研究者提出 AI Agent 获取资源的运行时授权架构

一次已授权的获取，并不决定返回资源能否成为任务可使用的权限。

• 场景：作者称自主智能体的成功调用可能返回 API 凭证、托管服务、计算环境、账户或新的远程智能体。作者认为这使资源获取成为访问控制事件；公开评测已把获取资源和部署到计算环境当作自主复制的组成部分。
• 现有层次：作者称支付可绑定订单与付款，预算可核对价格仍低于限额，OAuth 可授权供应端点，工具清单也可保持不变。这些对象各自成立，仍不确立返回资源可以成为该任务的可执行权限。同一云创建调用既可能得到任务局部只读角色，也可能附上更宽的服务身份，交易记录却可以相同。
• 观察：作者把事件分成 propose、reserve、dispatch、quarantine、resolve、activate。激活是对结果能力和当前完整获取图的另一次授权。三个见证是：交易侧谓词全真，解析结果却是带外部网络效果的管理员凭证；零价格别名登记超过包络允许的一个活动后代；退款恢复金钱而不销毁凭证。
• 本文提出：溯源有界的运行时授权。它隔离获取输出，经版本化解析器从已认证提供者证据得到实际能力，并只通过当前激活事务激活。该事务检查已解析清单、溯源、epoch，以及类型化资源–能力超图上向下封闭的关系包络。
• 威胁模型：
  • 资产与成功：受保护的是被中介任务的可行使权限，不只是清单。成功包括无当前获取根的可执行资源，违反效果、目的、受益人、提供者、多重性、委托、复制或共持有条款，激活记录提交前发布句柄，一个激活槽产生两个活动权限，把退款当成仍存活能力的销毁，以及状态过期后仍接受受保护效果。
  • 能控制的：对手控制智能体规划，并可协调同一 authority domain 下的全部后代。可选合法调用、合法支付路径、免费档、折扣、退款、账户别名、并发订单、重试时机和凭证转移；可重放、利用崩溃、出示过期画像、用请求字段替换实际字段，或在策略、身份、提供者或撤销 epoch 变化后使用资源。提供者可以返回比请求更强或配置不同的资源。
  • 不能做的：不能伪造受信签名或摘要，不能攻破参考监控器，不能打破 broker 隔离，也不能在每个已声明中介边界之外产生受保护效果。已注册画像中，解析器用的证据按该画像认证；缺失或含糊证据得到 indeterminate，从不推断授权。
  • 域外：未中介的离线资源、已注册证据画像之外的隐藏提供者行为、任意社会工程、侧信道和不可建模的物理后果在定理域之外。域内证据缺失、不一致、过期或超出包络时，监控器失败关闭。

论文在第 2 节把相邻控制分开，在第 9 节按四组讨论相关工作。区别只写论文明确写出的那一层。

保护、使用控制与有状态授权

• 最小权限与 HRU：Saltzer and Schroeder (1975) 给出最小权限和完全中介；Harrison、Ruzzo and Ullman (1976) 形式化权利获取，并给出一般安全性的不可判定边界。作者用有限、已注册的转换闭包和可判定包络，不声称判定任意权利获取安全。
• 使用控制与属性授权：UCON（Park and Sandhu, 2004）建模可变属性与持续授权；ABAC（Hu et al., 2014）和零信任（Rose et al., 2020）提供属性与资源中心的策略基础；Cao et al. (2024) 的有状态最小权限依赖先前云动作。作者称本文的对象是把提供者创建的资源接纳为权限的图转移。
• 关系图与令牌：Zanzibar（Pang et al., 2019）在已接纳关系上做生产规模判定；Macaroons（Birgisson et al., 2014）和 OAuth 的受众限制、令牌交换、结构化授权提供可编码进描述符的约束。Fett et al. (2016) 表明 OAuth 的保证依赖显式协议与威胁假设。作者称，即便这些保证成立，令牌有效仍不确立外部返回资源在完整获取图下可接纳。

智能体授权与动态能力

• 工具边界评测：ToolEmu（Ruan et al., 2024）和 AgentDojo（Debenedetti et al., 2024）暴露高风险工具包中的后果性失败，并评测返回数据携带对抗指令时的工具使用。作者称它们建立了中介智能体–工具边界的需要，但不定义提供者创建的账户、凭证、权益或主体如何变为活动权限。
• 调用前与执行不变量：OWASP ACS v0.1 标准化观察智能体与守护智能体之间的钩子和可观测平面，策略语义留给 Guardian。任务范围授权（Sharma et al., 2026）、AIP（Prakash, 2026）、Bounded Agents（Muruaga, 2026）和 HCP（Liu, 2026）把动作绑到任务、委托链或 MCP 式句柄溯源。作者称这些管理已有权限模型内的调用；本文在新交付对象加入该模型之前构造溯源和激活决定。
• 动态声明与操作时门：EBL-Core（Wu et al., 2026）把已完全物化的候选动作绑到执行释放合约。动态能力治理（Zhou, 2026）和 ACNBP（Huang et al., 2025）管理工具清单、协商和绑定。OpenPort 与意图治理授权（Zhu and Wang, 2026；Zhu et al., 2026）把规范化效果决定放在模型之外。作者称获取动作被授权时，提供者输出尚未可用，因而要先隔离再解析。

支付、商务与资源预算

• 商务协议与交易分析：AP2 与 UCP 定义智能体中介商务的工件和生命周期。Jiang et al. (2026)、Aviv et al. (2026)、Lan et al. (2026)、Mao et al. (2026) 和 Louck et al. (2026) 分析支付一致性、威胁面、重放、上下文绑定，以及签名交易仍可编码由商户文本引导的购物决定。作者称本文在交易授权和正确履约保持固定时，再决定交付资源的语义权限能否进入活动图。
• 数值预算：Ye and Tan (2026) 的资源有界智能体合约建模多维限制和递归分配。作者称数值与仿射记账是关系图谓词的补充：免费账户可以不花单位就制造权限，退款可以恢复金钱而凭证仍存活，共持有规则也可以在每个标量限额都成立时失败。

云身份与自主复制

• 原生云控制：AWS 把启动 EC2 的权限和传递特定 IAM 角色的权限分开；Google Cloud 在身份附到资源时要求服务账号模拟权限。作者称本文不取代这些原生控制，而是把原生决定和权威检查当作证据，再投影到共同清单。
• 复制事件：RepliBench（Black et al., 2025）把自主复制分解为获取资源、访问模型工件、部署和持久化；Zhang et al. (2025) 在沙箱研究设置中评测后继体创建。作者称这些工作使资源和后代获取成为可观察的安全事件，本文贡献的是访问控制语义，不是新的复制能力基准。

评测里的对照：分离实验使用 amount-only、OAuth-scope-only、mandate-only、fixed-resource-budget、admission-only 和请求字段完整的行动前谓词。作者写明它们是 Proposition 1 的观察边界仪器，不是 AP2、OAuth、生产预算监控或准入控制系统的实现或仿真。

作者把本文放在履约之后、首次激活之前：支付、端点、工具清单和调用前策略保留各自决定对象，激活层另问返回实例现在能否进入活动权限图。

整体设计是溯源有界激活：获取输出先进入隔离，版本化解析器给出实际能力，当前激活事务通过后才发布可用句柄。 窄适配器构造获取效果，提供者代码隔离并解析输出，授权内核只求值已注册数学对象，效果 broker 中介后续使用。模型生成的文本不是授权输入。

问题设定与三条状态轴

• 六事件：propose 授权预期获取；reserve 保护可消耗的源权限；dispatch 启动外部操作；quarantine 记录返回资源但不暴露可用权限；resolve 从已注册提供者证据导出实际语义能力；activate 是对结果能力和完整当前获取图的新决定。
• 三轴：商务、交付和权限坐标分开持久化。一次提供者操作共享一个商务坐标，每个已注册输出序数有自己的交付坐标和激活槽。因此可以已结算而激活被拒，也可以已退款而该输出的能力仍活动。
• 权限域：域由发行者、规范控制根和策略 epoch 组成。同一域内全部活授权一起求值，新的 grant 标识不能重置基数或共持有限额。基础画像给每个活动节点恰好一个根标识作溯源，并拒绝跨根能力输入；这不把策略记账拆成多个隔间。

超图与向下封闭包络

• 图：节点是根授权、源资源引用、隔离资源和活动语义能力。活动超边可消费多个输入，产生一个带序数的输出；多输出结果表示为各自独立接纳的单输出边。规范化会去掉订单号、重试标识和 grant 标签，但不会把两个实际输出或两个可独立行使的权限折叠成一个。
• 为何用关系谓词：作者称独立允许列表会隐含授权其笛卡尔积。可读或可对外发布各自都属于允许集，并不表示同一受益人可以同时持有二者；“至多一个活动后代”也是图基数条件，不是效果集合包含。
• 定义：活授权上的联合决定是合取，Safe_{\rho}(s,H)\equiv\bigwedge_{\Gamma\in Live_{\rho}(s)}\Phi_{\Gamma}(H)。每个安全谓词向下封闭，即收窄后仍安全：\Phi_{\Gamma}(H_2)\land H_1\preceq_s H_2\Rightarrow\Phi_{\Gamma}(H_1)。注册还要求空投影为真。任务完成由单独目标谓词评估，不必向下封闭。

隔离、解析与原子激活

• 派发前绑定：持久源预留和不可变获取许可绑定仅源侧输入、请求、预期描述符、提供者画像、目的、状态根、epoch 和根限定的提供者操作键。派发外盒携带这份确切许可；提供者回执必须先与它关联，输出才能进入隔离。获取许可不授权执行任何返回资源。
• 解析：解析器查询权威当前状态，而不是信任请求里的产品描述。它按已注册画像规范化默认身份、网络可达性、角色、受众、数据域、可导出性、委托、后代、并发、有效期和撤销句柄，并记录未解析字段。没有可靠上界的必需字段使解析器返回 ⊥，准备阶段则返回 indeterminate。
• 准备与提交：PrepareActivation 构造预期单输出边，检查转换关系、序数上界、同一根的当前输入、无环，以及完整候选投影上的联合谓词，再签发一次性激活许可。CommitActivation 在可串行化事务中从当前持久状态重建并重复这些检查；槽已被消耗则拒绝。句柄由已提交行确定性导出，发布前再验证该行仍当前。崩溃若发生在提交之后、发布之前，恢复重发同一句柄，不另造权限。
• 前提：作者把定理前提列为 Table 2 的 A1–A11，包括完全中介、状态不可伪造、保守解析、规范身份、策略语义与定义一致、事务持久性和槽唯一约束、可恢复的提供者操作、当前 epoch、源证据合约、效果线性化，以及有限可判定画像。

使用、退款与恢复

• 效果许可：使用路径把请求规范成完整情节，检查当前谱系、描述符、义务和域包络，再准备一次性效果许可。许可绑定目标到数据域映射的标识、版本和摘要。CommitEffect 在受保护效果的线性化点重解析句柄、epoch、域修订和情节，精确匹配后才原子消耗槽并接受效果。先检查再调用未绑定执行器，作者称不实现该算法。
• 退款与迟到结果：退款只改变商务状态。活动节点留在投影中，直到权威证据证明同一规范资源不能再使用，或注册的永久接收方围栏成立。本地别名删除和源预算恢复不是销毁证据。迟到成功进入隔离，必须再走当前状态的解析、准备和提交。
• 崩溃窗口：Table 4 分别规定派发前重试同一外盒、回执前按同一逻辑键查询、激活前提弃过期准备、句柄发布前重发同一句柄，以及效果提交后返回同一持久回执。

可执行条件与安全性质

• 可执行：实例可执行当且仅当存在唯一当前活动行、槽级权限坐标为 active，且已发布句柄映射到该行。已创建、已接收或已解析都不够。
• 八条条件结果：隔离不产生权限、激活有当前背书、获取不放大、拆分不能规避、崩溃下至多一次激活、退款不复活语义容量、epoch 不继承、资源到效果的端到端约束。作者在附录 A 给出这些条件结果的推导，并称它们依赖 A1–A11，不覆盖任意权利获取安全。
• 拒绝必须对上阶段：审计要求检查器核对轨迹失败的位置。具体夹具注册一个预期阶段和错误码；因无关原因更早失败的变异，不算检出其目标不变量。

实验设置

• 被测对象：参考语义实现、独立轨迹检查器，以及冻结的 Codex CLI 0.154.0 与 Gemini CLI 0.59.0 MCP 客户端组件。作者写明组合实验的确定性刺激不调用模型，也不执行完整 CLI 会话。
• 夹具：五类资源各有 8 个不安全变换和 4 个良性对照，共 40 条不安全、20 条良性基础轨迹，810 个事件。另有 40 条精化轨迹、5 个效果重放探针、89 个检查器篡改测试、1 个只改 grantId 的回归。本地容器为 10 良性加 10 不安全。分阶段组合为 18 个逻辑案例。公开源审计为 AP2、UCP、A2A、MCP 各 7 个单元，RepliBench 4 个单元，共 32 个。
• 对照：六个观察受限谓词只接收其定义点名的提案侧、交易侧或准入侧字段。作者写明它们不是 AP2、OAuth、生产预算监控、准入控制或任何被引工作的实现或仿真。
• 指标：未授权能力激活、无当前根的活动元组、拆分或别名绕过、重复活动权限、受保护效果逃逸、过期复活、分阶段准确拒绝；效用为良性完成和按类误拒；成本为各内核阶段的 p50/p95/p99 本地延迟和序列化证据大小。
• 判定：独立检查器不导入参考状态转移、规范化、包络求值或参考决定谓词。语义案例只有注册拒绝阶段和稳定错误码都匹配才计分；篡改测试只有独立拒绝才通过。论文未使用 LLM 评审。
• 重复与主机：每个上游逻辑案例在 3 个新的客户端/服务器进程对上执行。延迟为 20 次热身加 200 个测量轮、固定 60 夹具顺序，得到 12,000 条完整轨迹；主机为 Apple M4 Max，Node.js 24.18.0。默认套件使用惰性能力描述符，不执行支付、不创建在线账户、不启动云资源、不暴露可用凭证。

主结果

作者按注册分母报告分离、安全、可移植性和外部证据（Table 7）。

证据层	观察
参考语义与检查器	20/20 良性接受并提交惰性效果；40/40 不安全在注册阶段和错误码拒绝；检查器 60/60、精化 40/40 一致；89/89 篡改和 5/5 重放拒绝
六个观察受限谓词	各接受 60/60，含 40/40 违反包络的见证
冻结 MCP 客户端	Codex 与 Gemini 各 27 次，合计 54/54 次 stdio 调用完成
分阶段组合	2/2 良性路径完成；16/16 不安全尝试的未授权 Docker start 请求为 0；12 个容器均移除
公开源闭合	1,248 对全部分类；0/32 单元和 0/5 按类并集单独提供完整激活画像

• 分离：作者称每个谓词接受构造夹具，是因为夹具故意满足该谓词观察的字段；不安全事实在实际返回能力或预期图中。作者称这确立 Proposition 1 的观察边界，不是完整 AP2、OAuth、预算或准入控制实现的失败率估计。
• 拒绝落点：40 条不安全轨迹在八个变换族和五类资源上均分。25 条在激活阶段拒绝，5 条在交付阶段，10 条在效果提交阶段。六个稳定错误码覆盖全部拒绝：关系包络违反 15 条，其余五个错误码各 5 条。
• 新鲜标识：只改 grantId 的回归中，两个包络映射到同一发行者、规范根和策略 epoch。在按种类至多一个活动项的上限下，两个能力各自可接纳，联合投影被参考求值器和独立检查器都拒绝。作者称新鲜 grant 标识是溯源，不是重置域记账的手段。

协议画像与字段闭合

• 测了什么：AP2 画像冻结 4 个主 schema 和 5 个依赖 schema，用惰性、结构有效的合成记录；签名、披露、发行者密钥和信任策略验证被写成上游前提。另对 32 个公开源单元的 39 个激活字段做证据类分类。
• 结果：9/9 schema 文件匹配冻结路径、字节和摘要；1/1 正例结构一致但保持非活动，因为独立资源证据被故意缺席；13 个族的 25/25 突变体按注册错误码拒绝。字段映射为 2 个上游、6 个已认证、13 个提供者和 18 个派生。源审计中 11 对为原生已认证，6 对需已认证 sidecar，1 对可独立观察，1,230 对从该源单元不可用。
• 作者解读：作者称 AP2 在该映射中提供交易证据，不提供实际能力清单或激活证书。0/32 被写成失败关闭的闭合发现：公开结构贡献证据，激活仍依赖解析器、当前图、epoch 和激活事务。该证据不建立攻击流行率。

运行时、崩溃与容器

• 适配器与上游调用：两个适配器只共享声明式画像和黄金向量。60/60 逻辑案例对产生相同的完整 IR 义务，48/48 失败关闭探针拒绝。54 个新客户端进程都与单独的 stdio 见证进程完成发现、全参数发送和确定性响应。Codex 路径执行到 RmcpClient::call_tool；其更高层 PreparedMcpCall 只做源码审计，该 harness 未直接执行。
• 崩溃与重放：15 个激活切割和 32 个调度上，每个逻辑操作至多一个活动记录和一个已发布句柄。5 个效果提交切割中，已用槽、接受决定、惰性结果、线性化见证和回执一起提交。32 次效果许可重放、192 次回执替换、7 个激活恢复探针、5 个提交后发布前漂移、8 个合约安全探针、10 个效果安全探针和 16 个迟到成功调度均按注册结果失败关闭或回到隔离。作者称这不建模硬件丢失，也不建模文件系统原子写原语内部故障。
• 容器与组合：10/10 良性配置完成 create、inspect、证书、再 inspect、start；10/10 不安全尝试的成功启动增量为 0；21 个已创建容器被移除。作者称这不确立持久激活记录原子性，也不防护 broker 之外的启动。18 例组合中，12 例到达真实 Docker 隔离，4 次授权的首次启动发生在解析、域激活、句柄发布、效果许可准备和再检查之后。Table 7 分案例矩阵里，未注册工具、缺失上下文和捕获绑定漂移的创建为 0/2；缺许可、效果漂移、epoch 漂移和配置漂移为创建 2/2、启动 0；重放案例为首次启动 2/2、第二次 start 请求 0/2。

其他消融与分析

• 发布当前性 5 例：过期、epoch 和清单漂移拒绝且不发布句柄；无关状态更新和安全图增长被接受（Section 8.1）。
• 关系验证核对 118 个获取许可绑定、81 个激活许可绑定、103 个已解析行、109 个输出关联、71 个已提交行句柄绑定、30 个规范效果情节、117 个源预留（Section 8.1）。
• 目标域注册表在五类资源中各做一次非恒等映射；其标识、版本和摘要绑定到全部 30 个效果许可（Section 8.1）。
• 完整语义轨迹延迟：12,000 个样本，p50 2041.625、p95 3418.709、p99 3601.875 微秒；关系图门 16,000 个样本，p50 277.625 微秒（Table 8）。
• 证据大小：810 条事件共 1,105,230 字节，均值 1,364.5；60 条序列化轨迹共 2,691,339 字节（Section 8.4）。作者称计时是测量值，不是确定性工件。
• 冻结分离语料故意让六个谓词在每条夹具上都有声明输入，故分母都是 60；不适用谓词本应记 N/A 并排除（Section 7.4）。

作者指出的局限与后续方向

• 一般安全不可判定：作者称不声称判定任意权利获取安全；该问题在一般保护模型中不可判定（Section 1.4）。
• 明确的范围外对象：普通工具安装在范围外，除非它创建外部账户、凭证、租户、提供者资源或主体。一般智能体规划、模型对齐、隐蔽离线资源和不可观察的现实后果不是证明前提（Section 1.4）。
• 定理域外：未中介离线资源、已注册证据画像之外的隐藏提供者行为、任意社会工程、侧信道和不可建模的物理后果在定理域外（Section 3.4）。一般权利获取安全、隐藏的现实后果、超出已注册证据的提供者行为、目标对齐、侧信道抵抗和分区活性仍是单独的保证域（Section 10.3）。
• 部署不满足合约即不符合：若提供者能把原始凭证直接送到智能体控制的通道，隔离就不完整；别名不能解析时，拆分不可规避不可用；超时后不能查询终态时，输出保持 indeterminate 并隔离；效果能绕过 broker 时，约束不覆盖这些效果。先检查再做未绑定外部调用，不是效果约束定理的符合实现（Section 10.2）。
• 证据层各自不成立的结论：Table 9 写明，形式证明本身不确立具体解析器、身份服务、提供者或部署前提的正确性；参考语义不确立每条实现状态的机器检查前向模拟；本地容器不确立持久激活记录原子性、任意云 IAM 或对不安全镜像的隔离；上游组合不确立同时的模型到提供者执行、跨系统持久原子性或引擎内部终局。Definition 13 的精化义务不声称对未经检查的生产部署给出精化证明（Section 10.1）。
• 可执行评测的边界：可执行评测覆盖无提供者轨迹、惰性凭证和所述画像下的本地容器。有限的零观察刻画那些注册执行，条件推导提供模型内的全称结果（Section 10.3）。冻结客户端实验不表示完整交互式 CLI、模型驱动工具选择、远程 MCP 或网络提供者执行、Docker Engine 内部终局或生产部署（Section 8.3、Section 11）。崩溃画像不建模硬件丢失或文件系统原子写原语内部故障（Section 8.3）。Table 6 不声称四个示例画像是已评测的生产集成。

实验覆盖范围

• 语义矩阵覆盖五类资源、60 条基础夹具和 810 个事件，另有 40 条精化轨迹、89 个篡改测试、5 个效果重放探针，以及 1 个只改 grantId 的聚合回归（Section 7–8，Table 7）。
• 运行时执行覆盖冻结的 Codex CLI 0.154.0 与 Gemini CLI 0.59.0 MCP 客户端，各 9 个逻辑案例、每案例 3 个进程对，合计 54/54 次本地 stdio 调用；组合刺激不调用模型（Section 6.3、8.3）。
• 资源侧覆盖网络禁用的本地 Docker：10 良性加 10 不安全，以及 18 例分阶段组合中的 12 个真实容器和 4 次授权首次启动。评测不执行支付、不创建在线账户、不启动云资源、不暴露可用凭证（Section 7、8.3）。
• 检查与协议侧覆盖不复用参考决定代码的独立检查器、AP2 v0.2 的冻结 schema 与 25 个突变体，以及五源 32 个单元、39 个字段、1,248 对分类（Section 7.5、8.2，Table 7）。
• 论文未报告语义主矩阵的独立随机重复次数；延迟实验另有 200 个测量轮，并写明计时不是确定性工件（Section 8.4）。论文也未报告把六个观察受限谓词换成完整 AP2、OAuth 或生产预算监控实现后的数字，并写明这些谓词不是那些系统的仿真（Section 7.4、8.1）。

本文给出一套运行时授权，用来决定智能体已经获得的资源能否变成可行使权限。

• 问题：一次合法调用可以返回凭证、计算环境、服务权益或新主体。作者称支付、预算、OAuth、工具清单和履约记录各自可以成立，却仍不决定该返回物现在能否进入任务的活动权限图。零价格扩权和退款后凭证仍存活，也说明缺的不是标量预算。
• 方法：输出先进入 broker 隔离库。版本化解析器从已认证提供者状态得到实际能力清单；未知且无可靠上界的字段导致 indeterminate，不推断授权。激活事务在权限域聚合上检查溯源、epoch 和向下封闭的关系包络，通过后才发布不透明句柄。受保护效果在线性化点重验并消耗一次性许可。退款只改商务状态，不释放仍存活的能力占用。
• 条件结果：作者在假设 A1–A11 下给出八条安全定理，推导见附录 A，覆盖隔离不授权、激活有背书、不放大、拆分不可规避、崩溃下至多一次、退款不复活、epoch 不继承，以及资源到效果的约束。Proposition 1 称，只看交易元组的监控器在相同交易记录可解析出不同能力时，不能同时健全且完备。
• 注册执行：五类资源、810 个事件上，参考语义接受 20/20 良性轨迹，拒绝 40/40 注册不安全轨迹。独立检查器与 60 条基础轨迹和 40 条精化轨迹一致，并拒绝 89/89 篡改测试。六个观察受限谓词各接受 60/60，其中包括 40 条违反包络的见证。冻结的 Codex 与 Gemini MCP 客户端完成 54/54 次本地 stdio 调用。18 例组合中两条良性路径完成，16 条不安全路径没有增加未授权 Docker start。32 个公开源单元没有一个单独提供完整激活画像。
• 作者的结论：已授权的获取还不是行使其返回物的授权。作者称支付、预算、端点、身份、工具和提供者原生控制保留各自角色，但都不应被默认为新获取资源的激活证书。该全称结论以 Table 2 的假设为条件；有限观察只刻画所述注册执行（Section 10.3）。