arXiv cs.AI· Anmol Pandey, Aditya Jain, Liang Chen, Carsten Maple·· 11 小时前AI 评分44
为何逐动作授权在 LLM 智能体中无法组合成全局授权
Local Allow, Global Deny: Why Per-Action Authorization Does Not Compose in LLM Agents
AI 导读
研究指出，LLM 智能体的逐动作授权无法组合为全局授权：跨意图、目的、来源、同意与委托的全局策略违规，可由各自单独获批的执行或其组合触发。关系型目的违规属于 2-safety 超属性，不存在单条轨迹的归责点，因此不误报的逐动作监控无法检出，所调查的六种护栏均未实现跨执行监控。
正文 · AI 翻译
摘要：自主 LLM 智能体在逐动作授权下通过工具行动：本地守卫孤立地筛查每一次工具调用。我们表明，本地授权无法组合为全局授权。组合式授权失败（CAF）是指一次本地授权的执行，或一对本地授权的执行，违反了跨越意图、目的、来源、同意与委托的全局策略。我们从两个维度刻画 CAF：表达力（单轨迹安全性与关系型 k-安全性）与可观测性（监视器配置的阶梯）。我们的核心结果是一个不可能性结论：关系型目的违规构成一种 2-安全性超性质，不存在逐轨迹的归责点，因此一个从不误报的逐动作监视器检测不到其中任何一项，这与底层模型或决策过程无关；它们只有在跨执行监控下才可见，而我们调查的六种护栏均未实现这种监控。我们通过 AL-SYNTH 使这一结论具有构造性：这是一个 SAT/SMT 合成器（不使用语言模型），可生成最小 CAF 见证，每个见证都对照穷举预言机进行检查。经验特征十分鲜明：在九个 LLM 评判者中，逐动作视图几乎无一例外地批准合成见证，其拦截率与良性对照相当，然而同样的模型在同时展示两次执行时却会将其标记出来。因此，对于无法归约为单轨迹安全性的关系型策略合取项，逐动作授权在结构上是不充分的：要约束它们，监视器必须比较执行，或接受误报。
| 评论： | 被第 8 届 IEEE 智能系统与应用中的信任、隐私与安全国际会议（IEEE TPS 2026）录用的论文的扩展版本，包含完整证明与附录。12 页，5 幅图，7 张表。代码与数据：此 https URL |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI）；计算机逻辑（cs.LO） |
| ACM 分类： | D.4.6；F.3.1；I.2.11 |
| 引用为： | arXiv:2610.27620 [cs.CR] |
| （或 arXiv:2610.27620v1 [cs.CR] 对应此版本） | |
| https://doi.org/10.48550/arXiv.2610.27620 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Anmol Pandey [查看邮箱]
[v1]
2026 年 10 月 20 日星期二 04:35:39 UTC（96 KB）
来源：arXiv cs.AI · arxiv.org