Confused deputy problem
ここで、クライアントが自分には操作する権限のないリソースを指名したとしよう。deputy はそのリソースに対し通常どおり動作しようとする。deputy には十分な権限が組み込まれているから、セキュリティ機構はその動作を許可する。この組み込み権限の濫用のせいで、deputy は意に反して、セキュリティルールが排除しようとするクライアントの操作に対する間接的な共犯者になるのである。もしシステムの意味論が、「この動作は私のクライアントの権限に服すべきであります」などと deputy に主張させなければ、deputy を犯罪者にすることもないはずなのだ。
passwdコマンドの例を続けよう。このコマンドには、他のユーザのパスワードを変更するオプションがある。そのコマンドを起動したユーザの使節となって、他のユーザのパスワードを変更する権限がコマンド自体に実際に組み込まれているのである。セキュリティホールを防ぐには、passwdコマンド自体が厳しく(例えばルート権限下で動作していることを)チェックするより他ない。