẩn riêng lẻ nào phủ hết bộ yêu cầu. Broker của paper chặn được cả bốn mối đe dọa: nhận 0 trên 200.000 token giả mạo, và nhốt sub-agent bị compromise vào trung bình 1,5 hành động truy cập được thay vì toàn bộ 8.100 như cách bearer delegation, trên 2.000 kịch bản ngẫu nhiên.
three provide no built-in confinement and one only partial
Caveat
Giới hạn duy nhất tác giả nêu nằm ở chính chuẩn của họ: mọi kết luận “hệ đúng” chỉ có ý nghĩa dưới giả định model không đáng tin — agent bị prompt-inject trọn vẹn vẫn không được vượt quyền được giao. Hệ không giữ nổi giả định đó nằm ngoài phạm vi chuẩn mà paper định nghĩa.
Áp vào 5ac thế nào
Áp thẳng vào hạ tầng 5ac: không coi worker đáng tin vì worker “tốt”, mà vì lớp runtime chặn quyền — workspace card tách riêng, credential của profile này không sang session khác, và mọi chuyển trạng thái Kanban (complete, block, request_changes) đi qua tool gọi ở host chứ không qua lời hứa trong prompt. Chi phí của việc đó đã được đo: broker trong paper ra quyết định ở khoảng 2,6 micro giây mỗi lần, không tính vào cost/task. Sửa cụ thể: khi delegate cho card con, context mang theo chỉ là phần tối thiểu cho việc: comment bí mật, token, thông tin định danh không được kế thừa sang card con.
Nguồn
- Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems — https://arxiv.org/abs/2609.00267