面向工具调用型人工智能智能体的授权架构
Authorization Architectures for Tool-Using AI Agents
Rakesh Kumar Surapani, Pradeep Kumar Dolabehera Kakitapelli, Arun Morampudi, Praveena Padi
arXiv (Cornell University) · 2026-09-14
摘要
工具调用型人工智能智能体能够自主调用应用程序编程接口、数据库、浏览器以及模型上下文协议这类智能体间通信协议，如今已成为生产基础设施的重要组成部分。然而，关于此类智能体何时被授权代表人类行事的安全模型仍不够完善。要实现可信的人机系统，必须确保智能体的每一项关键操作都能追溯到对应的自然人主体，且操作范围不超出该主体授予的权限，同时事后可对其进行追溯与核查；但目前很少有已部署的系统能够可靠地全程满足这三项要求。现有文献仅分别探讨了这一问题的零散方面，如非人类身份的凭证管理、传统访问控制模型、提示词注入问题以及审计追踪机制，却很少关注授权决策点本身——也就是工具调用发生的时刻，以及如何确保该决策的正确性、可执行性与可追溯性。本文提出了一种以人类用户、操作员/部署者、协调智能体、子智能体及工具端点构成的主客体层级结构作为组织框架，并分析了五个相互关联的层面：智能体身份与凭证生命周期管理；跨多跳链的权限委托与范围传递；策略执行点处的运行时强制约束与即时授权；作为破坏主客体层级的授权绕过手段的提示词注入问题；以及可审计性、来源追溯性与不可抵赖性。我们通过对2023年至2026年间筛选出的约180篇候选文献中的89篇核心文献进行系统性梳理，提出了七项结构性要求，推导出四层参考架构，将相关要求应用于三种可部署的参考配置，并指出运行时强制约束与聚合边界仍是当前尚未解决的主要难题。
本摘要由 AI（Hy-MT2-Pro）翻译生成，仅供参考，请以原文为准。
AI 综述
基于全文生成- 主要观点
- 论文以「工具调用时刻」（tool invocation moment）为基本分析单元，主张 agent 调用 API、数据库、浏览器以及 MCP 等 agent 间协议的那一瞬间，是身份、意图、权限、溯源与策略必须同时汇合的安全临界点，因此授权应按单次动作（per action）判定，而不应在初始化时以宽泛凭证一次性授予。作者提出五层 principal hierarchy（L0 人类用户、L1 运营方/部署方、L2 编排 agent、L3 子 agent、L4 工具端点），并区分委托图（authority）与信息/溯源图（provenance），指出 L4 同时是授权目标与不可信内容来源，这一双重身份正是提示注入的结构性根源。据此，提示注入被重新界定为一种「授权绕过」，即不可信的第 4 层内容借用第 0 层权威的 confused deputy 变体，而非单纯的对抗性机器学习问题；agent 身份亦被界定为全生命周期问题，凭证格式只是其中一环。全文沿五个相互依赖的层次组织既有研究：身份与凭证生命周期、多跳链上的委托与范围传播、PEP 处的运行时即时授权、注入作为授权绕过、可审计性与不可否认。作者由此提炼七项结构需求（R1–R7）与四层参考架构，判定运行时执行与聚合边界（aggregation bounds）为两个主要未解缺口，并将贯穿性关切表述为人类权威：可委托有界任务、可见权威被如何使用、运行中可干预、事后可争议。
- 研究方法
- 这是一项结构化叙述性综述（structured narrative review），作者明确声明不作 PRISMA 式系统综述、不呈现流程图、不进行元分析，目标定位于概念综合与研究议程形成。检索覆盖 ACM、IEEE、Scopus 索引文献、Google Scholar、arXiv（核查同行评审版本）与出版商会议录，检索概念组合 agent tool use、agentic authorization、agent/non-human identity、delegation、prompt injection、runtime policy enforcement、agent audit/provenance，并对基础概念作前向与后向引文追踪；LLM-agent 文献主窗口为 2023–2026 年，早期文献仅用于提供基础概念。初始检索约 180 篇候选，按授权相关性、同行评审或认可预印本平台、英文、非厂商营销四条标准筛选，保留 89 篇作为一手文献，被排除者或因机制已被更强来源代表、或超出授权范围、或属无法独立核验的厂商报告。编码方案按年份、系统层次、机制族、威胁类别与证据类型五维标注，证据类型区分同行评审实证研究、同行评审概念性研究、有/无评估的预印本、已发布标准、草案规范、行业或协会报告，并在附录 A 逐条记录判断依据。在综合层面，作者以包含委托链、操作、端点对象、参数、委托范围、时序上下文与溯源证据的七元组作为跨文献比较的共同词汇（明确声明非形式语义），构建覆盖六类威胁的对手模型，再将 R1–R7 应用于三个可部署参考配置，端到端追踪一次被拒绝的调用（从人类指令经执行点到审计记录），比较执行点位置改变后的结果差异，并导出部署前检查清单。
- 学术贡献
- 理论建构层面，principal hierarchy 与「委托图/溯源图」的双图区分，为多跳授权失效、权威漂移与污染传播提供了可共享的分析词汇，使「谁授权、经哪条链、对哪个端点、受何约束、留何证据」成为可表述的问题（C1）。概念重构层面，把提示注入由对抗性输入问题改写为混淆代理式的授权绕过，并据此推导执行层设计后果（C3），对 agent 安全与注入防御两个议题均有直接的框架价值。需求层面的贡献不在于原则本身——作者自陈 complete mediation、least privilege、confused-deputy prevention 均非新创——而在于面向 agentic 语境特有失效模式（多 principal 的概率性规划器、动态工具发现、语义委托缺口、不可信内容影响决策）对需求重新界定范围，并判定哪些需求仍未被满足（C4）。方法性贡献在于把访问控制模型（RBAC/ABAC/ReBAC/PBAC 与能力机制）、IAM、隐私保护运行时与 agent 安全框架的机制系统映射到 R1–R7，逐格标注强覆盖、部分覆盖与无覆盖，并以附录 A 保留每个判定的证据痕迹，属证据分级式的 gap analysis（C5）。实践层面，三个可部署配置的应用、一次被拒调用的端到端追踪以及把执行点位置作为设计变量的对照推演与部署前检查清单（C6），对 agent 运维、合规审计与人机监督议题具有可直接取用的操作性。
- 存在局限
- 方法上，作者自认为叙述性综述且不提供 PRISMA 流程，180 进 89 的筛选中相当一部分文献以「机制已被更强来源代表」为由排除，而该判断的评分规则仅指向补充材料，正文无法复核，筛选的可重复性弱于系统综述。证据基础异质：纳入预印本、草案规范与行业/政府报告（如 177,436 个 MCP 工具的统计），虽在附录 A 标注类型，但综合结论对这些弱证据的敏感度未作分析。七项需求与四层参考架构未经过任何实现或实证检验，材料中未提及原型系统、攻击基准、用户实验或真实部署测量，三个「可部署配置」属推演性应用而非部署观测。作者自认运行时执行与聚合边界为主要未解缺口，这使「需求—机制」映射在最关键的一层留下空缺，架构完整性的主张与 gap analysis 自身的结论之间存在张力。委托关系虽以图与七元组表述，作者明确其为共同词汇而非形式语义，故 R1–R7 之间的一致性与可组合性无法被验证；威胁模型排除权重篡改、训练时操纵与硬件攻陷，模型层与供应链攻击对授权决策的后果未被覆盖；纳入标准限英文并排除厂商材料，可能系统性遗漏工程实践证据。
- 进一步研究方向
- 其一，实现 PEP 原型并建立红队基准：针对论文所列六类在范围内威胁构造可复现攻击集，测量各参考配置的拒绝率与误拒率，检验 R1–R7 能否同时满足、以及在哪些条件下彼此冲突。其二，形式化聚合边界：将委托图与溯源图合并为可判定的策略语言，验证「许可读 + 传输工具」这类组合禁则在静态分析与运行时判定下的可判定性与执行开销。其三，多跳衰减的实证测量：在分支、合并、点对点委托拓扑中注入 scope 膨胀与子 agent 失陷场景，量化 authority drift，检验委托单调衰减假设在何种拓扑下失效。其四，构建审计可重建性基准：以论文的被拒调用端到端追踪为模板，设计审计证据完整性的评分方法，比较不同 PEP 放置位置造成的证据链缺口。其五，开展注入防御对照实验：在 L2 编排层与 L4 端点层分别设置阻断，比较检测率、响应延迟与任务可用性代价，检验「注入即授权绕过」框架的可操作预测力。
本综述由 AI（deepseek-flash）阅读开放获取全文自动生成，仅供参考，不代表原文作者观点，请以原文为准。
参考文献
相关论文
话题：Access Control and Trust