Synthesizing Access Control Policies using Large Language Models

📄 arXiv: 2503.11573v1 📥 PDF

作者: Adarsh Vatsa, Pratyush Patel, William Eiers

分类: cs.SE, cs.AI, cs.CR

发布日期: 2025-03-14

备注: to be published in the NLBSE Workshop at ICSE 2025

💡 一句话要点

利用大型语言模型合成访问控制策略，提升云环境安全性。

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 访问控制策略 大型语言模型 零样本学习 云计算安全 策略合成

📋 核心要点

  1. 手动编写访问控制策略易出错且复杂，难以保证云环境安全性。
  2. 利用大型语言模型，通过零样本提示，自动合成访问控制策略。
  3. 实验表明，基于语法的结构化提示能有效提升策略合成的准确性。

📝 摘要（中文）

本文研究了如何利用大型语言模型（LLMs）合成访问控制策略。在云计算系统中，管理员需要编写访问控制策略来管理对私有数据的访问。然而，手动编写的策略往往复杂且容易出错。本文探讨了如何使用LLMs，通过零样本提示，根据访问控制请求规范合成格式良好且符合规范的访问控制策略。研究考虑了两种场景：一种是请求规范以允许或拒绝的具体请求列表给出，另一种是使用自然语言描述来指定允许或拒绝的请求集合。研究表明，对于零样本提示，需要更精确和结构化的提示，并使用基于语法的策略。初步实验结果验证了该方法的有效性。

🔬 方法详解

问题定义：论文旨在解决云环境中手动编写访问控制策略所带来的复杂性和易错性问题。现有的手动方法需要管理员具备专业的知识，且容易因疏忽或错误配置导致安全漏洞。因此，如何自动化生成准确、可靠的访问控制策略是一个关键挑战。

核心思路：论文的核心思路是利用大型语言模型（LLMs）的强大生成能力，通过零样本提示，直接从访问控制请求规范生成相应的策略。这种方法旨在减少人工干预，降低出错概率，并提高策略生成的效率。

技术框架：论文采用零样本提示的方式，直接将访问控制请求规范输入LLM，并期望LLM能够生成符合规范的访问控制策略。研究主要分为两个阶段：首先，定义访问控制请求规范的格式，包括具体请求列表和自然语言描述；其次，设计合适的提示语，引导LLM生成正确的策略。研究重点在于设计更精确和结构化的提示语，以提高LLM的生成效果。

关键创新：论文的关键创新在于探索了使用大型语言模型进行访问控制策略合成的可能性，并提出了基于语法的结构化提示方法。与传统的策略生成方法相比，该方法无需训练数据，可以直接利用LLM的通用知识和推理能力。

关键设计：论文的关键设计在于提示语的设计。研究发现，简单的自然语言提示效果不佳，因此提出了基于语法的结构化提示方法。具体来说，研究人员设计了一套语法规则，用于描述访问控制请求规范，并将这些规则融入到提示语中。这种方法可以帮助LLM更好地理解请求规范，并生成更准确的策略。具体的参数设置和网络结构取决于所使用的LLM，论文中没有详细说明。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

论文初步实验结果表明，基于语法的结构化提示方法能够有效提升LLM合成访问控制策略的准确性。虽然论文没有给出具体的性能数据，但强调了结构化提示的重要性，并验证了其可行性。未来的研究可以进一步优化提示语的设计，并探索更复杂的访问控制场景。

🎯 应用场景

该研究成果可应用于云计算安全领域，帮助云服务提供商和用户自动生成和管理访问控制策略，降低安全风险，提高运维效率。未来，该技术可扩展到其他安全策略生成领域，例如网络防火墙规则、数据加密策略等，具有广阔的应用前景。

📄 摘要（原文）

Cloud compute systems allow administrators to write access control policies that govern access to private data. While policies are written in convenient languages, such as AWS Identity and Access Management Policy Language, manually written policies often become complex and error prone. In this paper, we investigate whether and how well Large Language Models (LLMs) can be used to synthesize access control policies. Our investigation focuses on the task of taking an access control request specification and zero-shot prompting LLMs to synthesize a well-formed access control policy which correctly adheres to the request specification. We consider two scenarios, one which the request specification is given as a concrete list of requests to be allowed or denied, and another in which a natural language description is used to specify sets of requests to be allowed or denied. We then argue that for zero-shot prompting, more precise and structured prompts using a syntax based approach are necessary and experimentally show preliminary results validating our approach.