KITA：为 LLM Agent 设计密钥隔离的阈值签名授权架构

同一进程既解释不可信内容又掌握可复用签名凭证时，提示注入可以越过判断边界，到达支付等执行权。

• 场景：作者用至多 1500 美元买笔记本电脑说明：比价是判断，支付是难逆转的外部动作。若该进程还控制可复用签名凭证，被操纵的输出可以触发未授权转账或权限变更。
• 现有不足：作者称辩论和模型小组的输出仍是建议，策略约束也挡不住仍需模型判断的含糊证据。阈值签名与 AP2 的 Agent Key 都不把模型评审做成对精确动作的法定人数签名。
• 做法：提出 KITA。个人秘密签名密钥和每个阈值份额都不进入 LLM，批准与份额绑在同一规范动作上；改金额、收款方、权限或证据承诺就会变成新消息。
• 威胁模型：
  • 目标：使验证者 V 执行先前未使用的动作 m。作者称若发生此事，对手已得到至少 t 个不同索引对 m 精确字节的有效贡献。
  • 能力：对手控制提议者 P 及少于 t 个评审–签名域。域内任一组件被攻破即算该域腐败，并获得该域份额的选择消息访问。
  • 假设：阈值方案对少于 t 份份额存在性不可伪造；另有认证批准、隔离存储与认证公开份额、唯一规范编码、无未检查执行接口的诚实验证者。
  • 边界：在上述假设下，低于阈值的联盟不能单独产生新动作的有效最终签名。份额只在对规范字节的认证批准后，由 LLM 之外的签名者释放。

引言把相关工作分成判断、策略和阈值签名三条线，并单列支付委托。作者认为留下的组合是：把模型评审绑到精确可执行动作，且全部签名材料不进入 LLM。

提示注入与支付委托

• InjecAgent / AgentDojo：Zhan 等人（2024）与 Debenedetti 等人（2024）说明间接提示注入可以改变计划或工具调用。作者用此说明智能体必须在不可信内容上推理。
• AP2：Google（2025）把封闭委托绑到用户授权的开放委托，并在确定性代码中验证；自主模式下 Shopping Agent 用 Agent Key 签名。作者指出它不要求模型评审者的阈值来授权该签名。

多智能体判断

• 辩论、小组与投票：Du 等人（2024）用辩论改善事实性与推理，Verga 等人（2024）用多样化模型小组代替单一评审，Choi 等人（2025）比较辩论与投票。作者称这些输出仍是建议，除非另有组件强制执行。

策略与委托

• 权限边界：Debenedetti 等人（2025）、Shi 等人（2025）的 Progent、South 等人（2025）与 Muruaga（2026）约束权限或要求经认证的委托。作者称可机器检查的界限之外，含糊证据仍可能需要模型判断。

阈值签名

• 集体签名：Borselius 等人（2002）与 Syta 等人（2016）使一个消息在密码学上需要法定人数。作者称评审语义和执行边界仍留给外围系统。
• 本文用到的构造：Boneh 等人（2001）的 BLS、Boldyreva（2003）的阈值构造、Gennaro 等人（2007）的可验证 DKG。附录 C 的 Table 3 比较 FROST、阈值 ECDSA 与多重签名的在线交互和验证器兼容性，不是实验基线。

对照：架构上对比逐笔人工签名、可复用 Agent Key，以及 AP2 自主模式的 Agent Key 边界（Section 2、附录 D）。模拟中的数值对照是单评审者边际率：合法请求 0.90，越策请求 0.20（Section 3、附录 E.2）。作者把本文放在上述几条线的交界，使语义批准成为可强制权限，执行器只接受对被评审字节的有效法定人数签名。

KITA 把提议、评审、签名和执行拆开：无份额的提议者构造规范动作，隔离签名者只在认证批准后对同一字节出份额，验证者只执行带有效阈值签名的那一份 m。

规范对象与角色

• 角色：主体定义策略 π 并授权委员会。提议者 P 可处理不可信内容，但不持有签名份额。评审者 Ri 把请求当数据评估；配对签名者 Si 把 ski 留在 LLM 运行时外。不可信组合器收集份额，验证者 V 独立检查后再执行。
• 消息 m：含协议版本、主体、委员会与密钥纪元、策略版本、完整动作字段、执行域、nonce、过期时间，以及证据清单摘要 H(E)。E 记录来源标识、内容摘要、检索时间与新鲜度。承诺 H(E) 用来防止评审后替换证据；评审者仍负责核验证据。
• 最少字段：附录 A 的 Table 1 列出协议上下文、主体与委员会、策略状态、动作、证据、新鲜度与重放、关联（父提案或外部对象摘要）。签名对象是规范化字节，不是 LLM 记录或可读摘要。
• 解析：评审者与 V 重新编码，字节不一致则拒绝。未知关键字段、重复键、非法时间戳和模式外的值失败关闭。执行器消费已解析的签名字段，不从可变的提议者状态重建动作。

建立与四步在线协议

• 建立：隔离签名服务运行可验证 DKG。每个 Si 得到 ski 和认证的公开验证份额 pki，委员会得到群公钥 pk，任何一方都不重构群秘密。受控原型用确定性 dealer；作者写目标部署用 DKG，以去掉 dealer 依赖。
• 提议：P 把同一 (m, E, π) 发给每个评审者。P 没有份额，选出提案不等于授权该提案。
• 评审并释放：Ri 返回 reject、revise(c) 或 approve(m)。认证批准只到达配对的 Si；Si 核对摘要后返回对该 m 的份额。降低金额等修改产生新字节 m'，评审重新开始，旧份额不复用。
• 组合与执行：组合器只接受通过 VerifyShare 的份额，并只组合 t 个不同有效索引上、同一摘要与纪元的份额。V 检查最终签名、策略与密钥纪元、过期和未使用的 nonce，原子消耗 nonce，执行恰好是 m 的动作。

阈值 BLS

• 基签名：在配对群上，秘密 x 对应 pk=g₂^x, h=H_DST(m), σ=h^x, e(σ,g₂)=e(h,pk)。该式是单签名的公钥、哈希、签名与验证方程；份额组合后仍用它验证。签名是一个群元素。本文最小签名配置把 σ 放在 G1，48 字节，pk 在 G2，96 字节。
• 分享：指数上的 Shamir 分享，次数为 t-1，f(0)=x，且不重构 x。Si 保存 xi=f(i)，公布 pki。批准精确的 m 后返回对应份额。组合器先做配对检查，再对任意 t 个有效索引做拉格朗日组合。不同消息上的份额不能组合。
• 为何用 BLS：作者称每个隔离签名者在线阶段一次请求、一次响应，不需要分布式 nonce 轮次，委员会变大时最终授权仍是一个群元素。Table 3 列出 FROST、阈值 ECDSA、多重签名的交互和兼容性；作者称方案选择不改变评审到授权这一组合。为调用常规签名 API 而重构群秘密，会重新引入单点。

授权完整性

• 条件：附录 B 假设阈值方案对控制少于 t 份份额的对手存在性不可伪造，并假设认证的评审者到签名者批准、安全隔离存储与认证公开份额、唯一规范编码、诚实验证者且无未检查执行接口。
• 主张形式：若 V 执行先前未使用的 m，则对手已获得至少 t 个不同索引对 m 精确字节的有效贡献；若至多 t-1 个域腐败，则至少一份来自诚实域。附录 B 给出论证概要：不可伪造性，加上份额验证、索引去重、规范编码、精确执行和原子 nonce。
• 形式焦点之外：Table 2 把语义质量、保密性和可用性放到部署控制，如评审多样性、认证传输、监测与恢复。作者称授权完整性是该保证的形式焦点；相关判断下，签名只记录实际达到的法定人数。

支付流程中的同一边界

• 附录 D 保留 AP2 的委托与验证角色，把自主模式的 Agent Key 换成委员会群公钥。用户个人密钥留在用户钱包；委员会份额不是个人密钥的碎片。
• 商户、金额、币种和订单标识在评审前固定。作者称评审之后不得再增加执行字段；支付工具若改动字段，就构造新的 m' 并重新评审与签名。商户签名的结账和支付工具检查保持不变。

实验设置

• 模型：现场路径是三次独立 Codex CLI 会话，模型 gpt-5.6-sol，medium reasoning。CLI 未暴露 temperature 或采样种子，作者因此都未设置。确定性测试在同一类型接口上用脚本后端替换模型调用。
• 门控原型：2-of-3。组件为评审者后端、认证网关、BLS 签名者、验证者/执行器。网关只认证回显预期摘要的 approve；签名者再检查认证、索引、结果和摘要。附录 E.1.2 的 API 请求设 store=false，并要求结构化的 outcome、message digest、reason codes、rationale；该节给出完整评审指令。
• 样例动作：example-merchant、1299 美元笔记本电脑；策略允许该商户与 USD，上限 1500 美元。确定性轨迹种子 17，并绑定策略版本 3、委员会纪元 1、nonce order-001。
• 模拟：n=7。合法请求边际批准概率 0.90，越策请求 0.20。ρ 是单因子高斯潜分数相关，不是二元投票相关。每格 400,000 次，NumPy 种子 20260720。95% 区间用正态二项近似，最大半宽低于 0.0016。
• 密码基准：py_ecc 8.0.0，Python 3.9.6，macOS 15.7.4，Apple Silicon。种子 7 与 dealer 生成的 Shamir 份额。快操作 25 次，配对验证 5 次，Table 7 报均值。作者称测量刻画扩展与协议结构，本地优化实现决定部署延迟。
• 指标与次数：门控为 Pass/Fail，共 Table 5 六项，外加 Table 4 一次现场运行。模拟指标为 FA 与 FR。论文未报告现场运行的重复次数。

主结果

Figure 2(a) 纵轴为 error rate（对数），横轴为 approval threshold t（of n=7），图中文字含 single-reviewer FA/FR、majority、False-approve、False-reject。图 (b) 纵轴 error rate，横轴 latent score correlation ρ，刻度文字从 0.0 到 1.0。作者称 (a) 是阈值在 FA 与 FR 之间取舍，(b) 是依赖性决定委员会收益。下表是 Figure 2(a) 在 ρ=0.2 的完整扫描。

t（of 7）	FA	FR
1	0.69058	0.00012
2	0.39469	0.00084
3	0.19536	0.00432
4	0.08340	0.01723
5	0.02925	0.05802
6	0.00778	0.17072
7	0.00127	0.44885

据 Table 6。该 ρ 下诱导的二元相关为越策 0.106、合法 0.080。

• 作者认为 t 设定安全与可用性的取点，ρ 刻画评审多样性还保留多少收益。
• Section 3 的单评审者对照是 FA 0.20、FR 0.10，等于所设边际；与表中 t=1 不是同一量。Section 3 把 4-of-7 一行四舍五入为 0.083 与 0.017，把 t=7 概括为 FA 0.0013、FR 0.45。
• 附录 E.2：t=4 的 FA 在 ρ=0 时为 0.033，随 ρ 趋向 1 而走向单评审者的 0.20。作者称该模型把质量与依赖性参数化，模型基准可代入测得的边际和依赖。

端到端强制

• 测了什么：结构化评审接口接到认证网关、隔离 BLS 签名者、组合器与执行器。确定性路径替换模型调用，其余密码与验证操作实际执行；另有一次三路现场运行。
• 结果：Table 5 六项均 Pass，覆盖有效法定人数、低于阈值、摘要不匹配、动作替换、重放和密钥隔离输入。Table 4：三名 gpt-5.6-sol 均 Approve，耗时 6.097 s、6.244 s、8.123 s；组合器选索引 [1, 2]。修改后的对象被拒绝，原对象执行一次，已花费 nonce 的重放被拒绝。
• 作者解读：作者称模型文本本身不能在缺少匹配的认证批准和有效阈值签名时执行动作。现场运行展示接口兼容与端到端执行，确定性套件检验强制不变量。

签名路径开销

• 份额签名：Table 7 七行均值最小 4.907 ms（n=3, t=2），最大 5.708 ms（n=5, t=3）。Section 3 概括为 4.9–5.7 ms，并称在线阶段无签名者间通信。
• 组合：t=2 为 5.045 ms，t=22 为 62.039 ms（Table 7）。Section 3 概括为从 5.0 ms 到 62.0 ms。作者称组合工作随被接受的份额增长，最终验证者的工作为常数。
• 验证：作者称配对的份额验证与最终验证平均 0.55–0.59 s，最终验证与 (t, n) 无关，最终签名 48 字节。Table 7 最终验证均值最低 554.668 ms（n=10, t=7），最高 586.684 ms（n=3, t=2）；每个配置都拒绝被改动的一份份额，公钥 96 字节。

其他消融与分析

• ρ=0.2 的诱导二元相关：越策 0.106，合法 0.080（Table 6 说明）。
• t=4、ρ=0 的 FA 为 0.033；ρ 趋向 1 时走向 0.20（附录 E.2）。论文未给出该扫描的逐点表。
• 模拟 95% 区间最大半宽低于 0.0016，种子 20260720（附录 E.2）。
• 密码基准种子 7，用 dealer 份额；现场 CLI 未设 temperature 与采样种子（附录 E.1.1、E.3）。
• 现场三名评审者均 Approve；确定性轨迹中 R3 为脚本拒绝，不释放份额（Table 4、附录 E.1.2）。
• 现场运行与确定性轨迹的组合器都选用索引 [1, 2]（Table 4、附录 E.1.2）。

作者指出的局限与后续方向

• 语义质量：Concluding Remarks 称，语义质量仍受相关的评审判断限制。
• 后续方向：同一节称，后续工作可以使用带校准置信度与弃权的异构评审集合。

实验覆盖范围

• 端到端：2-of-3 原型，Table 5 六项确定性测试，以及 Table 4 一次三路 gpt-5.6-sol 现场运行（Appendix E.1）。
• 模拟：n=7，每格 400,000 次，种子 20260720；边际概率由作者设为 0.90 与 0.20，不是从现场模型估计的（Appendix E.2）。
• 开销：Table 7 七组 (n, t)，从 (3, 2) 到 (32, 22)，库为 py_ecc 8.0.0；快操作重复 25 次，配对验证重复 5 次（Appendix E.3）。
• 论证与密钥：附录 B 给出论证概要，依赖阈值不可伪造和四项系统假设。受控原型用确定性 dealer；作者写目标部署使用可验证 DKG（附录 C）。
• 未报告项：论文未报告提示注入攻击成功率、现场 Codex 运行的重复次数，以及评审结果与人工判定的一致性。

KITA 是一套密钥隔离的阈值授权架构，用来把模型评审变成执行外部动作的条件。

• 问题：自主智能体要在不可信内容上做判断，再发起支付等难逆转动作。作者认为，若同一 LLM 进程还持有可复用签名凭证，提示注入会从判断跨到执行权。
• 方法：无份额的提议者提交同一规范对象 m、证据 E 和策略 π。隔离签名者只在认证批准这些字节后释放 BLS 份额；凑满 t 个不同索引后，验证者检查签名、纪元、过期和 nonce，再执行恰好是 m 的动作。个人秘密密钥和阈值份额都不进入 LLM。改变被签名字段会得到新消息，旧份额不能复用。
• 门控：2-of-3 原型的六项确定性测试均 Pass（Table 5）。一次 gpt-5.6-sol 三评审运行形成阈值签名；修改后的对象与已花费 nonce 的重放被拒绝（Table 4）。
• 取点与开销：n=7、ρ=0.2 时，4-of-7 的 FA 为 0.08340、FR 为 0.01723（Table 6）。作者将其与单评审者的 0.20 和 0.10 对比，并称 t 与 ρ 是分开的控制量。份额签名约 4.9–5.7 ms，组合在 t=22 时为 62.039 ms，配对验证约 0.55–0.59 s（Section 3、Table 7）。
• 作者结论：作者把 KITA 当作让集体判断成为可强制授权边界的起点：秘密材料留在 LLM 之外，并且要对精确动作收集 t 次批准。作者同时称，语义质量仍受相关评审判断限制。