综述提出面向工具调用 AI 智能体的授权架构

工具调用型智能体在代表人类采取外部行动时，缺少把该行动追溯到正确主体、限制在实际委托范围内、并在事后可争议的授权架构。

• 场景与重要性：作者认为，智能体已自主调用API、数据库、浏览器及MCP等协议，工具层是LLM计划变成外部可见行动的运行边界。公开MCP仓库在2024年11月至2026年2月出现177,436个智能体工具，且行动型工具占比上升[6]。可信人机系统要求每个有后果的行动可追溯到人类主体、受其实际委托约束、事后可争议；作者称很少有已记录部署能端到端同时满足这三点。
• 现有工作的不足：作者称既有研究分别处理非人类身份凭证、经典访问控制、提示注入和审计轨迹，对“工具调用发生时的授权决策点”及其正确性、可强制性和可追责性关注较少。能力综述与间接提示注入研究互补，但不以调用时刻的授权为中心（Table 1）。
• 核心观察：选择行动的执行者、提出任务的用户、持有凭证的运行时和接收请求的服务可以是不同实体，从而重现confused deputy。作者把LLM视为不可靠的授权主体：模型提出调用，系统仍须认证、授权、在PEP强制并记录来源。
• 本文提出什么：结构化叙事综述提出五层主体层级（人类、运营者、编排智能体、子智能体、工具端点），考察身份与凭证生命周期、多跳委托、运行时即时授权、把提示注入视为授权绕过、以及审计与不可否认。作者从约180篇候选中保留89篇主要文献（2023–2026），提出七项结构要求R1–R7、四层参考架构，并应用到三种可部署配置；作者称主要未解缺口是运行时强制与聚合边界。
• 威胁模型：
  • 目标与边界：威胁相对主体层级中的权限边界，而不只是网络边界；分析单位是任何使模型之外的系统读、写、计算、传输或行动的模型中介请求。
  • 对手位置：越权的粗心或恶意用户（Layer 0）；控制工具返回内容并形成间接注入的外部攻击者（Layer 4）；诱导编排者越出委托任务的被攻陷子智能体（Layer 3）；用名称、描述或schema歪曲行为的恶意工具提供方；拦截或重放调用的网络攻击者；配发过宽凭证的内部人。
  • 六类在范围内威胁：未授权调用、权限提升（权限沿层级扩大而非衰减）、confused deputy、提示注入作为授权绕过、数据外泄（把允许的读取与传输工具组合）、审计失败（终态行动无法回溯到人类发起者、策略、范围和决策）。
  • 范围外：模型权重篡改、训练时操纵和硬件入侵，除非直接影响运行时授权；持久记忆与投毒检索若影响后续调用则在范围内。

作者按综述问题把相关工作分成身份、委托、运行时强制、注入与审计，并在Table 1中定位相邻综述。

智能体能力与相邻综述

• 工具使用与智能体架构：早期工作把语言模型放进模块化架构[1]；后续系统显式训练模型决定何时调用API[2]，并把推理与搜索或环境交互交错[3]；更新的框架扩展到持久与多智能体工作流[4,5]。综述[18–20]覆盖能力、架构、规划、工具使用与评测。
• Table 1的缺口：作者称[18]不关注身份、委托或运行时授权；[19]未按主体层级或调用时刻组织安全；[20]未综合访问控制、委托与可审计性；[15]以攻击为中心，没有跨身份、委托、强制与审计的授权架构。

身份、委托与confused deputy

• 经典原则与凭证：完整中介、最小权限与显式保护边界[8]，把授权形式化为特定操作的性质[9]；confused deputy[10]；能力与衰减[10,25]；RBAC[22]、ABAC[23]、ReBAC[24]。委托模型见[35,36]；OAuth 2.0为已部署基线[37]，RAR[38]与token exchange[39]仍不闭合自然语言任务与终态行动之间的缺口。
• 智能体身份与多跳：South等[40]主张委托应可认证、可授权、可审计，并把自然语言权限译成可审查的访问控制配置；AIMS草案把智能体当作带委托权限的工作负载[41]。Macaroons用情境caveat限制权限[44]；AIP的IBCT把身份、衰减授权与来源绑定到MCP和A2A的token链[45]。作者称这些是早期提案，可行性取决于声明词汇、高效验证、隐私披露和工具服务器采纳，不应读成已稳定的共识。
• NHI凭证：静态API密钥、OAuth委托token、OIDC[31]、持有证明、工作负载身份、DID/VC[32,33]各覆盖一部分；OAuth形式化保证只在精确攻击者模型与角色分离下成立[30]。作者在Table 2中称没有任何一种凭证单独够用。

运行时强制与信息流

• 调用层系统：Progent用符号策略检查每次工具名与参数[55]；AgenTRIM离线重建并核验工具接口，再做自适应过滤，并在AgentDojo对抗任务上评测[46,47]；AgentBound在MCP执行边界强制声明式策略且不改服务器[12]。Bühler等[12]指出MCP服务器常以宽主机权限执行；Goel[11]把环境权限泄漏、过宽工具和能力–意图不匹配列为反复出现的风险；Stanley等[13]把个人智能体隐私做成跨步骤的权限追踪。
• 访问控制与IFC：Denning格模型[57]、SEAgent[58]、GAAP[13]处理信息能否从某一源影响另一汇。作者称语料中没有框架把object-capability端到端贯彻到整个主体层级，其与自然语言任务描述的结合也未被探索。模型侧的指令层级训练[52]与安全对齐偏好优化[53]被作者视为降低未授权提议频率的互补层，不能单独充当PEP；奖励黑客综述[54]被用来论证授权边界应放在被优化组件之外。

提示注入、聚合与审计

• 注入与基准：间接或黑盒注入可操纵LLM集成应用是否调用API或泄露数据[15,16]；InjecAgent[72]与后续基准[73]评测工具集成智能体上的间接提示注入。作者把注入重述为授权绕过：不可信的Layer-4内容借用Layer-0权限，而不是只当作对抗机器学习问题。
• 聚合与时间：数据库tracker攻击[49,50]被当作结构类比；Tallam[42]把聚合推断视为授权传播的核心子问题。Tomašev等[43]认为AI委托是权限、责任、可问责性与信任的变换，而不是单纯路由。
• 来源：Open Provenance Model[77]与W3C PROV-DM[78]提供重构行动的数据模型；PCAS[79]面向可透明、可控的智能体工作流。

基线方法与基准：本文没有自己的攻击或防御实验，因此没有统一的实验基线。文中作为对照出现的机制包括云厂商IAM（AWS Bedrock Agents的action-group权限、Vertex AI Agent Builder的按工具OAuth绑定、Azure Managed Identity加RBAC）、OAuth范围、以及在AgentDojo[47]上被评测的AgenTRIM[46]。作者的定位是：访问控制说明决策如何表达和强制，能力与confused deputy说明权限为何应衰减，提示注入说明不可信内容如何破坏权限链，来源研究说明行动如何被重构；作者的中心主张是，只有这些条件在工具调用时刻同时对齐，调用才是安全的。贡献在于把已有原则整合到多智能体、动态工具发现、语义委托缺口和不可信内容共同出现的场景，并指出哪些要求仍未满足，尤其是R4聚合边界。

作者不做新的强制算法，而是用主体层级把身份、委托、运行时PEP、提示注入和审计收成一套可对照的词汇，再导出七项要求、四层参考架构和三种可部署配置。

问题设定与两个图

• 调用定义：工具调用是任何由模型中介、并使模型推理过程之外的系统读、写、计算、传输、变换、检索或行动的请求；低风险读和高后果写都与授权相关。
• 五层主体：Layer 0人类用户或数据主体，是合法权限来源；Layer 1运营者/部署者配置模型、工具、策略和凭证；Layer 2编排智能体分解任务并选择工具，其提议须按身份、委托、策略和来源再评估；Layer 3子智能体可带来新的信任边界、隐藏提示、独立记忆和凭证；Layer 4工具端点既是授权目标，也可能是不可信内容源。
• 两个图：委托图记录谁持有权限、谁传给谁，良构系统中单调衰减；“层级”描述权限次序，部署中也可以是对等、分支或汇合，而不必是固定五节点路径。来源图记录系统指令、用户指令、检索文档、记忆、工具输出和终态汇。授权决策同时评估两者：委托图决定可用权限，来源图决定促成该行动的内容是否有权调用它。衰减与问责谈委托图，污点、聚合和注入谈来源图。
• 调用元组：作者把一次调用写成有序主体链、请求操作、目标端点或对象、参数、委托范围、时间/会话上下文和可供审计的来源证据。该记号是比较机制的公共词汇，作者写明它不是形式语义。文中公式在转写中被截断，这里不补写符号。

五层机制

• 身份生命周期：作者区分认证、授权和访问控制。NHI是工作负载、服务账号或智能体等非人数字身份；衰减是委托时按范围、时间、资源或动作收窄权限。身份记录应标识实例、运营者、授权人类或进程、可用工具集、委托范围、时间有效性和事后重构所需证据。四态为registered、active、suspended、retired。JIT发放把引导身份（认证工作负载）与委托行动权限分开，以避免引导凭证变成万能秘密。
• 委托：隐式委托从指令或会话推断权限，显式委托产出token、能力、凭证、策略决定或任务范围包络。作者认为面向智能体的委托应走向显式且有范围。最小权限分工具清单、单次调用、参数、返回给模型的数据量和再委托五层。三种原型可按风险组合：智能体中介、所有者中介（即时批准或step-up）、服务器中介。作者给出的风险分层是：低风险读用窄token加日志的智能体中介；中风险用服务器中介检查；外部消息、权限变更、支付、删除和部署等高风险行动要所有者重新批准。
• 运行时PEP：提示、系统消息或对齐策略不是PEP。作者列出至少六种放置：模型邻接防护、编排/运行时防护、工具适配器包装、工具服务器/网关PEP、沙箱/OS边界、服务侧资源PEP（Table 3）。越靠近模型，任务上下文越丰富而强制权威越弱；越靠近资源则相反。理想形态是分层组合。调用前风险分考虑行动、资源、上下文、委托和行为风险，但不能替代不可协商约束的确定性检查。
• 注入与审计：作者把提示注入写成授权绕过，即不可信Layer-4内容借用Layer-0权限的confused deputy变体。审计要求终态行动能回溯到人类发起者、策略、范围和决策；来源用于不可否认，而不是只做事后日志。Figure 4用收件箱摘要任务示意一条confused deputy路径：用户只授权摘要，不可信正文要求副作用，范围未被保持，下游工具凭有效凭证执行写操作。

要求、架构与配置

• R1–R7：作者称七项要求来自经典原则，但按智能体失败模式重新限定；新意在限定方式以及指出哪些要求仍未满足，尤其是聚合边界。正文在贡献中点名R4为聚合边界，并在云IAM讨论中把R1关联到工作负载身份认证、把粗粒度R6关联到工具类别限制。要求与机制的逐格覆盖及“无覆盖”的编码规则放在Appendix A和补充材料；转写未给出R1–R7的完整条目表，此处不逐条补写。
• 四层参考架构与三种配置：Section 8把要求合成统一授权架构，做要求–机制缺口分析，应用到三种当前可部署的参考栈，并讨论对人监督的后果。Section 8.5和9.7给出部署前检查清单，并跟踪一次被拒绝的调用：从人类指令经强制到审计记录，且结果随PEP放置而变。
• 成功判定：本文是叙事综述，不把攻击成功率当作自己的指标。文献按年份、系统层、机制族、威胁类和证据类型编码；证据类型区分带实验的同行评议、概念性同行评议、有无评测的预印本、已发布标准、草案和行业报告，以免把概念预印本读成已评测系统。

实验设置

• 综述类型：结构化叙事综述，作者写明不提供PRISMA流程图，也不应被读成系统综述式覆盖。目标是综合和形成研究议程，而不是元分析。
• 检索与纳入：来源包括ACM、IEEE、Scopus索引文献、Google Scholar、arXiv（并核对同行评议版本）和出版方会议录，辅以前后向引文。LLM智能体文献的主窗口是2023–2026，更早文献只提供基础概念；覆盖到2026年中。纳入条件为与授权相关、同行评议或公认预印本场所、英文、非厂商营销。IETF、W3C和监管文件作为协议采纳或合规的主要证据；行业与政府报告仅在没有同行评议替代时提供经验统计，并在参考文献中标注。
• 规模：初始检索约180篇候选，保留89篇主要参考文献。其余筛掉的文献或重复已有更强来源、超出授权范围，或是无法独立核对的厂商报告。完整检索、编码和“无覆盖”单元格的规则在补充材料。
• 编码：每篇按年份、系统层、机制族、威胁类和证据类型编码，并贯穿比较表、缺口分析和Appendix A。
• 被测模型与基准：作者没有报告自己的模型评测。文中被讨论的外部评测环境是AgentDojo对抗任务[47]，用于他人系统AgenTRIM[46]；InjecAgent[72]等被作为间接提示注入基准引用。论文未报告这些外部实验的ASR、样本量或评审模型。
• 指标：本文没有作者自定义的ASR、FNR或效用指标。Section 5.4建议未来评测应同时报告攻击预防率、误拒绝率、延迟、批准负担、编写成本、覆盖和对自适应攻击的鲁棒性；这些是作者提出的报告项，不是本文测得的数字。

主结果

作者的主要定量结果是文献筛选规模和一项被引用的生态统计，而不是模型对照实验。

项目	数字	条件与出处
保留的主要文献	89	约180篇候选经纳入标准筛选；摘要与Section 2.5
公开MCP工具数	177,436	2024年11月至2026年2月创建，行动型占比上升；引用[6]，引言
结构要求	R1–R7	作者由经典原则限定到智能体失败模式；贡献C4
参考架构 / 配置	4层 / 3种	作者导出并应用到当前可部署栈；摘要与Section 8
在范围内威胁	6类	Section 2.7
PEP放置	6种	Table 3，含粒度、延迟、多跳感知与主要限制

• 作者对凭证的判断：Table 2把静态API密钥、OAuth委托token、OIDC断言、持有证明token、工作负载身份和DID/VC按范围粒度、可撤销性、多跳支持和智能体使用限制定性对照。作者称没有一种凭证单独足够，强身份需要组合，未解问题是在智能体工作流的延迟和动态性下使组合可强制执行。
• 作者对云IAM的判断：AWS Bedrock Agents的IAM、Google Cloud Vertex AI Agent Builder和Azure Managed Identity加RBAC被作者称为最接近已部署的调用层强制。作者称它们满足R1的一部分并提供粗粒度R6（工具类别限制），但不处理任务目的绑定、委托链保持、自然语言范围约束和路径感知强制。
• 作者对缺口的总判断：摘要称运行时强制和聚合边界是主要未解缺口。贡献C5把访问控制、能力设计、IAM、隐私保护运行时和智能体安全框架映射到R1–R7，并称覆盖有强、部分和缺失之分，判断依据记在Appendix A。转写未给出该附录的逐格评分，这里不填具体格子。

委托失败路径与PEP权衡

• 测了什么：Figure 4是一条说明性路径，不是测量实验。用户授权编排者摘要收件箱发票；编排者读到含不可信文本的消息；文本要求转发或发起支付等副作用；编排者把任务交给财务子智能体且未保持只读范围；下游工具凭有效凭证执行写；终端服务能认证调用者，但不能判断Layer 4内容使Layer 2超出了Layer 0委托并受Layer 1约束的权限。
• Table 3：六种PEP的延迟被标为Low、Low–moderate或Moderate；多跳感知从Weak到Moderate–strong不等。模型邻接防护若工具绕过中介路径则可被绕过；沙箱控制主机效应而不决定应用级目的；服务侧PEP常只看见凭证持有者。
• 作者的解读：作者认为理想架构应组合多层PEP。模型级对齐降低未授权提议的频率，外部PEP才是权威决定层，因为前者是概率服从，不能对任意对抗输入形式化验证，也不产生策略决定的审计证据。

生态与治理材料

• 协议与监管：作者把MCP授权规范[85,86]、NIST概念文件[82]、欧盟AI Act[83]和新加坡IMDA智能体治理框架[84]作为协议或合规背景引用，没有报告用这些文件做的合规实验。
• 影子智能体：Section 3.5把未登记、无所有者、不受组织治理但能调用工具的工作流称为shadow agent。作者称下游可能只看到通用密钥，因而无法归因；补救是把清单从凭证扩展到能力图。论文未报告此类智能体的数量。
• Figure 3与Figure 5：Figure 3是NHI四态及转移触发的状态图；Figure 5对比三种委托流在自主性与安全性上的权衡。转写没有可读取的轴上数值。

其他消融与分析

• 论文没有参数消融。Table 1只定性对比[18]、[19]、[20]、[15]的侧重点与本文声称补上的缺口。
• Table 2的“多跳支持”定性为：静态密钥Weak，OAuth Partial，OIDC只标识人类而非全链，持有证明保护跳免受重放，工作负载身份对服务到服务为Strong，DID/VC对跨组织为Promising。
• 作者称AgenTRIM、PAuth、Progent、AgentBound、Governance-as-a-Service和BlockA2A是近期运行时或治理系统，但没有在本文复现它们的数字。
• 作者写明Macaroons、IBCT和AIP一类机制应被读成少数早期来源的共同设计直觉，而不是已稳定共识。
• 最小权限的评测标准尚未统一：作者认为不应只看攻击预防率，还应看误拒绝、用户负担、延迟、IAM互操作和审计保持；本文未给出这些量。
• 聚合推断只有原则层类比：单次授权访问组合后可产生未授权知识；查询审计和加噪不能直接平移到多工具工作流。论文未报告聚合攻击的成功率。

作者指出的局限与后续方向

• 综述覆盖声明：Section 2.5写明本文不提供PRISMA流程图，不应被读成系统综述式覆盖；约180篇候选与89篇保留是在给定纳入标准下的结果。（Section 2.5）
• 身份层未解问题：Section 3.5列出智能体身份模式、受控基础设施之外的引导证明、自然语言任务的范围表示、多跳撤销和跨边界信任框架，并称放到Section 9的跨层挑战中处理。跨组织还有发行者信任、撤销传播、范围翻译、隐私最小化和责任归属。（Section 3.5、Section 9）
• 委托表示：Section 4.2称多跳委托应保持链条、逐跳衰减、把权限绑定到任务或调用并产生审计证据，但任务范围如何表示到机器可执行且用户可理解，仍未解决。RAR与token exchange没有闭合该缺口。（Section 4.1–4.2）
• 聚合与ocap：Section 4.5称当前文献对聚合推断只给出方向而没有稳定答案。Section 5.2称没有被评述的框架把object-capability端到端贯彻到主体层级，与自然语言任务描述的整合也未被探索。（Section 4.5、Section 5.2）
• 强制校准：Section 5.4的开放问题是校准：评测应报告安全与效用、攻击预防率、误拒绝率、延迟、批准负担、编写工作量、覆盖，以及对全部工作流中自适应攻击的鲁棒性。（Section 5.4）
• 组合的可执行性：Section 3.2称未解问题是在智能体工作流的延迟和动态性下，使工作负载身份、委托授权、持有证明、结构化声明和来源的组合变得可强制。Section 5.2称挑战是组合多种访问控制模型时避免不透明策略或不可接受的延迟。摘要把运行时强制和聚合边界称为主要未解缺口。（Section 3.2、Section 5.2、摘要）

实验覆盖范围

• 文献处理：检索约180篇，保留89篇；编码维度为年份、系统层、机制族、威胁类和证据类型；主窗口2023–2026，覆盖至2026年中；语言条件为英文。（Section 2.5）
• 机制对照：Table 2覆盖六类凭证机制；Table 3覆盖六种PEP放置；委托原型为智能体中介、所有者中介和服务器中介（Figure 5）。
• 外部系统被讨论的范围：云侧为AWS Bedrock Agents、Vertex AI Agent Builder、Azure Managed Identity加RBAC；运行时系统包括Progent、AgenTRIM、AgentBound，以及PAuth、Governance-as-a-Service、BlockA2A。AgenTRIM的实验评测是在AgentDojo上由原论文完成的，本文未复现。
• 威胁清单：Section 2.7的六类在范围内威胁，加上作者明确写出的范围外项：模型权重篡改、训练时操纵、硬件入侵（除非直接影响运行时授权）。
• 论文未报告：作者自己的攻击成功率、误拒绝率、延迟、查询次数、重复次数、评审模型与人工一致性；Appendix A各格的覆盖等级在所附转写中没有可核对的单元格。

这是一篇关于工具调用型智能体授权架构的结构化叙事综述，分析单位是每一次使模型之外系统产生效果的调用。

• 问题：计划者、用户、持凭证的运行时和接收请求的服务常常不是同一主体。作者认为，只做模型对齐不够；每个有后果的行动应能追溯到人类主体、限制在所委托的范围内，并在事后可争议。
• 框架：五层主体为人类、运营者、编排智能体、子智能体和工具端点。委托图决定可用权限并应单调衰减，来源图决定促成行动的内容能否动用该权限。提示注入被写成不可信工具内容借用人类权限的授权绕过。
• 机制：身份是NHI生命周期而不是单一凭证格式；委托应从隐式、无范围移向显式、有范围，并按风险在智能体中介、所有者中介和服务器中介之间组合；PEP不能由提示或对齐策略代替，六种放置见Table 3；审计要能把终态行动连回人类发起者、策略、范围和决定。
• 结果：约180篇候选保留89篇。作者提出R1–R7、四层参考架构和三种可部署配置，并称现有机制尚未同时处理多主体概率规划、动态工具发现、语义委托缺口和不可信内容。云厂商IAM被作者判断为只闭合基础设施侧的粗粒度限制。主要未解缺口被作者标为运行时强制和聚合边界（R4）。
• 作者的结论：授权架构的目的是让人能委托有界任务、看见权限被如何使用、在工作流运行中介入，并在事后争议结果。模型侧控制可降低未授权提议的频率，权威决定仍应放在模型之外的PEP。