动态能力治理：人工智能智能体工具使用的加密绑定与可复现性验证
Governing Dynamic Capabilities: Cryptographic Binding and Reproducibility Verification for AI Agent Tool Use
Ziling Zhou
arXiv (Cornell University) · 2026-03-15
摘要
人工智能智能体能够动态获取工具、协调子智能体并在组织边界间开展交互，但现有安全机制无法验证智能体的实际能力、其是否履行了宣称的操作，以及多智能体交互过程中的具体行为。我们认为这一缺陷源于能力要素与上下文的分离：在Transformer模型内部，工具定义与用户上下文均为无法区分的标记，但在智能体协调层，二者具备截然不同的安全语义。现有框架将二者混为一谈，导致智能体能力悄然升级且交互过程缺乏可验证的来源记录。基于上述原理，我们提出了三项智能体治理要求：能力完整性（G1）、行为可验证性（G2）以及交互可审计性（G3），明确了受治理的智能体生态系统必须强制落实的规则，而无需限定具体实现方式。我们推导出了两项结构性结论：链式可验证性定理（只要存在一个无法验证的内部智能体，就会破坏所有下游节点的端到端验证）；有界偏差定理（基于回放机制的验证可给出概率性安全证明，其中误差上限epsilon小于等于1减去alpha的1/n次方）。我们通过两种不依赖特定密码学的实现方案验证了该理论——基础方案采用Ed25519算法与SHA-256哈希函数，验证耗时97微秒；增强方案采用BBS+选择性披露技术与Groth16 DV-SNARK协议，验证耗时13.8毫秒——二者均满足九项安全属性。一项涵盖9种模型、7家供应商的可复现性研究揭示，推理过程的确定性存在5.8倍的差异，这一结果将模型特性与治理架构联系起来。对包含5至20个智能体的流程进行的端到端评估表明，该方法带来的开销低于0.02%，不仅能检测出所有攻击场景，且无任何误报情况。
本摘要由 AI（Hy-MT2-Pro）翻译生成，仅供参考，请以原文为准。
AI 综述
基于全文生成- 主要观点
- 论文的核心论点是：AI agent 治理的真空不是缺少密码原语，而是缺少一个架构区分——「能力—上下文分离」。在 transformer 前向传播中，工具定义与用户上下文都是不可区分的 token 序列，但在编排层，工具定义决定哪些现实动作是可能的（低频变化），运行时上下文决定哪些动作被选择（每次交互变化）；既有框架将二者混同，由此产生「静默能力升级」与跨 agent 交互无可验证溯源两类失效。作者据此提出三项治理要求：能力完整性 G1（身份与完整能力集——模型、工具、权限——密码绑定，能力变更即令凭证失效）、行为可验证性 G2（声明的计算过程可被独立核验）、交互可审计性 G3（防篡改记录以支持取证与责任归属），并以 12 个攻击场景论证三者必须同时成立：缺失任一或任两项均有未防御攻击，仅 G1∧G2∧G3 闭合全部向量。论文进一步给出两个结构性结论：链可验证性定理指出一个不可验证的内部 agent 即破坏所有下游节点的端到端验证；有界发散定理把基于重放的验证转化为概率安全证书 ε≤1−α^{1/n}。作者另提出 Agent 治理三难（借 Rice 定理）：对图灵完备 agent，能力、性能与安全不可同时最大化。经验层面，9 模型 7 提供商、15,120 次比较的测量显示推理确定性存在 5.8 倍差异，并主张这一差异决定模型可占据的信任树位置。
- 研究方法
- 论文以形式化建模与定理证明为主干：将信任基础设施建模为带类型约束的有根有向树 T=(V,E,r,τ)，τ 区分非 agent 节点 NA 与 agent 节点 AG，规定 AG→NA 边结构禁止、约束 κ 沿边单调衰减（max_tier 不增、max_depth 严格递减、allowed_models 取子集、max_rate 不增）；敌手为 PPT 模型，具备 Dolev-Yao 网络控制、至多 k 个 agent 节点被攻破、伪造新 agent、静默能力升级、交互注入五项能力，但不得攻破非 agent 节点或破解标准密码原语。在此模型上定义能力绑定证书结构、技能清单哈希与四阶段验证算法，并证明链可验证性与有界发散两个定理。实现层面给出两套加密无关实例：basic（Ed25519、SHA-256、哈希链，验证约 97µs）与 enhanced（BBS+ 选择性披露、Groth16 DV-SNARK，约 13.8ms），并按阶段分项计时（链完整性 97µs、能力绑定 <1ns、层级检查约 0.02µs、记录与签名约 448µs，合计约 0.62ms）。实证由三块构成：9 模型 7 提供商的推理确定性可复现性测量；5–20 个 agent 流水线、真实 LLM 调用的端到端评估（<0.02% 开销、7 个端到端攻击场景零误报）；9 个结构性攻击作为自动化单元测试、3 个运行时行为攻击借 Nemotron-AIQ 轨迹做回溯取证。
- 学术贡献
- 理论建构层面，论文提出「能力—上下文分离」这一架构抽象，用以解释既有四层版图（身份平台、授权框架、运行时网关、治理平台）为何系统性漏检能力漂移，并指出即使 BAID 这类以 zkVM 绑定程序承诺 CP=CommitProg(P) 的强密码学方案，也因动态获取的工具落在能力包络之外而失效。它将 G1–G3 表述为「做什么而非怎么做」的治理契约，并以链可验证性定理、有界发散定理与治理三难提供约束性推论（如高确定性模型应置于信任树内部位置）。方法上，论文把治理逻辑与密码学机制分离，采用加密无关的可插拔设计（类比 TLS 密码套件协商），使 basic 与 enhanced 两套实例在相同安全语义下按隐私需求取舍，并以软件重放路径把 G2 刻画为 TEE 的概率近似。材料与实证层面，多提供商可复现性测量（15,120 次比较、5.8 倍确定性方差）把模型特性与治理架构中的位置资格直接挂钩，为 AI agent 安全与可信治理的交叉议题提供了新的经验材料。
- 存在局限
- 敌手模型明确排除对非 agent 节点的攻破与密码原语破解，也未把模型权重、微调适配器等供应链篡改纳入攻击面（ATK-2 的模型替换仅以检测为目标），框架对模型侧后门的覆盖材料中未明确提及。软件 G2 的可行性依赖推理近似确定性，但作者自测的确定性方差达 5.8 倍，而有界发散定理中重放次数 n 与 ε 的取值权衡、及其在多提供商环境下的实际标定，材料中未明确给出。增强实例开销约为基本实例的 142 倍（证明生成约 14.7ms、验证约 13.8ms），但评估是否在跨组织选择性披露场景下端到端测量时延，材料中未明确提及。端到端验证规模限于 5–20 个 agent 的流水线，7 个端到端攻击场景加 9 个单元测试、3 个回溯取证案例，与生产级多租户、跨组织大规模信任树的复杂度仍有距离。ATK-10 至 ATK-12 的处理是事后取证（依托 ηin、ηout 内容承诺与重放），对在线实时阻断能力未作说明。治理三难的不可能性结论基于 Rice 定理，对受限（非图灵完备）agent 类别如何放松，材料中亦未展开。
- 进一步研究方向
- 其一，在受限计算模型（有限工具集、有界循环的 agent）上重证或放松治理三难，给出能力、性能、安全可同时满足的参数区间，并以原型实现检验该区间的可达性。其二，围绕 ε≤1−α^{1/n} 做系统标定：在同一批 9 模型 7 提供商上取 n∈{1,3,5,10}，测量误判率、重放开销与信任树位置资格的对应关系，把 5.8 倍确定性方差数据转化为可操作的模型—位置分配规则。其三，将敌手模型扩展至模型供应链，把权重与适配器哈希并入技能清单，针对 ATK-2 的变体（微调替换、量化降级）测检测率与误报。其四，在真实跨组织信任树上量化 BBS+ 选择性披露的端到端延迟与隐私收益，比较 basic 与 enhanced 在多层 NA→AG 结构下的成本曲线。其五，把 ATK-10 至 ATK-12 的事后取证前移为在线检测，利用内容承诺做流式比对，并测量由此引入的延迟与误报代价。
本综述由 AI（deepseek-flash）阅读开放获取全文自动生成，仅供参考，不代表原文作者观点，请以原文为准。
参考文献
相关论文
话题：Cryptography and Data Security