CAGE：面向工具调用 Agent 的类型化返回不确定性认证授权方法

运行时权限门只对观测到的类型化返回和动作做点式授权，不保证该动作在一次绑定故障加有界数值漂移的邻域内仍然被授权。

• 场景：作者称工具观测会进入后续动作的控制流，而部署中的权限门是启发式、执行前、定义在提议调用上的，不判断依据返回值行动是否安全。
• 现有不足：作者称现有防御主要处理不可信文本或数据流，与类型化授权互补；权限门、运行时执行器和 LLM judge 都只点式评估已实现的返回–动作对。
• 核心观察：作者称类别通道与数值通道的证书不能组合（Theorem 1）。联合间隙见证在观测点和每个边际检查下安全，但邻域中某个来源与数值同时偏离的返回会使同一动作不安全。
• 威胁模型：
  • 目标：给定已验证记录 z̃ 和候选动作 a，判断 a 是否对 Bd,ε(z̃) 中每个返回仍满足 Safe。
  • 知识：TM2 下运行时看到已验证记录，正确绑定返回可为邻域内任意点；TM1 下对手控制展示文本 m，但不控制 z。
  • 能力：离散预算对应可容许绑定故障。论文把 d=1 作为测得的单故障粒度，并对可诱发故障的对手建议 d=2；ε 是被测故障过程上的 p95 残差，由完整性与新鲜度验证对自适应攻击者执行。伪造身份、被攻破端点和半径外取值不在证书内，构造器与验证栈在 TCB 中。
  • 受害节点：决策读 (z, a)。LLM 仍可提议 a；门只决定执行是否被授权，弃权交给人工。
• 本文提出：CAGE 直接认证该联合邻域。策略可执行时 CAGE-Exact 认证策略本身；否则 CAGE-Lip 或 CAGE-RS 在已测量的门–策略保真条件下认证学习门。

相关工作按认证鲁棒性、运行时执行和策略验证组织；作者把本文放在邻域上的类型化授权。

智能体循环与文本通道

• 循环与边界：Yao et al. 2023 给出 think–act–observe 循环；Liu et al. 2026 把安全边界放在 harness，模型降为提议者。
• 间接注入与工具投毒：Greshake et al. 2023、Zhan et al. 2024、Debenedetti et al. 2024、Wang et al. 2026 研究经第三方内容或工具描述操纵模型。作者称那是另一阶段：本文假设工具已经返回类型化对象，再问依据它行动是否被授权。
• 执行前测试：Ji et al. 2026 被引为压力测试。作者称同一状态改变效果可通过未评估路径到达；正文未转述该测试的具体比率。

可迁移的认证方法

• Lipschitz 裕度：Tsuzuku、Sato 与 Sugiyama 2018 用超过 Lε 的裕度认证决策；Anil、Lucas 与 Grosse 2019，Trockman 与 Kolter 2021 用正交层构造 1-Lipschitz 网络。作者把它用作 CAGE-Lip 的学习后端。
• 随机平滑：Cohen、Rosenfeld 与 Kolter 2019 对黑盒分类器给出连续扰动下与模型无关的保证，作者用作 CAGE-RS 的后端，并引用 Zargarbashi、Akhondzadeh 与 Bojchevski 2025 的 conformal 扩展。
• 先枚举再认证：Jia et al. 2019、Huang et al. 2019 的词替换认证与离散枚举平行。对 Lee et al. 2019 和 Bojchevski、Gasteiger 与 Günnemann 2020，作者称混合或离散平滑只有在 Nd(s) 大到不能枚举且门是黑盒时才划算，本文两者都不成立（Proposition 4）。Table S29 写 d=1 时 Nd(s) 为 8–18。

运行时执行与策略验证

• 观测点执行器：VeriGuard（Miculicich et al. 2025）验证合成策略并做逐动作监控；AgentSpec（Wang、Poskitt 与 Sun 2026）执行 trigger/predicate/enforcement，无轨迹分析；PFI 与 SAFEFLOW 引入隔离和信息流控制。作者称这些方法评估观测到的动作–状态对，不提供在 Bd,ε(z) 上一致的证书。
• 其他损坏：ToolCert（Yeon、Chaudhary 与 Singh 2025）针对对抗性工具描述，TPA（Ghitu 与 Wicker 2026）针对训练集投毒。作者称二者都不处理推理时对 Bd,ε(z) 的认证；Ling et al. 2026 的 SoK 把该表面列为开放问题。
• 策略本身：Fisler et al. 2005、Hu et al. 2014、Alshiekh et al. 2018 和 Ben-Tal、El Ghaoui 与 Nemirovski 2009 验证、执行或优化策略。作者称 CAGE 认证的是推理时的授权决策。安全谓词沿用 Siu et al. 2026 的 oracle 形式化；作者引用 Schwinn et al. 2026 的结论，称 LLM judge 在偏移下衡量对抗鲁棒性不优于随机，因此使用类型化门。

基线与基准

• 基线：无门、学习点式门、点上精确谓词、边际组合和 oracle（Table 4）。后端为 CAGE-Exact、CAGE-Lip、CAGE-RS 和离线 MILP 上限。
• 基准：合成 finance/SRE/ops、OPA 策略即代码、IEEE-CIS、NAB、PSD2/AML、DevOps。Table 3 另列 OpenFisca、k8s/MCP/Marble 和故障注入。

作者称技术组件来自已有认证方法，贡献在联合邻域授权的表述、不可组合性，以及测量过的安全论证。Figure 2 用评估位点（观测点或邻域）和策略形态（可执行谓词或从标签学习）区分文本通道、工具描述或训练数据上的防御。

CAGE（Certified Authorization Gate for Execution）把授权对象从观测点改为联合邻域：只有每个合理的正确绑定返回都安全，才允许执行。

记录、预算与两个威胁

• 类型化返回：z=(s, x)。s 包括工具身份、来源、类别字段和状态标签；x 属于 R^k，包括风险分、金额、延迟和价格。动作 a 属于 A。Safe(z, a) 取 0 或 1；同一返回对 manual_review 可以安全，对 approve_transaction 可以不安全。
• 邻域：观测记录经过 schema、完整性与新鲜度检查。残差写成 B_d,ε(s,x)={(s′,x′): D_disc(s,s′)≤ d, |x′−x|₂≤ε}，即至多 d 次离散编辑，且 ℓ2 漂移不超过 ε。允许意味着该邻域内每个返回都满足 Safe。
• 两个威胁：TM1 中 m 可改变 LLM 的提议，但只读 z 的门在构造上与 m 无关。TM2 要求授权在整个邻域上成立，排除 m 不再够。
• 返回依赖：Proposition 1 称，若存在 z0、z1 使同一 a 在一处安全、在另一处不安全，则任何不查看已实现返回的规则不能在两种情况下都正确授权。

边际证书为什么不能组合

• 逻辑缺口：固定原离散状态的连续证书，与固定原数值的离散证书，合取后仍弱于对所有离散邻居和所有连续球的联合陈述。作者称不安全区域只出现在离散–连续交互中（Theorem 1）。
• 区间：一维数值且来源交换使阈值平移 Δ 时，只做连续检查需要 x≤q−ε，只做离散检查需要 x≤q−Δ，联合移动在 x>q−Δ−ε 时不安全。三段同时成立的区间长度为 min(Δ, ε)。作者称类别 C 的频率随该长度变化，测量放在 Section 6.2。
• 分支例子：作者取 q=0.60、Δ=0.08、ε=0.10、观测值 0.46。点检查和两个单通道检查都通过，但该值大于 q−Δ−ε。CAGE-Exact 枚举两个来源：宽松分支上 0.56≤0.60 通过，严格分支上 0.56>0.52 失败，于是拒绝并转复核。

枚举与假设阶梯

• 允许规则：Nd(s) 被精确枚举。允许当且仅当 Allow_CAGE(s,x,a)=1 ⟺ min_{s′∈ Nd(s)}Cert_ε(s′,x,a)=1。每个分支被读成一个可能的正确绑定返回。
• 四档（Table 2）：CAGE-Exact 用于仿射片段，认证 Safe，预算内无松弛，失败模式是 TCB 或预算逃逸。CAGE-Lip 认证训练门 hθ，松弛为 Lcert·ε，失败模式是门–策略失配。CAGE-RS 认证平滑门，松弛为 σΦ^{-1}(τ) 加蒙特卡洛保守性。MILP 上限离线认证小 ReLU 门的整个稳健安全集，用来区分低放行率来自学到的裕度还是来自后端。
• 分支测试：Exact 要求每个分支的每条仿射约束满足 w^T x+ε||w||2≤b(s', a)。Lip 要求最小裕度大于 Lcert·ε；文中 Lcert=1，使用正交层（Boissin et al. 2025）。RS 要求最小下界概率不小于 τ。附录 D 固定 σ=0.10、τ=0.90、每分支 M=2000（另写 M=10^4 处除外）、αFWER=10^{-3}。
• 路由：超出片段的策略在语法上被检出，转到上限或门认证档，不静默近似。作者把 rung 1 称为 policy-certified，把 rung 2–3 和上限称为 gate-certified。学习门的证书不自动等于策略正确。

保证与判定

• 三条性质：Proposition 4 称离散通道没有蒙特卡洛误差。Proposition 2 称 Lipschitz 测试把学习门的正决策认证到整个联合球。Proposition 3 称健全门必须在不安全边界附近弃权：Allow=1 蕴含最差分支裕度 m(z, a)≥ε，因而允许概率不超过 Pr[m≥ε]。
• 类别：U 是点上已不安全，C 是边际检查安全但联合移动不安全，R 是预算内处处稳健。W 是 clean-safe 去掉 R。CFA 是认证允许中被 oracle 判为联合不安全的比例；Rallow 是 R 上的允许率。
• 归一化：连续字段先归一化。有界量仿射到 [0, 1]，重尾量先取对数再做分位或标准差缩放；ε 与 σ 定义在该空间。共享实验工作点是 d=1、ε=0.10。

实验设置

• 模型与门：提议者为 qwen2.5:7b-instruct、qwen2.5-coder:7b、qwen2.5:32b 和 qwen3.6（36B MoE，Q4_K_M）。点式 judge 用 qwen2.5:32b，另有 llama-guard3:1b；更强 judge 为 qwen3.6。学习门为 1-Lipschitz 正交网络和被平滑的表格 MLP。
• 数据：Table 3–4 列出合成 finance/SRE/ops、IEEE-CIS 加 OPA、OpenFisca、NAB、PSD2/AML、DevOps fixture，以及 k8s/Kyverno、MCP、Marble 和适配器故障注入。返回依赖实验为每域 10,000 对。Table 5 的 W 为 6032/10,000。
• 工作点与基线：d=1、ε=0.10。基线为无门、学习点式门、点上精确谓词、边际组合和 oracle。采样包括 natural、boundary-balanced、C-targeted。
• 指标：Callow、Uallow、Rallow 是 C、U、R 上 Allow=1 的比例。CFA 是一次运行全部认证允许中被 oracle 判为联合不安全的比例，不是 W 上的比例。
• 标签与重复：标签按设置来自解析 oracle、opa eval、OpenFisca、Kyverno 或 Marble。RS 默认 σ=0.10、τ=0.90、M=2000、αFWER=10^{-3}。Table S2 写 3 seeds，Table S3 写 5 seeds；Table S1 未写种子数。
• 规模：IEEE-CIS 每采样模式 10,000 条（Table S1）；NAB 为 n=6000（Table S2）；端到端每（域, 攻击）300 集（Table S19）；故障注入每类 4000（Table 8）。

主结果

据 Table 7（标题写 d=1、ε=0.10）。C 频率是该表所写的联合间隙频率。

表格较宽，可左右滑动

设置	后端	C频率	CFA	Rallow
OpenFisca	Exact	3.5–8.9%	0	22–34%
OPA	Lip	10–12%	0	27–37%
OPA	RS	10–12%	0	6.5–7.3%
IEEE-CIS	RS	6.4%	0	20–24%
NAB	Lip	10.9%	0	100%
PSD2/AML	RS	6.5–9.8%	0	20–34%

• 作者称每个认证允许都是 oracle 安全的，同时各设置都保留非零的稳健安全覆盖；弃权去掉的是靠近不安全边界的决策，而不是只提高点准确率。
• Table 7 把 IEEE-CIS 行的来源标为 Table S1。该表三种采样下，认证允许中的欺诈率均为 0.0；阻断交易的欺诈率为 4.1%（boundary-balanced）、3.3%（natural）、2.8%（C-targeted）。作者概括为自主批次未见欺诈，被阻断交易中有 3–4% 欺诈。
• Table 7 的 OpenFisca 区间与来源 Table S27 的两列一致：ε=0.03 时 C 频率 0.035、Rallow 0.34；ε=0.10 时为 0.089 与 0.22。论文未在 Table 7 单元格内分开这两个 ε。Table S51 审计 91 个零单元格，均为 k=0；分母从 0/8（Wilson-95% 上界 0.324）到 0/17,200（上界 2.2×10^{-4}）不等。

点式评估与联合间隙

• 测了什么：Section 6.2 比较不看返回的规则、点式门和邻域门，并用 oracle 标出 W。
• 结果：返回依赖的匹配对在 finance/SRE/ops 占 42.5–45.6%；不看返回的规则在少数类上的多数错误为 31.6–34.0%。返回前学习基线错误 28–33%，返回后门为 0.4–0.7%。引言把返回依赖概括为约 44%。Table 5 中，无门、学习点式门和点上精确 OPA 谓词在 W 上允许 99.3–100%（表注写 by constr.）；32B 点式 judge 为 92%，预算感知 judge 为 44±43%。CAGE-Exact 与 CAGE-RS 的 allow-on-W 为 0%、CFA 为 0。CAGE-Lip 为 1.5±0.4%，CFA 为 8.2%。36B-MoE 预算感知 judge 最多允许 W 的 61%，作者称温度 0 时该缺口不变。
• 作者解读：作者称非零的 Lip 条目来自基门与策略失配，邻域证书对学习门仍然成立（Table S6）。作者称结果由评估位点解释，增加 judge 容量不提供邻域证书。AgentSpec 与 VeriGuard 按已发表语义只评估观测点，因而在构造上放行每个见证（Table S18）。Pr[C] 跟踪 min(δ, ε)，IEEE-CIS 与 NAB 上相关为 1.0 与 0.96（Table S44）。OPA 与 GoRules ZEN 的解析分类一致率为 1.000；Marble 的 C 集 Jaccard 为 1.000（Table S21）。

端到端、自适应与自主比例

• 副作用：Table 6 中，finance/SRE 无门不安全效果为 1.00/0.40，CAGE 为 0/0；过期注册表上的不安全部署被阻断；4 个 LLM 的 MCP 写入为 4/4，CAGE 为 0/4；Marble 上无门持久化 100/100，CAGE 为 0/100。Table S19 中，点准确率 1.00 的分类器和边际证书在联合间隙上的不安全执行等于无门，执行前筛查为 0.44/0.23。作者称 CaMeL 与联合证书正交（Table S18）。正文写门开销约 10 μs，对照解码约 2.5 s；Table S20 写准入路径约 0.3 μs、MCP 路径约 10 μs。
• 自适应与文本：知道 gθ、Bd,ε、τ 和 Safe 的对手，使点式门假允许为 finance 0.017、SRE 0.150、ops 0.043，CAGE 均为 0.000（Table S10）；作者概括为 1.7–15%。留出阈值上，学习自适应假允许为 47.5%，认证为 0%（Table S11）。展示通道下，类型化门的不安全执行对 m 的 spread 为 0.00（Table S16）。四个真实提议者上，测得的认证假允许均为 0；Table S14 中无门联合间隙泄漏最高为 0.639（qwen2.5-coder:7b，SRE）。
• 隐式策略：以 IEEE-CIS 的 isFraud 为策略时，Lip 认证安全交易的 0.72，RS 为 0.40；攻击下点式门的欺诈假允许为 0.47–0.49，Lip 为 0.41，RS 为 0.044（Table S13）。Table S49 的 certified gate 自主体量为 37%、预算内欺诈为 0.044，同体量点式门为 0.532；该表未写明 Lip 或 RS。Table S50 中 Exact 在自然流量上自主放行 IEEE-CIS 的 56.8%、NAB 的 46.1%；正文写 57% 与 46%。作者称更严的学习后端放行 2–14%；表中 PSD2/AML 的 RS 为 2.0–9.2%，OPA 的 Lip 为 12.3–13.6%。

预算校准与外部锚点

• 测了什么：七类适配器故障，每类 4000，测量 (d, ε)；同卡墙钟时效测新鲜度；留一法测 Nd；构造器翻转探测 TCB（Section 6.5）。
• 结果：Table 8 中，所声称覆盖的故障满足 Pr[d=1]=1.000，验证后 εemp@p95 约 0.079–0.095。schema 转置和键碰撞没有离散足迹且超过 ε，被标为验证失败。构造器翻转概率 p=0.40 时，已验证点假允许为 0.0167，作者写作 1.7%（Table S34）。Figure 4 与 Table S36：时效约在 10 s 越过 ε=0.10；系统假允许从 60 s 的 0.018 到 120 天的 0.071，CFA 保持 0。作者称没有覆盖良好的亚分钟 SLA 达到低于 1% 的系统逃逸。
• 作者解读：作者称系统假允许被逃逸概率界住。OpenFisca 上点式门放行全部 1,773 个联合间隙见证，精确证书放行 0（Table S27）；zone 是主体属性而非流水线来源键。Table S25 中有文档的 θ(s) 为 0/31。作者因此只声称存在性、可实现性和机制，现场流行率未测。

其他消融与分析

• ε×τ、σ、引擎标签和后端互换上，被测格子的健全性不变；OPA 上 (ε, τ)=(0.10, 0.95) 的平滑 Rallow=0，作者称为效用失败（Tables S3–S5）。
• 同一 OPA 轨道门的 MILP 给出 Rallow=1.00/1.00/1.00；ops 的 oracle 假允许 0.0085 被作者称为基门保真透传（Table S6）。Section 6.5 写 Exact 低于 1 μs，Lip 为 7–17 ms，RS 为 10–132 ms。
• d=1、2、3 的 Lipschitz 后端在两条轨道上健全；|Nd| 在 OPA 上为 8、24、36，合成 |X1|=8 上为 18、109、256（Table S29）。
• k≤50 时健全且非空；k=100 时 clean acc 为 0.921、cert_false_allow 为 0.23（Table S46）。αtotal=0.01 时，按视野修正的 RS 在 T≥10^3 变空，Lip 不随 T 变化（Table S47）。
• 已知真值下 CAGE-Lip 恢复精确稳健安全集的约 0.65，策略假允许为 0，Wilson 上界 0.022（Table S7）。跨动作误选残差为 0.31（Table S33）。
• 边界寻求输入提高弃权，Exact 的 CFA 仍为 0（Table S41）。扩展扫描中未认证攻击假允许为 0.90–0.98，证书 Rallow 为 0.35–0.625（Table S8）。DevOps fixture 的见证为 1661/9600，CFA 为 0，Rallow 约 0.11（Table S9，边界构造）。

作者指出的局限与后续方向

• 单次决策：保证适用于一次授权决策 Allow(z, a)（Section 7）。
• 前提：假设有已验证的类型化返回构造器、完整中介、可枚举的离散邻域，以及校准新鲜度与数值预算内的连续不确定性（Section 7）。
• 条件变弱：作者用预算逃逸从 1.8% 到 7.1%（Figure 4）和构造器损坏从 0 到 1.7%，量化这些条件变弱时发生的事（Section 7）。
• 未认证对象：跨轮累积、工具选择、提示注入抵抗、MCP 元数据和多步执行仍未认证（Section 7）。
• 学习门：学习后端需要持续的门–策略审计；作者给出 95% 下 false-allow≤0.021（Section 7，Table S43）。同节称边界寻求流量可以提高弃权，但不会把它变成假允许。
• 后续方向：测量现场的来源条件策略和绑定故障，把证书扩到序列决策，并把校准接到在线验证设施（Section 7）。

实验覆盖范围

• 设置包括合成 finance/SRE/ops、IEEE-CIS、OPA、OpenFisca、NAB、PSD2/AML、DevOps fixture，以及 k8s/Kyverno、MCP 与 Marble（Tables 3、4、6、7）。
• 真实提议者为三个 Qwen2.5 变体和 qwen3.6；judge 实验使用 qwen2.5:32b、qwen3.6 和 llama-guard3:1b（Section 6.4，Appendix D，Table S17）。
• 共享工作点为 d=1、ε=0.10；另报告 d∈{1, 2, 3}、ε×τ，以及连续维度至 k=100 的扫描（Section 6.5，Tables S4、S29、S46）。
• 预算来自七类注入故障，每类 4000 次；新鲜度在真实 IEEE-CIS 的同卡墙钟时效上测量（Table 8，Figure 4）。
• 引言和 Section 6.4 写明 field prevalence 未测量；Table S25 的注册表裁定中，有文档的 θ(s) 为 0/31。零单元格的 n/N 与 Wilson-95% 上界集中在 Table S51。

CAGE 是放在工具返回之后的认证授权门，处理类型化返回在绑定和数值上的残差不确定性。

• 问题：点式门可以在观测点安全，并分别通过类别检查和数值检查，却在一次来源绑定故障加有界数值漂移后对同一动作不安全。作者把这类点称为联合间隙见证。
• 做法：离散邻域被精确枚举，每个分支再用 Exact、Lipschitz 裕度或随机平滑认证连续球。策略属于仿射片段时，Exact 认证策略；否则后两档认证学习门，门–策略保真单独测量。共享工作点为 d=1、ε=0.10。
• 见证集：在 IEEE-CIS 加 OPA 的 W（6032/10,000）上，点上精确谓词允许全部见证；CAGE-Exact 与 CAGE-RS 的 allow-on-W 为 0，CFA 为 0。CAGE-Lip 的 CFA 为 8.2%，作者将其归于基门失配（Table 5）。finance/SRE/ops 中，授权依赖返回的匹配对占 42.5–45.6%。
• 跨设置：Table 7 五个设置里，认证允许的 CFA 为 0，Rallow 从 OPA 上 RS 的 6.5–7.3% 到 NAB 上 Lip 的 100% 不等。端到端中，边际组合会提交联合间隙上的不安全效果，Table 6 的各底物上 CAGE 为 0，匹配的安全对照仍可通过。
• 自主与残差：隐式 isFraud 下，Table S49 的认证门以 37% 自主体量对应 4.4% 预算内欺诈，同体量点式门为 53.2%。自然流量上 Exact 自主放行 IEEE-CIS 的 56.8%、NAB 的 46.1%（Table S50）。新鲜度放宽时，系统假允许从 1.8% 到 7.1%，认证假允许保持 0（Figure 4）。
• 作者结论：作者认为，在类型化返回不确定性可以被测量并执行的地方，联合邻域授权可以作为运行时控制。该保证针对单次决策，不覆盖预算逃逸、构造器损坏、跨轮累积，以及未测的现场流行率。