AC4A: Access Control for Agents¶

日期: 2026-03-21
arXiv: 2603.20933
代码: GitHub
领域: LLM/NLP / AI安全
关键词: access control, LLM agent, permission, API, browser agent

一句话总结¶

提出 AC4A，首个统一的 LLM Agent 访问控制框架，支持 API 和浏览器两类 Agent，通过层级资源类型树 + 资源值规范 + 动作的权限三元组实现细粒度权限控制（如只允许查看本周日历而非整个 API 权限），灵感来自 Unix 文件系统权限模型。

领域现状: LLM Agent 已能通过 API 和浏览器执行复杂任务（订机票、管日历、写代码），但当前系统采用"全有或全无"的权限模式——要么完全授权，要么完全不授权。
现有痛点: (a) 让 Agent 创建日历事件就必须授权整个日历 API——可能删改已有事件；(b) 让浏览器 Agent 查看日历就暴露了页面上所有敏感信息；(c) LLM 可能因意图误解而执行超出预期的操作（找航班时直接购买了航班）。
核心 idea: 类比 Unix 文件系统权限，为 Agent 设计细粒度访问控制——应用将资源建模为层级结构，运行时根据实际操作计算所需权限并与已授予权限匹配。

应用定义资源类型树 → 用户通过 Dashboard 授予权限 → Agent 调用 API/交互网页时拦截 → 权限检查算法判断是否允许。

资源类型树:
- 有向路径从根出发定义资源类型，如 Year::Month::Day 表示日历的日期层级
- 父节点资源集是子节点的超集（Year(2026) 包含所有月份的事件）
- 支持递归类型（如 Directory::Directory::File）和多种分解方式（按日期 vs 按时间区间）
权限表示:
- 权限 = 资源值规范 + 动作
- 资源值规范：Year(2026)::Month(March)::Day(?) 表示 2026 年 3 月所有天
- 通配符 ? 表示所有可能值的联合
- 动作：read/write/create 等应用自定义
权限检查算法:
- resource_difference(Need, Have) → Remaining：逐个减去已授权部分
- 迭代所有已授权权限，若最终残余为空则允许
- 应用可选择保守（过近似）或精确实现，框架保证安全性
- 支持有序无关性保证
API/浏览器统一:
- API Agent：应用为每个端点提供权限函数，将实际调用参数映射到所需权限
- 浏览器 Agent：将 DOM 元素映射到资源，根据 Agent 交互的元素检查权限

演示核心组件——资源类型树、权限函数、Dashboard。

涉及 Outlook Calendar + Expedia + 支付钱包，展示跨应用权限管理。