ChainCaps: 단조로운 능력 감소를 통한 안전한 도구 활용 에이전트

ChainCaps: Composition-Safe Tool-Using Agents via Monotonic Capability Attenuation

도구를 사용하는 에이전트는 점점 더 다양한 환경에서 운영되고 있으며, 파일 시스템, 웹 API, 코드 인터프리터 및 기업 서비스를 런타임에 조합합니다. 이는 도구 조합의 안전성 격차를 야기합니다. 에이전트는 각 도구별 권한 검사를 모두 통과할 수 있지만, 여전히 기밀 문서를 읽거나 요약하여 외부 엔드포인트로 전송하는 등 안전하지 않은 결과를 초래할 수 있습니다. 이를 '권한 세탁'이라고 부릅니다. ChainCaps는 런타임 규칙을 통해 이 문제를 해결합니다. 각 값은 특정 목적지에 대한 능력 예산(capability budget)을 가지며, 도구 조합은 교집합 연산을 통해 이러한 예산을 전파합니다. 값이 도구 체인을 통과하면서 권한을 유지하거나 잃을 수 있지만, 조합 과정을 통해 새로운 권한을 얻을 수는 없습니다. ChainCaps는 에이전트 또는 도구 서버에 변경 없이 적용할 수 있는 투명한 MCP 프록시로 구현되었습니다. 세 개의 제공업체에서 제공하는 다섯 가지 최첨단 모델의 82개 작업에서 ChainCaps는 공격 성공률을 25-68%에서 0-4.8%로 낮추면서, 정상적인 완료율은 96-100%를 유지했습니다. 또한 반복 실험에서도 scalar-IFC 및 per-function-isolation과 같은 기존 방법보다 우수한 성능을 보였습니다. 배포 환경의 주요 병목 현상은 매니페스트의 품질입니다. 전문적으로 작성된 매니페스트는 공격 차단율이 100%에 달하는 반면, 초보적인 매니페스트는 27.3%까지 낮아집니다. 본 연구 결과는 신뢰할 수 있는 매니페스트 하에서 명시적인 데이터 흐름 조합의 안전성에 한정되며, 현재 배포되는 도구 활용 에이전트에게 있어 실질적인 격차를 나타냅니다.

Tool-using agents increasingly operate in open-ended deployment environments, where they compose file systems, web APIs, code interpreters, and enterprise services at runtime. This creates a safety gap in tool composition: an agent can satisfy every per-tool permission check and still produce an unsafe end-to-end effect, such as reading a confidential document, summarizing it, and sending the summary to an external endpoint. We call this failure mode permission laundering. ChainCaps addresses it with a runtime rule: every value carries a sink-specific capability budget, and tool composition propagates budgets by intersection. A value can preserve or lose authority as it moves through a tool chain, but it cannot gain new authority through composition. We implement ChainCaps as a transparent MCP proxy that requires no changes to the agent or tool servers. On 82 tasks across five frontier models from three providers, ChainCaps reduces attack success rate from 25-68% to 0-4.8% while preserving 96-100% benign completion. In replay experiments, it also outperforms scalar-IFC and per-function-isolation baselines. Manifest quality is the dominant deployment bottleneck: expert manifests reach 100% attack blocking, while naive manifests fall to 27.3%. Our claims are limited to explicit-flow composition safety under trusted manifests and proxy-visible data movement, a practical gap in deployed tool-using agents today.