Mapping an agentic control set into OpenCRE: link targets and two scope questions
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
調査の方向性
実装ファイルもテストも指定されていません。まず /rest/v1/all_cres コーパスと関連する issue #1017 を確認し、次に OpenCRE がコントロールとリレーションをどのように表現しているかを追跡してください。これ以上の提案を提出する前に、提案された2つのコントロール形状と agent-loop の配置に関する問題について合意済みの表現が得られていれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Context
I am mapping an agent security control taxonomy into OpenCRE, covering the Agent Governance Toolkit and the agentrust-io specs. This was raised with Rob by email today; opening it here so the evidence is on the record and so others working agentic mappings (#1017) can see it rather than rediscovering it.
Following the approach in #1017: two proposals, not the whole set, and feedback on shape first.
Method
Full corpus pulled via /rest/v1/all_cres, 27 pages, 522 CREs. Cross-checked against an independent walk of Contains edges from the five roots, which returned the same 522. Every id below was verified to exist.
Finding 1: AI coverage is strong, and I am not proposing anything there
85 CREs sit across the three AI branches (663-200 Technical AI security controls, 225-553 Organizational AI security controls, 803-457 Protection against AI-Specific Threats) and their descendants. Prompt injection in particular is better covered than in our own taxonomy: 686-110, 012-625, 843-475, 106-447.
Of 30 controls in our first pass, 25 map onto existing CREs. That is a good result and it is worth stating before the gap.
Finding 2: the agentic layer has no requirements
Searching all 522 CRE names:
| term | matches |
|---|---|
| agent | 0 |
| delegation | 0 |
| autonomy | 0 |
| attestation | 0 |
| provenance | 0 |
| non-repudiation | 0 |
| plugin | 0 |
| identity | 1, inside an MFA recovery control |
Session and authentication are well covered, but every one of those CREs is cookie-shaped or human-login-shaped. There is no representation of a non-human principal that holds its own identity, acts on its own, and passes authority to another such principal.
Two proposals
1. Agent delegation chain
- Proposed parent: a new "Agent identity" under 663-200 Technical AI security controls
- Relations: 123-124 Minimize permissions, 128-128 Strong authorization checking
- Why: 123-124 covers least privilege for one principal. Nothing covers privilege that must narrow across a chain of principals. An agent delegates to a sub-agent, scope must shrink rather than persist, and depth must be bounded. That is the defining agentic case and it has no home today.
2. Runtime attestation evidence
- Proposed parent: 663-200 Technical AI security controls
- Relations: 170-772 Cryptography, 307-507 Allow only trusted sources both build time and runtime
- Why: 307-507 and 171-222 cover build-time integrity, meaning trust that the artifact was built correctly. Nothing covers runtime evidence of what is actually executing, which is what hardware-backed attestation provides and what agent deployments increasingly need.
Useful anchors found along the way: 220-442 Model action privilege minimization is a natural parent for tool-level controls, and it was the closest existing match to anything agentic in the whole corpus.
One question
Is there a way to express where in an agent loop a control applies? We enforce at eight points (agent startup, input, pre model call, post model call, pre tool call, post tool call, output, shutdown). That reads like a placement dimension rather than a control, so it may want a tag or a relation type, or it may be out of scope. Happy either way, but it affects how several further proposals should be shaped.
Related
#1017 (AVE agentic mappings), #1015 (LLM Top 10 2026), #1016 (AISVS 1.0)
There are 17 further proposals behind these two. I would rather get the shape right on two than submit a batch that needs reworking.
- 主要言語
- Python
- スター
- 210
- フォーク
- 167
- 平均マージ
- 4日 12時間
- マージ済み PR（30日）
- 28
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
OWASP/OpenCRE のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
OWASP/OpenCRE#1215 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
Map Analysis continues polling after a background job fails対応中かも @amantebriwal4321 が 4 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
OWASP/OpenCRE#1211 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 66/100
メンテナーはふだん 1 日以内に返信
-
MCP tools return "Internal MCP tool error." when OpenCRE is unreachable or times out対応中かも @ShaanGS が 23 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
OWASP/OpenCRE#1163 · コメント 5 件 ·
メンテナーはふだん 1 日以内に返信
-
find_node_by_name endpoint does not enforce MAX_ITEMS_PER_PAGE, allowing unbounded pagination queries`対応中かも @Jeffy123-zhu が 26 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
OWASP/OpenCRE#1149 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
似ている issue
-
Unknown stop ID in slow zone data crashes post formatting and skips the rest of that day's postsオープンbackend bug tm-new-volunteer
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
transitmatters/mbta-slow-zone-bot#81 · コメント 1 件 ·
-
area:schema documentation
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
risk:high type:ci
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 64/100
spacetelescope/rdmt-spire#49 ·
メンテナーはふだん 1 日以内に返信