When Lower Privileges Suffice: Investigating Over-Privileged Tool Selection in LLM Agents

ID: 1ff47a12
原文链接: https://arxiv.org/abs/2606.20023
PDF: https://arxiv.org/pdf/2606.20023
作者: Kaiyue Yang, Yuyan Bu, Jingwei Yi, Yuchi Wang, Biyu Zhou, Juntao Dai, Songlin Hu, Yaodong Yang
日期: 2026-06-18
标签: agent-safety, tool-use, least-privilege, benchmark, arxiv
质量评分: 4/5
抓取时间: 2026-07-24T23:34:25+08:00
本地证据: OpenClaw定时任务/论文流水线/2026-07-24-论文流水线.md

中文解读

论文提出 ToolPrivBench，用来评估 LLM Agent 在低权限工具已经足够时仍选择高权限工具的问题。摘要强调，瞬时失败会放大过权限选择，通用 safety alignment 不能稳定迁移到最小权限工具选择，因此 Agent 工具系统需要显式做权限分级和过程评估。

为什么值得关注

Agent 安全不能只靠模型安全对齐，还要在工具选择层面验证最小权限原则。

English Summary / Abstract

As LLM agents increasingly select tools autonomously, their choices among tools with different privileges become safety-relevant. However, prior tool-selection studies focus on safety-agnostic metadata preferences, leaving privilege-sensitive choices underexplored. To address this gap, we study over-privileged tool selection, in which an agent selects or escalates to a higher-privilege tool despite a sufficient lower-privilege alternative. We introduce ToolPrivBench to evaluate whether agents choose higher-privilege tools despite sufficient lower-privilege alternatives, measuring both initial selection and escalation after transient tool failures. Across eight domains and five recurring risk patterns, we find that over-privileged tool selection is common among mainstream LLM agents and is further amplified by transient failures. We further find that general safety alignment does not reliably transfer to least-privilege tool choice, while prompt-level controls provide only limited mitigation under transient failures. We therefore introduce a privilege-aware post-training defense that teaches agents to prefer sufficient lower-privilege tools and escalate only when necessary. Our mitigation experiments show that this defense substantially reduces unnecessary high-privilege tool use while preserving general capabilities.

Obsidian evidence excerpt

CAP 的训练目标、Pythia-160M 复现实验、AUC 0.96/0.95 这两组结果对应的评估设置。

2. **备选: PyroDash**
   精读理由: 对 Hermes / Agent 工作流有直接借鉴价值。它把“什么时候调用大模型”内化到小模型生成策略里，不依赖单独 router，也不需要 LLM logits。精读时要核查 cost 公式、lambda 不同取值下的 accuracy/cost 曲线、handoff 只有一次这个约束是否影响复杂任务。

3. **治理候选: Don't Trust the Label**
   精读理由: 许可证在 dataset 到 model 到 application 链上的丢失和替换，会影响数据集、模型、Agent 工具包的分发边界。适合做一篇工程治理短文，不适合只写成资讯摘要。

4. **Agent 安全补读: When Lower Privileges Suffice: Investigating Over-Privileged Tool Selection in LLM Agents**
   链接: https://arxiv.org/abs/2606.20023
   说明: 这篇不是今日新发，更新于 2026-07-07，但与本机任务调度、工具权限、最小权限设计关系强。作者提出 ToolPrivBench，评估 agent 在低权限工具足够时仍选择高权限工具的问题；摘要称瞬时失败会放大过权限选择，通用 safety alignment 不能稳定迁移到最小权限工具选择。

## Android/Agent 相关性
- **Android**: 今日 arXiv recent/search 没有发现可作为 Android 17 / API 37 以内系统/API 精读的新增论文。旧 Android 论文搜索结果多为历史移动系统、安全或应用方向，不作为今日速报重点。没有纳入任何 Android 18 / API 38+ 内容。
- **Agent**: PyroDash 可对应“低成本模型路由/协同推理”，ToolPrivBench 可对应“最小权限工具选择”，Notes to Self 可对应“经验记忆与可检索反思”。这三条适合进入 Agent practice 选题池。
- **工程治理**: License Laundering 适合补到模型供应链清单，和 dataset license、model card、GitHub dependency provenance 放在一起看。

## 工作日 brief（周一至周五；周末写“今日不更新”）
- 今天是周五，brief lane 更新。
- 今日主线: 解释可验证性、推理成本控制、AI 供应链许可证、Agent 最小权限。
- 可快速处理: 先读 Train the Model 摘要与实验设计，再决定是否下载 PDF 做完整精读包。
- 可暂缓: SoftReason、LKValues、Persian Pixel 这类方向相关性较弱，暂不进入精读队列。

## 建议下一步
1. 下载并保存 `2607.20379` PDF，建立 canonical paper package：`论文/AI-2026-07-