论文提出长程智能体自生子目标的运行时授权机制

逐工具权限检查不能判定变化中的目标图是否仍实现 principal 批准的根任务。

• 场景：长时程工具智能体可分解、委托、重规划、恢复并合并子目标。作者认为下一次调用是否局部可接受，并不回答目标图是否仍实现已授权任务。
• 不足：作者指出非组合策略下的四类缺口：联合违反分离约束、恢复动作扩大账户范围、委托换成更易完成条件、状态或策略变化后计划仍局部有效。作者称 allowlist 或逐调用分类器可接受每个动作，授权任务却已被规划扩大。
• 设定与提出：一个 principal、一份已批准根契约、有限结构化域。规划器与自由文本不可信；强制结构须由 principal 或受信策略服务批准，不声称一般自然语言蕴含。创建、替换、同根委托和同根 join 须带版本绑定 witness；受保护效应在提交边界再对照活动目标与剩余允许迹。
• 威胁模型：
  • 系统与性质：单 principal、单根。智能体可建有向无环目标图并显式创建、替换、同根委托、同根 join、取消和关闭。主性质 prefix safety 与完成与否无关；功能性质有条件，不要求找到计划或终止。
  • 对手：可控制目标图、自由文本、检索、记忆、worker 输出、顺序、重试和参数；可放宽子目标、拆到兄弟、换成更易代理、重用过期 witness、跨根冒充、抢先提交或换语义重放。
  • 不能：不能攻破 registry、checker、版本源、receipt store、normalizer 或 commit adapter，不能无检测改写哈希链接 receipt 或绕过已注册边界。只提供篡改证据，无公钥来源认证；fail-closed 下拒绝服务仍可能。

论文第 3 节把机制放在引用监控、层次规划和工具智能体安全之间。作者称时序策略、在线干预和规划形式本身都不是新颖性主张。

授权与迹强制

• 前缀强制：Saltzer 与 Schroeder（1975）要求安全相关操作在权威边界受检。Schneider（2000）的安全自动机、Ligatti 等（2005）的 edit automata，以及 Basin 等（2013），刻画可由有限观察强制的策略边界。Edjlali 等（1998）说明同一当前操作在不同前缀后可以有不同决定。作者称这些结果动机了效应适配器和版本化上下文，但没有定义对规划器目标图变更的授权。
• 安全与活性：Alpern 与 Schneider（1985）区分有限坏前缀和最终进展。作者称主定理是完全中介和 sound 抽象下的安全结果；成功定理以关闭为条件，不断言终止。屏蔽可拦住不安全的下一步（Alshiekh 等，2018）；作者称这不是新颖性主张。

层次规划与精化

• HTN/HGN：HTN 按领域方法递归分解抽象任务（Erol 等，1996；Georgievski 与 Aiello，2015；Nau 等，2003 的 SHOP2）。HGN 给分解目标以状态语义和方法正确性条件（Shivashankar 等，2012；Chan 等，2026）。精化映射更早（Abadi 与 Lamport，1991）。
• 作者的差别：作者称这些形式说明受信领域知识如何组织规划，并不回答不可信智能体在运行时提出的分解是否在安全委任下被授权、证据在策略或相关状态变化后是否仍当前，以及提交时效应是否仍匹配活动目标。本文不引入规划形式。

工具智能体评测

• 有状态环境：ToolEmu、AgentDojo、InjecAgent、Agent Security Bench、SafeArena，以及 AppWorld、WebArena、OSWorld、τ-bench，被用来说明工具使用有状态、多步，并可出现对抗或违反策略的轨迹。作者称一个环境上的成功不是普遍安全的证据。
• 长时程：AgentLAB 评估含目标漂移的自适应攻击；MT-AgentRisk 评估有害多轮工具使用。目标误泛化提供相关证据（Langosco 等，2022）。预印本 ATBench、HINTBench、SafetyDrift、Constraint Drift 只用于界定问题。作者称这些威胁类别是先前工作，不是本文贡献。

运行时近邻与基线

• 近邻：AgentSpec、Formal Methods Meet LLMs 和 CaMeL 为同行评审近邻。CaMeLoT 检查整份生成计划；作者按其 2026-10-02 截止将其标为 accepted、会议录尚未可得，并区分初始计划验证与执行开始后的图变更授权。预印本 Agent-C、VIGIL、RGE、行为契约和目标完整性结构强制仍约束措辞：时序强制、漂移监控、契约、架构分离和谱系都不称为新。
• 基线与语料：学习漂移监控和 HTN/HGN 只作概念定位，未再实现为准确率基线。Section 7.3 的六个逻辑控制是无记忆动作 allowlist、静态目标效应集、逐步声明目的、终态检查、历史感知完整续写检查和完整转移授权。语料为 48 个配对模板；24 个映射到 SWE-bench Verified、AgentDojo、τ-bench、OSWorld 的冻结标识，论文写明这不是基准执行。
• 定位：Table 1 按受控对象和决定点比较，不排名。作者把贡献定为所述模型中的授权连接：不可信智能体提议版本化单根目标图变更；独立检查器要求新续写保守精化当前授权的可检查证据；相关版本变化使证据失效；commit adapter 在提交前对照活动节点和剩余迹检查受保护效应。

机制在规划器之外，把目标图变更和受保护效应提交分成两次检查。它不依赖特定提示方法、模型提供方或私有思维链。受信计算基是契约 registry、转移检查器、effect normalizer、状态/版本源、receipt store 和 commit adapter。

根契约与未来迹

根与子目标共用已注册的类型化效应和状态词汇。根契约是 C=(ρ,η,s₀,L_C,B_C,Q_C,R_C,O_C)，依次为授权根、不可变纪元、初始状态、含空迹且前缀封闭的允许迹语言、禁止状态、根关闭谓词、资源包络和未解决义务。契约由 principal 提供或明确批准。版本向量记录纪元、策略版本、相关状态版本和图修订。带外观察若改变证明依赖的状态分量，相关状态版本前进；受中介的效应则原子更新建模状态、迹摘要、图修订、剩余语言和所选 witness。新根契约开启新纪元，不是普通图编辑。策略可以非单调；授权规则是新鲜度，不是与旧策略比较。

对当前状态、已提交迹和前缀封闭的未来集，SafeFuture 要求已提交迹属于允许语言，且每条未来迹的每个前缀接上后仍被允许，其可达状态不与禁止集相交。它约束顺序、重数和依赖状态的组合，不是单个效应的扁平成员测试。

图、组合与 witness

目标图有限无环，含包含边和兄弟优先边。节点记录标识、授权根、父节点、修订、关闭谓词、续写的前缀封闭 sound 过近似、可关闭子集、资源、未解决义务、逐前缀框架和授权时的版本。文本只是审计元数据。

• 路径与 join：普通转移沿一条新鲜的叶到根路径检查。兄弟不是隐含并发；要联合可执行必须显式 join。组合保留内部顺序和已见证偏序下的全部有限前缀，作者写明它不是集合并。替换产生新修订，不就地改已授权节点。委托改执行者，不改授权根。跨根 join 被拒绝。
• W1–W7：witness 绑定根、纪元、基线与新图修订、策略和状态版本、父修订和编辑摘要。Allow 要求身份与版本当前、同根且无环、续写非扩张且被当前策略接受、禁止状态与活动框架保持、资源聚合不超出父和根、子节点不能新造或擅自删除授权义务、关闭状态上父成功谓词被精化。非扩张写成 K_Δ ⊆ K_p ∩ t⁻¹L_C。
• 四种结果：确切反例或结构失配为 Deny；过近似里不能确认为具体的不安全路径为 Indeterminate；版本变化为 Reauthorize。后两者都阻断受保护效应。只有 Allow 使转移生效。

操作规则与假设

配置含契约、状态、已提交迹、图、版本、已接受 witness 和生命周期。规则分五类：授权图编辑并原子安装；提交效应，要求当前 witness 且该效应仍被剩余语言承认，再原子更新状态、迹和剩余语言；带外策略或相关状态变化挂起执行并失效依赖 witness；按当前版本重授权，或取消未来路径；在当前 witness 下关闭。取消是墓碑，不是完成证据，也不能单独恢复挂起执行。替换根契约需要 principal 授权新纪元，不在所证系统的内部步骤中。

• A1–A8：受保护外部效应完全中介；规范化与适配器忠实；注册转移关系 sound 覆盖契约所用建模效应和非确定性；各节点续写集 sound 过近似其有限续写；检查器在受信理论中 sound 验证 W1–W7；版本前进、失效、安装和提交有共同原子顺序；初始根良构且 SafeFuture 成立；单 principal、单根。
• 主张边界：作者称系统不保证 principal 选了可取契约，不发现未建模物理后果，不声称终止，也不判定任意自然语言蕴含。带外事件可独立造成禁止世界状态；授权不能撤销该外部事件。
• 五则陈述：作者称 Theorem 1 在 A1–A8 下保持已提交迹属于允许语言，可运行配置上的受保护效应不产生建模禁止后继，且已安装目标不扩大资源、不能丢弃未解决义务。Theorem 2 称根关闭且义务已清偿时，终止建模状态满足根谓词，不断言找到计划。Lemma 1 给出一个前缀封闭策略，使只看当前效应和静态扁平 allowlist 的控制不能同时安全、又对每条安全单步迹都允许。Proposition 1 称 Algorithm 1 在有限注册域上终止，Allow 当且仅当编辑满足 W1–W7。Proposition 2 称若较粗 sound 抽象通过普遍 SafeFuture 子检查，较精确且仍覆盖具体续写的抽象也通过；仅精化抽象不能制造新的具体 Deny。Appendix A 写出推导。

参考剖面

可执行证据用确定性类型化状态变换器；数学模型允许非确定关系。实现保存最大完成迹，语义语言取其前缀闭包。直接上限为 64 个保留目标、每目标 256 条最大续写、每续写 64 个效应、约束数组 256 项、8 个 join 源、28 条优先边；精确 join 另有 4096 的内部工作守卫，超限则 fail closed。未知字段、缺失观察、无界续写和抽象含糊返回 Indeterminate 或 Reauthorize，不转成 Allow。不可比分量的洗牌上界随迹长阶乘增长；作者称更大部署需要符号偏序归约或领域求解器，而不是把该枚举器当作可扩展的一般规划器。

实验设置

• 对象：完整转移授权及五类比较器。论文写明策略结果不把语言模型当主评审；上游路径不需要模型提供方、网络、凭证或实时网站。
• 语料：48 个模板各含 1 个 benign 和 1 个 drifted，共 96 例；结构模式 25 个（Table 4）。八类为 create、replace、replan、同根委托、同根组合、过期 witness、非法效应顺序、资源范围扩大。操作设定来自软件、数据、行政和基础设施工作流，另有一个访问授予案例。
• 公开来源：24 个模板一对一映射到 SWE-bench Verified、AgentDojo、τ-bench、OSWorld 的冻结标识，只取任务形状和操作词汇。论文写明这不是执行这些基准。
• 比较器：无记忆动作 allowlist、静态目标效应集、逐步声明目的、终态检查、历史感知完整续写检查。各只接收其定义投影。历史感知检查收到根迹策略、效应目录与转移语义、禁止与必要终止谓词、当前状态、完整已提交前缀、提议续写和成功谓词。
• 判定：真值来自已注册有限转移语义。独立检查器从 receipt 重建图、版本、迹、预留和终止状态，不导入运行时的策略函数。提交后检测与提交边界上的预防分开报告。结果是冻结注册表上的精确计数，论文写明不推断总体流行率，也不做总体显著性检验。
• 分母：协议检查 65；上游 32 例、258 次原生分发；Apple M4 Max 上 25 个结构代表、30000 次计时操作；规模研究 129 格、每格 200 个延迟样本、共 25800。分母不合并。

主结果

下表据 Table 5。Benign 列是 48 个 benign 中完成的个数；其余列针对 48 个 drifted。

Swipe horizontally to read the table

机制	Benign完成	Forbidden	Prevent	Deny	Reauth.
无记忆动作 allowlist	48	33	4	4	0
静态目标效应集	48	33	9	9	0
逐步声明目的	48	33	9	9	0
终态检查	48	33	4	4	0
历史感知完整续写	48	0	37	37	0
完整转移授权	48	0	48	43	5

• 时机：38 个 drifted 图编辑在工作流的任何受保护效应之前被拒；5 个过期版本案例挂起根；5 个非法顺序案例只执行允许前缀，下一步在效应门被拒（Section 8.2）。
• 投影外的 11 例：历史感知检查的 Commit 为 11，作者分为 5 个资源扩大、5 个过期 witness 和 1 个 join；缺失的类型化证据不改变轨迹投影，且该行 Forbidden 为 0。完整机制用资源、新鲜度和显式 join 证据挡住这 11 个。作者称这不建立相对其他运行时监控、规划器或学习分类器的经验优越性（Section 8.3）。
• 检测与预防：终态检查另有 Post-detect 列（Table 5）。作者称 Commit 不一定是禁止状态。比较器是逻辑控制类，不是被引系统的再实现。

分离例与符合性

• 分离：Section 2 用两个布尔状态。诊断任务把 select(unreviewed)、record(review)、route(production) 列为个别允许操作，但禁止 review 未清偿时到达未审工件且生产流量指向它的状态。无记忆检查器在漂移迹末步看到与安全迹相同的 route(production)。Figure 1 图注写明不安全分支在目标替换被提议时被拒绝，早于生产路由效应可提交。
• 有限模型：作者报告完整剖面到达 340 个状态、419 次转移且无不变式违反；最短路深度最大为 10（Section 8.1、Appendix A.7）。独立 oracle 同意 13 个初始提案及迹集，含 4 个可接受提案；不独立检查完整 340 状态系统、新鲜度生命周期或参考实现。13 个单缺陷变体各有保留反例。
• 符合性：65 项检查通过，14 正、51 负，覆盖 43 个门。超限返回 Indeterminate 及剖面限制原因。独立检查器重建 96 条记录、重放 867 条 receipt，拒绝 48 族共 2692 个突变体，其中 1631 个外层哈希被一致重算，另有 4 个独立超限输入（Section 8.4）。作者称数学安全主张仍依赖 Section 4 的假设。

上游路径与局部代价

• 分发：AgentDojo 走 FunctionsRuntime.run_function，τ-bench 走 Env.step 再 Tool.invoke。32 个案例、258 次原生分发；32 个案例决策和 32 条 receipt 链匹配，16 对案例记录和 16 个保留状态在两条路径间匹配。作者称这是无提供方的分发集成，不是基准执行（Section 8.5）。
• 代价：Table 6 的中位数延迟为转移授权 83.584 微秒、效应授权 22.292、效应提交 42.375；对应 receipt 为 1348、847、1673 字节。p99 分别为 225.166、57.167、147.000。保留状态中位数在转移决定后 5470 字节、效应提交后 8866 字节。作者称这不是吞吐或生产容量估计；初始化、上游模型延迟和网络延迟在计时区外。

有限包络敏感性

129 格的决策和 reason 全部匹配；验证器接受 25800 个延迟样本、129 条内存记录和 14 个预检。被阻断单元格不改变保留授权状态（Section 8.6）。

• 比值：Figure 3 标注的同族 Allow 中位数比中，目标数 1.01×、链深 1.05×，迹长 7.45×、续写数 139.80×、活动框架 146.51×、join 输出 68.01×。作者称这是族内描述性比值，相邻点不必单调，不支持跨族因果或渐近结论。
• 边界与内存：Table 7 中直接表示边界上为 Allow，超限一格为 Indeterminate/E_PROFILE_LIMIT。ITC-EXACT 在 4096 个迹选择后返回 Deny/E_JOIN_COMPOSITION，作者称这不把 4096 确立为被接受的 join 输出容量。Allow 格最大 p99 为 F-256 的 26739.833 微秒。中位相对块中位绝对偏差 1.43%，129 格中 123 格不超过 5%。64 个目标时保留状态 296080 字节；立即堆差中位数 687016 字节，GC 后 84680 字节。作者称内存数不是峰值分配，也不是可移植的每次调用成本。

其他消融与分析

• 48 个 drifted：9 create、5 delegate、9 replace、9 replan 因迹扩张 Deny；5 个资源范围 Deny；1 个 join 因组合不完整 Deny；5 个非法顺序在效应门 Deny；5 个过期 witness 要求 Reauthorize（Section 8.2）。
• 无记忆对照的 Forbidden 见主表；作者称这只针对所述无记忆决定类和注册序列约束，不刻画每一个访问控制系统（Section 8.1）。
• 直接上限：64 目标、每目标 256 条最大续写、每续写 64 效应、约束数组 256、8 个 join 源、28 条优先边；内部守卫 4096（Section 6.2）。
• 拓扑序探针观察到 720 与超限的 5040，没有恰好 4096 的 fixture（Table 7）。
• A-128 允许 256 条规范化 join 续写；下一格供给 258 条并返回 Indeterminate，不截断（Section 8.6）。
• P-256 只是预声明观察上限，Table 7 写明不据此推断策略谓词上限。Appendix A.7 检查四迹宇宙上的 256 个嵌套语言三元组。

论文没有题为 Future Work 的专节。Section 10 与 Section 9 写出主张边界。

作者指出的局限与后续方向

• 外部范围：四个操作域、一个访问授予 join 夹具和两条公开工具路径，且作者称至少一半模板植根于公开来源；这些不代表每一个智能体框架、企业策略或物理环境。主张限于已注册任务族和有限契约剖面。适配器证据不是上游项目内部署，也不是其作者背书（Section 10）。
• 评测边界：评测的是类型化变更被提交之后的强制；提案频率和规划质量是分开的结果。主结果度量该模型内的授权，不是每一种有害的现实后果（Section 10）。
• 规模研究：单主机、一次一因子的合成夹具，不估计维度交互、生产吞吐、并发或分布式行为、端到端智能体延迟，或未见契约上的性能。五个块中位数不是独立机器或总体重复；论文不报告置信区间或显著性。边界单元格只说明该注册输入上的行为，不是建议的持续运行容量（Section 10）。
• 形式前提：安全定理依赖 sound 转移语义、未来迹的 sound 过近似、相关版本新鲜、完全中介和忠实 commit adapter。有界探索不代替数学推导。有限判定只在可达性精确且类型化约束于已注册域可判定时成立（Section 10）。
• 可用性与不可逆效应：fail-closed 允许以反复无效或含糊提案造成拒绝服务。条件成功保持不承诺规划器找到有效计划或终止。适配器外的效应不在受保护执行内；使 witness 失效不能逆转已完成的物理动作（Section 10）。
• 单根与相邻控制：组合独立授权根需要单独模型，检查器拒绝这种组合，而不是给出未推导的规则（Section 10）。Section 9 称贡献是授权协议和不变式，不是增量检查普遍更快；该机制也不替代调用方认证、凭证隔离、来源追踪、输入清洗、速率限制或结算协议。

实验覆盖范围

• 受控语料为 48 个上下文模板、96 个 benign/drifted 配对和 25 个结构模式；八类为 create、replace、replan、同根委托、同根组合、过期 witness、非法效应顺序和资源范围扩大（Section 7.2、Table 4）。
• 24 个模板一对一映射到 SWE-bench Verified、AgentDojo、τ-bench 和 OSWorld 的冻结标识；论文写明来源只贡献任务形状和操作词汇，映射不是这些基准的执行（Section 7.2）。
• 六个比较器各接收 Section 7.3 规定的投影。学习漂移监控和 HTN/HGN 规划器只作概念定位，论文写明未再实现为准确率基线（Section 3.5）。
• 上游路径为 AgentDojo 的 FunctionsRuntime.run_function 与 τ-bench 的 Env.step 和 Tool.invoke，各 16 个案例。策略由已注册有限转移语义判定；论文写明不把语言模型当主评审，且不需要模型提供方（Section 6.1、7.4）。
• 独立 oracle 重算 13 个初始提案；论文写明不独立检查完整 340 状态转移系统、新鲜度生命周期或参考实现（Section 4.6）。主代价 30000 次与规模研究 25800 次的分母不合并（Section 1.4）。

长时程工具使用把目标演化变成授权状态的一部分。本文在单 principal、单根、有限结构化域中，把自生成子目标的创建、替换、同根委托和同根 join 做成可检查转移，并在提交边界重查受保护效应。

• 机制：根契约固定允许迹、禁止状态、资源、义务和关闭谓词。自由文本不授权。只有 Allow 使变更生效；反例为 Deny，证据不足为 Indeterminate，相关版本变化则挂起并要求 Reauthorize。规划器、worker 和自由文本留在受信计算基之外。
• 形式主张：作者称在明确的中介、抽象、新鲜度和原子性假设下，已提交迹留在根允许语言内，且不产生建模禁止状态。根关闭时的必要终止谓词保持是有条件的。无记忆扁平 allowlist 被分离：同一当前动作可因前缀不同而需要不同决定。
• 配对案例：48 个模板的 96 个案例上，完整机制完成全部 48 个 benign，并在 48 个 drifted 上零禁止状态提交（Table 5）。无记忆 allowlist 在 33/48 个 drifted 进入禁止状态（Table 4）。历史感知完整续写检查预防 37 个且 Forbidden 为 0，但仍提交 11 个、其违规落在轨迹投影外的资源、新鲜度或 join 证据上（Table 5、Section 8.3）。
• 其他证据：两条公开上游路径的 32 个案例、258 次原生分发，案例级决策和 receipt 链均匹配。129 个冻结合成单元格的决策和 reason 全部匹配。作者称规模曲线刻画有限剖面，而不是生产可扩展性。有限模型到达 340 个状态、419 次转移，作者报告无不变式违反；独立 oracle 不检查这整个状态系统。
• 结论：作者称，在已注册结构化域和中介假设内，运行时授权可以保留重规划、委托和恢复，同时避免自生成子目标成为新权威。Section 9 的启示是把激活子目标当成授权相关配置，而不是去管制私有推理文本。