AIエージェントの道具を役割単位で渡し利用範囲を制限
Progressive Skill Discovery as Access Control for Tool-Using LLM Agents: Structural Governance through Role-Scoped Capability Delivery
この論文をやさしく読む
ひとことで言うと
AIエージェントへ必要な役割の道具だけを渡し、サーバー側で利用範囲を守らせる仕組み。
何に役立つ？
企業内ツールを使うエージェントで、利用権限と監査を設計する際の参考になる。
この研究の面白いところ
プロンプトでの禁止だけに頼らず、MCPサーバーが技能の取得に合わせて使える道具を制限する。
どこまで分かった？
違反がなかったという結果は、役割発見後に管理対象の呼び出しをした場合の模擬認可層での評価。全課題の成功率や実運用の安全性とは区別が必要である。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
大規模言語モデル（LLM）のエージェントに企業内の膨大な道具を使わせると、安全に拡張することが難しい。すべての内部ツールへアクセスさせると、文脈が過大になり、道具の選択が悪化し、管理上の深刻な弱点が生じる。プロンプトだけで定めたシステム方針は、厳格な制約ではなく、確率的に従う助言にとどまるからである。複数エージェントへの分野別の委任など既存の対策も、監査記録が分散し、複数の作業を通した規則遵守を保証しない。そこで、技能、道具、指示と、それらを制限する範囲を一つの役割にまとめる枠組みskilderを導入する。エージェントは最小限の役割一覧から始め、課題に必要な役割を見つけ、単一のMCPサーバーからその役割の技能、指示、道具を受け取る。道具は学んだ技能の中でだけ届くため、同じサーバーが、学んだ範囲を決定的に強制できる。 13の課題で六つのモデルを用い、それぞれ10回実行して、すべての道具を文脈に入れる方式と、複数エージェントによる分担と比較した。モデルが役割の発見を終え、管理対象の呼び出しを行った場合、skilderの模擬認可層は管理上の境界を守り、許可されない道具の呼び出しや、支出上限違反などのパラメータ違反を実行しなかった。課題全体の成功率には、各モデルが発見の手順に従えたかや、回答品質の検査を満たしたかも反映される。その失敗は認可の失敗とは異なる。作業中に別の役割の機能を動的に取得できるため、問題解決の柔軟さを保ちながら、システム側で厳格な制限を設けられる。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-23（UTC）
- 最新改訂
- 2026-09-23 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-23 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Large Language Model (LLM) agents struggle to scale safely when exposed to vast enterprise toolsets. Providing an agent with access to every internal tool leads to oversized context windows, degraded tool selection, and severe governance vulnerabilities - as system policies defined purely in prompts remain probabilistic advice rather than hard constraints. Existing mitigations, such as multi-agent domain delegation, decentralize audit logs and fail to guarantee policy compliance across sessions. We introduce skilder, a framework that packages capabilities into roles: bundles of skills, tools, and instructions, together with the limits that bound them. An agent begins with a minimal role catalog, learns the roles a task requires, and receives each role's skills, instructions, and tools through a single MCP server. Because tools reach the agent only inside learned skills, the same server enforces the scope of what was learned deterministically. We evaluate skilder against flat-context tool selection and multi-agent orchestration across 13 tasks using six models (10 runs each). Our results show that, when models completed discovery and issued a governed call, the skilder simulated authorization layer enforced governance boundaries: no unauthorized tool call or parameter violation (e.g., a spending-limit breach) executed. Aggregate task pass rates also reflect whether each model followed the discovery protocol and satisfied response-quality checks; those misses are not authorization failures. Furthermore, by allowing agents to dynamically acquire cross-role capabilities mid-task, skilder preserves problem-solving flexibility while providing hard system-level enforcement.
著者のコメント
White paper, 30 pages
arXiv ID: 2609.28693 ／ 要約の誤りについて