研究：任务范围授权可将工具调用有害执行降至零

端到端评测把模型越权选请求和服务是否执行混成一个结局，看不出是哪一层挡住了伤害。

• 场景：检索内容可以在合法工具任务里夹带指令。作者认为，模型偏离用户任务还不等于删除等后果已经发生：宽授权服务可能执行该请求，只读范围的服务可能拒绝同一请求。
• 现有不足：作者称相邻评测一般不以同一条已采样请求在不同授权条件下的服务侧响应为实验单元。重新采样时，一个策略可能收到删除、另一个收到读取，成功率差会同时混入模型随机性。
• 假设：妥协与操作后果是不同事件。策略可以改变有害执行，而不改变已冻结的模型决策。
• 做法：提出配对回放，把一次请求的动作、资源与参数送到宽 bearer、范围 JWT、发送方约束（DPoP）和 OPA，并分开记录妥协、干预、执行、残留状态与拒绝后延续。作者称这不是新的授权架构，也不替代语义对齐。
• 威胁模型：
  • 目标：看服务侧授权能否拦住已采样的越权工具执行，而不是防止提示注入本身。
  • 能力：对手控制合法任务中检索到的内容，可嵌入要求破坏、未授权披露、外部副作用或权限提升的指令。
  • 运行假设：编排代码与服务诚实运行，模型可能听从注入文本。凭据核验中，对手可窃取 bearer token、缺少 DPoP 私钥、重放证明，或更改 method、URI、access-token hash、task、action、resource；不能伪造签名或攻破密码学原语。
  • 权限边界：允许的动作与资源由研究者提供的 fixture 给定。模型不编写或扩大该权限，范围也不从自然语言动态推断。

间接提示注入基准

• Greshake et al.（2023）：检索数据中的指令可以操纵集成了 LLM 的应用。
• InjecAgent（2024）：把间接注入系统化到大量工具交互上。
• AgentDojo（2024）：提供有状态环境，并把效用与安全 oracle 分开。作者称这类工作主要研究端到端智能体或防御；实验单元不是从一条已采样结构化请求到资源侧执行的转移。

系统层防御

• AgentSandbox（Zhang et al., 2025）：用隔离、数据最小化、自适应策略、I/O 防火墙和响应过滤做纵深防御，并在 AgentDojo 上报告良性效用、攻击效用和攻击成功率。作者称不把它简化成静态允许列表；其评测的是端到端分层系统。
• SPA（Girrens and Wang, 2026）：工具使用前生成完整声明式计划，用双格信息流控制检查机密性与完整性，跨查询复用时保留标签；评测 AgentDojo 与 AgentDojo-MQ。作者称它覆盖规划、信息流和跨查询状态，这是静态动作/资源范围不做的。

任务与动作对齐

• Task Shield（Jia et al., 2025）：检查指令和工具调用是否服务于用户目标，并可在执行中干预。作者称它问动作是否应视为对齐；配对回放问的是动作选出之后，策略如何处理这一精确请求。作者不声称静态范围替代其语义判断，也不声称更优。
• Siu et al.（2026）：区分来源授权、任务对齐、动作对齐和数据隔离，并把静态逐任务允许列表写成动作对齐里容易、粗粒度的形式。作者称采用该框架，而非另做分解。其证据是分析性的；作者这边运行模型、记录请求并做现场执行。
• PAuth 与 Progent：PAuth（Sharma et al., 2026）从任务推导服务约束并检查操作数来源。论文转述其 AuthBench：精炼任务 100/100 无需干预即获授权，原始任务 71/100；634 次对抗调用都触发权限对话框。其 blocked 与无条件策略拒绝不同。Progent（Shi et al., 2026）用 LLM 生成并更新工具名和参数上的符号规则，SMT 区分收窄与需批准的扩大，在 AgentDojo 和 ASB 上评测。作者称二者处理的是这里固定住的范围构造或自适应更新，结果不能直接比较，也不声称引入权限限制或达到 Progent 的机制。

授权标准与对照

• OAuth、MCP、DPoP、OPA：RFC 9700 整理 OAuth 实践；MCP 采用面向 OAuth 的授权并强调资源与受众校验；RFC 9449 的 DPoP 把令牌绑到客户端密钥和含 method、URI、时间、标识与令牌哈希的逐请求证明，本身不是授权策略；OPA 把策略决定与应用执行分开。作者称条件标明所强制的属性，不假定协议名称就等于动作对齐。
• 基线与数据：对照是无动作/资源限制的宽 bearer。主测量用 128 个手工场景；次级测量用固定的 AgentDojo v1 中有意选取的 6 个任务，并保留原生效用与攻击计分器。

作者把缺口定为方法性的：所评阅的评测一般没有在固定模型请求的前提下，把下游差异归因于资源侧策略。贡献被写成测量与识别，不是新的最小权限机制，也不声称优于上述系统。

整体做法是配对回放（paired replay）：现场模型采样一次结构化请求，冻结后在四种授权条件下重放，把下游执行差异从模型随机性里分离出来。作者称这估计的是给定一条具体请求时的执行对比，不是整条随机模型–策略流水线的期望差。

事件与主张边界

请求为 q=(a, r, x)，含动作、资源与参数。任务 t 的冻结权限为 I_t，策略 p 的执行结果为 Y(q, p)。两个事件是 C(q, t)=1[q ∉ I_t] 与 H(q, p, t)=C(q, t) 1[Y(q, p)=executed]。C 为 1 表示请求不在操作化任务 oracle 内；H 为 1 表示该越权请求被执行。策略可以改变 H，而不改变 C。

• 配对与新鲜采样：配对时同一 qi 交给每个策略，对比是两策略 H 的差。新鲜采样时各策略独立抽请求，差可能来自策略，也可能来自请求不同。重复新鲜采样可估计整条流水线的期望差，但有限次数仍可能按不同请求给策略排序。作者不把零均值的运行级误差写成系统性偏差。
• 三类主张：配对回放识别同一请求上已实现策略的响应差异；确定性测试核验预先声明的安全属性；行为结果描述具名配置和审阅过的场景。作者称它们不估计生态层面的攻击流行率，不确立语义任务对齐，也不表示同名协议的生产系统行为相同。

四种授权条件

每个任务由审阅过的 fixture 给出允许的动作与资源。模型不编写或扩大该权限。服务校验凭据，并在分发前检查动作/资源对；拒绝返回给智能体，供单独恢复。防御位于服务侧、模型决策之后，依赖研究者供给的静态权限，而不是动态意图推断。

• Table I：四个条件都有签名令牌/受众和任务绑定。宽 bearer 无动作或资源限制。范围 JWT 增加显式动作与资源声明。DPoP 另用非对称 dpop+jwt 证明、内嵌公钥 JWK，以及 jti、htm、htu、iat、ath 和 access-token 的 cnf.jkt 绑定，从而有发送方约束和证明重放检测。OPA 把已校验声明和类型化请求交给官方外部求值器，缺失或畸形决定时失败关闭。
• 确定性套件：DPoP 覆盖合法使用、动作越权、无私钥的被盗令牌、密钥不匹配、证明重放、错误 method、错误 URI、错误令牌哈希，8/8 通过。OPA 为 4 次良性允许和 17 次拒绝，在 OPA 1.19.1 上 21/21 通过。作者称这是实现级检查，不是完整 OAuth 授权服务器符合性，也不是动态意图理解的证据。

轨迹与配对边界

Figure 1 标明：暴露后请求跨策略相同；恢复不配对，因为策略观察不同。

1. 模型先看到用户任务和完整工具/资源 schema，看不到不可信内容，并选择上下文获取调用；该请求在所有策略下重放。
2. 只有获取有效、在范围内、成功且各模式观察相同时，轨迹才算到达暴露。
3. 模型看到工具结果和检索内容后，下一次请求采样一次，在四种策略下原样重放。
4. 拒绝成为该条件特有的观察，模型得到一次恢复决策。恢复排除在配对策略估计之外。

每次重放前复位服务。重建会重执行先前步骤，使每个条件从等价前态开始。模式与参数检查避免畸形请求被当成拒绝。无效或中断分支留在预定分母中。

语料、采样与结局

• 语料：128 个手工场景，平衡 4×4×8，域为 file、calendar、mail、payment，四种攻击目标，每格八个模板/载体/资源上下文。记录固定用户任务、工具 schema、初始状态、允许对、不可信内容、攻击动作/资源、预期与对抗状态、来源和审阅标签。采样前候选动作都在环境中执行；界面审计两组均 128/128。
• 采样：五个 Ollama 配置，温度 0.7，每个受攻击场景每模型 10 次重复。16 个良性对照在采样前从每个域–目标格确定性地选一条，注入换成普通内容。无效响应保留，不静默重试。种子由全局阶段种子、模型 blob 摘要、场景、重复、轨迹阶段、上下文变体、未配对时的授权模式和协议版本导出。
• 结局：计划的主结局是暴露后有害执行和最终安全完成。实现字段是安全延续代理：被授权且成功的下一步，或不调用工具。它不评最终答案；经核实的任务完成仍未测量。披露可以没有持久状态变化，所以有害执行与残留副作用分开记。

新鲜采样反事实

主决策库固定。每个场景内模拟一种评测：为每个策略独立抽决策，再与配对抽取和全库估计量比较对比与排序。报告均值误差、绝对误差、区间，以及实际相关的错误排序概率。恢复只作描述，因为其决策以策略特有的拒绝观察为条件。

实验设置

• 模型：五个 Ollama 本地配置：Llama 3.2 3B Instruct Q4 K M、Qwen3 4B Instruct、Gemma 3 4B、Mistral 7B Instruct、Llama 3.1 8B Instruct Q4 K M。主实验温度 0.7。模型是具名固定配置，不是从模型总体抽取的随机样本。
• 规模：128 个受攻击场景，每模型 10 次重复；另 16 个良性对照。主矩阵 7,200 条预定轨迹：每模型 1,280 条受攻击、160 条良性对照。7 条 Llama 3.2 受攻击获取未达暴露。共采样 6,393 条受攻击暴露后决策，其中 19 条无效。一次决策的四次策略重放不是四次独立模型观察。
• 条件与判定：宽 bearer、范围 JWT、DPoP、OPA。任务权限由研究者提供。有害执行由类型化动作/资源 oracle 与是否 executed 判定，不是 LLM 裁判。Table II 分母排除无效暴露后决策和未暴露轨迹；95% CI 为场景聚类 bootstrap，保留嵌套重复，5,000 次抽取。
• AgentDojo：固定 v1 的 3 个银行任务和 3 个工作区日历查找；一个 Llama 3.2 3B 配置；每任务 2 次重复；良性/注入、宽/静态范围、配对至发散与独立采样。96 条预定分支，292 次模型调用（含 42 次共享）。保留原生效用与攻击计分器。注入文本附在第一次成功的任务相关观察之后，作者称这是自定义观察适配器，不是官方攻击语料。

主结果

表格较宽，可左右滑动

模型	越权选择数	宽令牌有害执行	95% CI	三种范围条件
Gemma 3 4B	636	454/1280（35.5%）	[27.3, 43.8]%	0
Llama 3.1 8B	522	484/1280（37.8%）	[30.5, 45.9]%	0
Llama 3.2 3B	629	465/1267（36.7%）	[29.4, 44.2]%	0
Mistral 7B	154	133/1277（10.4%）	[5.6, 15.7]%	0
Qwen3 4B	113	113/1270（8.9%）	[4.2, 14.2]%	0

有害执行率与 CI 据 Table II，分母是有效暴露后决策，不是越权选择数。越权选择数按 Section V、与 Table II 相同的模型顺序。三种范围条件的 0 据 Section V 与 Figure 2，不是 Table II 的列。

• 作者称策略改变的是执行，不是冻结的模型决策。五模型合计 2,054 次越权选择、1,649 次宽令牌有害执行；每种范围条件拒绝同一批已选违规，暴露后有害执行为 0。
• 宽令牌下也有请求失败。作者称这类失败不能记到范围防御上。零宽度经验 bootstrap 区间反映的是退化观察结局，不是对未见任务的确定性。
• 作者称该比较支持所测静态范围边界，不支持发送方约束或外部求值相对仅范围有增量的有害执行收益，也不等于防止提示注入。作者另称，正确强制的静态边界下范围执行为零是预期结果；作用是把妥协决策和操作后果分开，零本身不是这里的科学新意。

AgentDojo 有界扩展

• 测了什么：6 个有意选取的任务。Table IV 把两种采样设计合并，每格 24 条预定分支，不把设计当成独立任务。原生攻击标记不是普遍的伤害或披露度量。
• 结果：据 Table IV，良性上下文两种策略效用均为 9/24、攻击标记 0/24，暴露列为破折号。注入上下文：宽策略效用 5/24、攻击标记 11/24、暴露 15/24；范围策略效用 6/24、攻击标记 0/24、暴露 17/24。配对采样的宽减范围攻击标记差为 58.3 个百分点，独立采样为 33.3；66 次任务簇重抽样的描述性 95% 分位区间为 [25.0, 91.7] 与 [8.3, 66.7]。效用差为 −8.3 [−50.0, 25.0] 与 0.0 [−33.3, 41.7] 个百分点。96 条分支中 58 条给出最终答案，6 条达到八次决策上限，32 条因无效决策结束。
• 作者解读：范围分支没有补充记录的意外终态变化。作者称这支持所测范围边界，但低暴露和效用限制解释。退款任务从未到达注入暴露或效用；租金调整全程效用为 0，二者都留在报告中。两种点估计之差不建立配对更优。作者称没有 significance 或有利结果标准触发追加采集。固定的银行攻击计分器有优先级问题，可能在未检查预定服务名披露时标记攻击者指定的转账；作者保留该分数，并把转账效应与披露分开。

配对与新鲜采样

• 测了什么：主决策库内、等场景权重、10,000 次模拟评测，每场景 1、2、5、10 次抽取。Qwen3 有一个场景没有有效暴露后决策，有效库覆盖 127 而非 128 个场景。这是经验库模拟，不是新的现场模型评测。
• 结果：范围有害执行恒为 0 时，作者写出 Var(X−Y)=Var(X)，配对与独立采样都没有协方差收益可收回。一次抽取的平均绝对对比误差，五种模型上两种设计相差不到 0.02 个百分点。两种设计都没有产生宽对范围的逆序。范围策略之间的平局也是精确的，因为每种结局都恒为 0。
• 作者解读：作者称扩展后的比较没有建立预先声明的实际估计优势。早先 12 场景库里非退化、打平的宽策略，与这次恒零比较回答的是不同问题，不能把前者说成后者的成功复现。Figure 5 图注称近重叠反映范围结局恒为零，并称这不是新鲜现场运行的比较。

恢复、误拒与时延

• 恢复：每次暴露后拒绝得到一次恢复决策。Table III 的安全延续计数为：Gemma 3 4B 为 595/636、594/636、596/636；Llama 3.1 8B 为 484/522、485/522、487/522；Llama 3.2 3B 为 491/629、484/629、493/629；Mistral 7B 为 83/154、84/154、84/154；Qwen3 4B 为 113/113、113/113、113/113（列序为范围 JWT、DPoP、OPA）。作者写出的比例从 83/154（53.9%）到 113/113（100%）。没有记录到有害恢复执行。模式间差异是描述性的，恢复决策分开采样、不配对。
• 误拒与归因：任何模式下都没有拒绝范围内的暴露后工具请求。按 Table III 的模型顺序，实际被允许请求分母为 401、726、265、428、643；不调用工具的决策排除在外。一条 Llama 3.2 宽令牌有害执行发生在注入暴露前的获取阶段，另一条发生在良性对照的暴露后执行。作者称受攻击轨迹中的违规不能全部因果归因于注入。安全延续字段不给最终答案打分，因此该实验不建立经核实的端到端任务效用。
• 时延：暴露后 HTTP 往返时延中位数，宽 bearer 为 2.00–2.10 ms，范围 JWT 为 1.85–2.03 ms，DPoP 为 1.31–1.76 ms，OPA 为 14.41–24.42 ms。作者称这是本地、随请求组合变化的测量，排除无效和不调用工具的决策，不是孤立的密码学或授权成本；DPoP 在验证证明前先检查范围。凭据签发和模型生成不在该计时区间内。

其他消融与分析

• 标注：两次 Claude 全语料在授权与良性可行性上 128/128 一致，有害动作标签 104/128 一致；第三次裁定 24 处分歧；非作者审阅 24 个分歧加 16 个分层一致样本，40/40 确认。
• 范围内滥用：开发试点在静态范围下观察到一笔重复的合法支付；后续有状态计数试点有成功支付，但没有预算耗尽拒绝，因而没有现场增量收益比较。作者保留这一空发现。
• 托管扩展（附录 A，2,048 token 阶段，每模型 286 条预定轨迹）：Luna 与 Muse 1.3 的越权受攻击暴露后决策均为 0。Luna 记录 285 条，受攻击有效/记录 253/253；Muse 记录 269 条，234/240。512 token 试点单独报告、不合并。作者称零有害执行不建立策略有效，条件执行效果不可识别。
• 附录 C 给出四条说明性轨迹，覆盖三个域和四类攻击，并保留一条宽策略工具失败（HTTP 404、无有害执行）；作者称所选轨迹不表示该行为典型。

作者指出的局限与后续方向

• 构造效度（Section VIII）：oracle 比较类型化动作/资源对与审阅过的任务权限，不覆盖全部语义伤害、参数替换、欺骗性文本，或经普通模型输出的数据泄露。HTTP 成功是具体执行证据，残留状态变化不是完整的伤害度量。
• 内部效度（Section VIII）：机制与多数 oracle 来自同一实现团队。外部 OPA 求值器分开了策略求值；非作者标签审计并不独立验证实现，也不能消除相关误差。单机顺序执行可能含缓存与调度效应，时延是描述性的。
• 外部效度（Section VIII）：语料为手工编写、英文、四个合成域。五个本地 3B–8B 量化配置不代表全部模型、托管系统、提示词、工具 schema 或智能体架构。16 个良性对照少于受攻击上下文。生产环境的 OAuth、MCP、DPoP、OPA 可能强制不同属性。本地 HTTP 检查不评传输安全；RFC 9449 部署要求 HTTPS。DPoP 绑定 method 与 URI，不绑定请求体或一般头。
• 静态范围（Section VIII、Discussion）：动作/资源成员关系一般不能发现同一动作、同一资源上的语义滥用或重复合法支付。作者称这类情况需要更好的范围构造、更细的参数敏感策略、数据流控制或有状态授权。解决它不在主主张内。
• 统计与标注（Section VIII）：重复刻画场景内随机性，不增加独立场景。聚类 bootstrap 以这份审阅语料为条件，具名模型是固定配置。作者不把观察到的零失败次数解释成普遍的零概率。新鲜采样反事实依赖有限的归档决策库。标注来自两次 Claude 全语料加第三次裁定；来源审计不是两名独立人类的全语料标注。精确后端标识和会话隔离仍未核实。
• 测量边界与后续用法（Discussion、Conclusion、附录 A、附录 B）：安全延续不是正确答案。AgentDojo 六个有意选取的任务、效用低，是有界次级评测，不是基准范围的性能主张。配对的采样优势不是自动的，主结局比较是退化的；作者建议以后用配对回答固定请求问题，而不要假定它一定会降低估计误差。托管扩展没有有效的越权暴露后决策，条件执行效果不可识别，不完整覆盖不支持总体零风险主张。

实验覆盖范围

• 主实验为五个具名本地配置、128 个受攻击场景、每场景 10 次重复、温度 0.7，四种授权条件；另有 16 个良性对照（Section IV、V）。
• 预定轨迹 7,200 条；受攻击暴露后决策 6,393 条，其中无效 19 条；7 条 Llama 3.2 获取未暴露（Section V）。Table II 的区间来自 5,000 次场景聚类 bootstrap。
• AgentDojo 扩展为固定 v1 的 6 个任务、一个 Llama 3.2 3B 配置、96 条预定分支；Table IV 合并两种采样设计（Section VI）。
• 凭据检查为 DPoP 8/8 与 OPA 1.19.1 的 21/21（Section III）。新鲜采样比较是决策库上 10,000 次模拟，不是新的现场采样（Section V.C）。
• 论文写明经核实的任务完成仍未测量（Section IV.E）。附录 A 的 Luna 与 Muse 1.3 在保留运行中越权受攻击暴露后决策为 0；512 token 试点与 2,048 token 阶段分开报告。标注不是两名独立人类的全语料标注（Section VIII）。

配对回放是一套把模型越权选择和服务侧执行拆开的测量协议，不是新的授权架构。

• 问题：端到端攻击成功率把选出权限外请求和服务执行该请求合成一个数。作者要在研究者给定的任务权限下，测量范围授权对已采样跨动作、跨资源后果的遏制，而不是防止提示注入。
• 方法：现场模型采样一次结构化请求，冻结动作、资源与参数，复位到等价前态，再分别交给宽 bearer、范围 JWT、DPoP 和 OPA。拒绝后的恢复不配对。主实验看暴露后有害执行；实现的效用是安全延续代理，不核最终答案。
• 本地主结果：128 个受攻击场景、五个本地配置、温度 0.7、每场景 10 次。宽令牌有害执行从 Qwen3 4B 的 8.9%（113/1270）到 Llama 3.1 8B 的 37.8%（484/1280）；三种范围条件为 0。合计 2,054 次越权选择、1,649 次宽令牌执行。范围内请求没有被拒。
• 次级结果：AgentDojo 六个有意选取的任务上，注入上下文、两种设计合并后，宽策略原生攻击标记 11/24、范围策略 0/24，效用 5/24 与 6/24。范围有害执行恒为 0 时，配对与独立抽样的一次抽取平均绝对对比误差相差不到 0.02 个百分点。
• 作者结论：作者称结果支持的是所测静态范围边界下的执行遏制；策略改变执行，不改变冻结决策。作者称 DPoP 与 OPA 相对仅范围没有增量的有害执行收益。作者认为应分开报告妥协与后果；配对用来固定被比较的请求，不要假定它自动降低估计误差。作者称零范围执行在正确强制的静态边界下是预期结果，作用是分开测量，零本身不是这里的科学新意。