ZeroGate：为受治理 AI Agent 运行时提供保留信任的快速路径

提前的批准只有在放行时仍能核对，才不会放过已经改变的动作。

• 场景：作者认为，智能体一旦创建对象、发送消息或改变部署，工具许可不等于每一次请求的批准。接收方、预算、有效期或请求体变了，不能只凭熟悉标识放行。
• 缺口：事后复核可能延迟事实未变的工作；把较早允许缓存成allow位，则会替换当前授权。能力、衰减凭证、本地策略求值和持久去重已有基础；作者要问这一组合的边界是否正确、对所研究负载是否有用。
• 区分：决定可以发生，与核对眼前动作仍是被批准的那一个，是不同工作。提前准备只改变付费时点，不取消复核、持久写入或外部服务自己的授权。
• 提出：ZeroGate把精确动作批准与持久本地准入分开。签发方签短期、单次的ActionPass；可信适配器重建最终请求；本地门在一个SQLite事务里消耗nonce、更新适用配额并写准入收据。
• 威胁模型：
  • 目标：成功本地准入应蕴含指定同步策略在准入时点仍授权同一动作。准入是放行一次请求，不是确认请求成功。
  • 信任：适配器与门在trusted client内，复核与效果端点共用服务。持有者与会话是适配器断言，不认证出示者。
  • 绕过：恶意bearer持有者可合成收据字段。效果服务只核调用方绑定，标为caller_supplied_binding_only，不读门数据库，也不要求门签名收据。完整中介是可信运行器及其部署的义务。
  • 消费域：Ω是一个持久门数据库。独立区域副本是不同域，两边都可准入同一份复制通行证。

Section 4分四组讨论先前工作。作者明确不做首次主张。

能力与上下文衰减

• 缓存决定：Saltzer and Schroeder (1975) 要求检查实际操作的权限，并警告缓存的访问决定需要能说明变化的记录。
• 委托令牌：Macaroons（Birgisson et al., 2014）用上下文caveat做去中心化委托。Biscuit结合签名令牌与衰减逻辑，文档描述按请求衰减和正文哈希绑定。
• 与本文的差别：作者称精确请求限制本身并不新颖。本文由可信签发方铸造单次精确批准，适配器重建请求，本地事务把消耗与准入收据耦合；不实现一般衰减语言，并为每个不同批准动作支付铸造和持久化成本。

本地可检查的授权

• Proof-carrying Authentication：Appel and Felten (1999) 讨论向小型检查器出示可验证证据。作者称本文签名认证的是签发方陈述，不是任意签发代码正确实现了策略；签发方健全和依赖完备是后文命题的假设。
• OPA与Cedar：OPA文档写了索引、部分求值和WebAssembly执行。Cedar（Cutler et al., 2024）面向expressive、fast、safe、analyzable的授权。作者称事实本地可用时可以不联系远程复核者；要比较的是工作与证据放在何处。嵌入式fixture基线不是二者的基准，作者称不能建立优于二者。

租约、撤销与新鲜度

• lease：Gray and Cheriton (1989) 的lease承诺缓存使用期间哪些变化可以发生。作者称通行证过期不是该协议，时间戳本身不构成这种承诺。
• 撤销：Biscuit撤销标识要求验证方得知已被撤销的标识。作者称epoch比较只相对于该epoch的来源有意义；孤立验证方分不清只差一次未见远程撤销的历史。离线即时撤销不是本文主张。

持久性与外部效果

• 本地原子性：作者把线性化（Herlihy and Wing, 1990）用于一个消费数据库上的准入，不用于整个云工作流。RIFL（Lee et al., 2015）把重复检测与完成信息耦合到可恢复操作。Helland (2007) 区分本地事务和独立管理实体之间的交互。
• 外部效果：事务性outbox通常仍要重试和接收方幂等。Stripe的幂等键含参数检查和保留规则，不是无条件的永久恰好一次。作者称收据与nonce消耗的原子性只阻止第二次本地准入，不能原子提交Azure操作。

基线与语料

• 云基线：同一研究实现的同步模式与预备模式，不是更早Studio版本或竞争产品；两者共用确定性签发方、门和存储服务。
• 语义基线：Table 5的七种方法包括核心求值器、完整fixture策略、去掉动作绑定、新鲜度或收据检查的变体，以及仅动作相等、仅操作与资源成员。作者称省略变体只诊断该fixture策略。语料是73个作者编写场景，四个域为payment、mail、deployment、storage。

作者将本文放在规范动作边界上：较早的精确决定、保留该决定所需的依赖、单一本地消费域，以及分发时延和生命周期成本。PCAA与CAVA是作者既有契约；本文不复现完整PCAA流程，也不从任意策略做机器检查推导。作者称价值在于暴露条件并测试这一组合，不是首次提出本地授权或请求绑定。

ZeroGate把提前的精确动作批准和放行时的持久准入分开：签发方签短期单次通行证，可信适配器重建最终请求，本地门在放行前重校验并消耗nonce。

对象、角色与阶段

• 通行证内容：ActionPass绑定规范动作与指纹、签发方与密钥引用、通行证标识与nonce、持有者/工作区/会话、范围、有效期、策略与状态摘要、撤销epoch、预算和收据要求。云负载中每个通行证预算为1，不可跨不同写入复用。
• 三个时刻：准备时签发并签名；准入时重校验并持久消耗；执行时尝试外部效果。前一时刻成功不断言后一时刻成功。结果为execute、review、deny，只有execute允许分发。
• 观察来源：最终观察必须来自将发出的内容，不能回显已批准指纹。云客户端从最终正文重算载荷哈希和字节长度，再重建规范动作，并保持到分发不变。
• 身份边界：持有者与会话是可信适配器的断言。特权端点用共享bearer。Ed25519签名认证签发方，不是持有者私钥。作者称这不是DPoP那种发送方约束的持有证明。

收窄关系与条件保持

• 集合关系：设R为请求范围中的具体动作，G为授予集合，Et为准入时刻仍合格的剩余集合。预期关系是 E_t ⊆ G ⊆ R。G ⊆ R是上游义务。参考门对照已签名授予检查观察动作；云通行证的authority.requested_ref为null。
• 精确动作：所测通行证还把剩余集合限制在该通行证绑定的那一个动作上。成功消耗后没有剩余合格动作。载荷即使改得更小，指纹变了也要新通行证。有界类别批准不是这一单次设计建立的。
• 单侧命题：同步决定独立于门来定义。在假设A1–A6下，Admit_Ω(P,a,κ,λ)⇒ D_sync(a,κ,w_λ,s⁻_λ)=execute。含义是成功持久准入蕴含准入评估瞬间的同步决定为execute；键(issuer id, workspace id, nonce)在该域内至多成功一次，且放行前已有绑定收据。
• 假设：A1只在确立批准事实后签名，且签名绑定门使用的字段；A2依赖完整；A3适配器给出真实身份、重建最终动作，并只分发该动作；A4所查依赖在评估瞬间是权威的，过期本地行不够；A5缺失证据不产生execute；A6未使用检查、配额消耗和收据是一次可线性化的持久事务，提交后才释放。λ是取得写锁后的有效性采样，不是提交返回或外部效果时刻。
• 范围：作者称这不是逆命题。通行证缺失、过期、不受支持或存储失败时，门可以拒绝同步策略仍会允许的动作。比较用的是消耗前状态。实现只强制与本地快照一致，不自动提供A4。反例包括远程撤销而本地epoch未更新、依赖投影漏项、哈希正文与发出正文不一致、伪造收据、两个区域各有nonce库。有效区间是闭区间。

签名与准入事务

• 幂等复核：复核按操作标识符和请求哈希幂等；同一标识符配不同请求会被拒绝。这不把一个精确动作通行证变成多个动作的权限。
• 签名：通行证哈希是去掉自身pass_hash后序列化载荷的SHA-256。Ed25519签名覆盖域分隔字符串、换行和该哈希。验证方重算哈希，选用配置的可信密钥，并核对签发方密钥引用。作者称这不是新的密码构造。序列化递归排序对象键、保留数组顺序；作者称不是已演示的跨语言规范JSON标准，也不是RFC 8785/JCS符合性。
• 一个事务：门要求持久库，配置并验证journal_mode=WAL与synchronous=FULL，使用BEGIN IMMEDIATE。事务内读持久快照，用库中的重放、配额和快照值替换调用方断言，再调用核心求值器。execute时更新用量、插入唯一nonce和收据，提交后才返回成功准入。
• 失败与时钟：review和deny可持久记录，但不作为执行消耗nonce。事务失败不释放execute。含糊提交仍可能已消耗nonce，于是失败关闭，不授权第二次尝试。有效性时钟在获得写锁后采样。作者报告锁前采样缺陷已修复，下文测量用修正后的源码固定实现。进程杀死测试不是断电测试。

外部效果与中断

• 存储写入：效果服务用托管身份访问Azure Blob，该身份不同于研究API的bearer。条件PUT使用If-None-Match: *，再读回检查内容。已存在对象不会只因名称匹配而被接受。效果记录在另一个SQLite库，没有跨越门库、服务库和Azure的事务。
• 崩溃：准入后、分发前崩溃可以留下收据和nonce而没有效果。再次准入会被当作重放拒绝。恢复需要保留的意图和显式策略。门不实现自主outbox。已演示恢复在原始五分钟有效期内完成；重复同一复核请求返回已存储通行证，不是续期。过期后恢复所需协议未被评估。
• 服务侧检查：效果服务检查收据是否为execute，且匹配提交的通行证哈希和动作指纹。它不独立见证门事务。作者称该API是可信运行器的研究边界，不是面向任意不可信主体的公共准入端点。

实验设置

• 部署：作者操作的Azure部署，D4s_v3，Central US，zone 1，每VM 4个虚拟CPU、16GB。客户端为Intel Xeon 8272CL，服务端为Intel Xeon 8370C。云运行时Node.js 24.21.0、SQLite 3.53.4、Ubuntu 24.04 LTS。WAL在64GB StandardSSD_LRS系统盘。套接字超时30秒，论文称不是硬性端到端期限；门的busy timeout为5000ms。语义计时在Node.js 22.18.0、macOS/arm64；论文未报告其CPU、内存和OS版本，并称不得与云计时合并。
• 云样本：5个trial，每trial每种模式160个动作，2种模式，并发1、8、32，计划4800次逻辑尝试。动作为Azure Blob PUT加GET验证。载荷循环128、1024、3072字节，每个160动作单元中为54、53、53。并发是单进程worker上限，不是独立智能体数或开放到达率。gate.commit在该进程内串行。论文称这不是32个并行门写入者的测量。
• 对照：同步模式在worker接手后才远程签发；预备模式先复核整批，准备结束后才分发。两者使用同一确定性fixture签发方、同一持久门和同一效果端点。签发方不是人工复核，也不走完整PCAA流程。生命周期计入该动作的准备，以及等待同批其余动作和worker的时间；不包含从未被选中的投机准备。
• 时钟：边界从worker接手到成功持久准入返回，不含取得worker的等待和上传本身。生命周期从该动作开始准备到显式验证完成。百分位为nearest-rank，只汇总成功尝试。均值区间对完整trial聚类做1000次百分位bootstrap，种子20260921。论文未报告测得的客户端–服务时钟偏移。并发按1、8、32顺序，模式顺序交替；不丢弃热身观察。论文称不是完全随机交叉。
• 语义判定：73个场景乘4个域得292个组合，5次重复后每种方法1460个输入，7种方法共10220次求值。期望允许100，期望不允许1360。execute记为allow，deny和review都记为not allow。标签与fixture、参考策略同出作者。论文称这是测试期望，不是独立真值。不执行真实支付、部署或邮件效果。没有LLM评审。
• 故障设置：10个场景各一条历史。同通行证竞争和聚合配额竞争各用8个进程共享一个门数据库。配额上限为3个单位。过期靠推进可信观察时间，不是睡到墙上时钟到期。HTTP 404表示没有服务记录，不是直接的Azure缺失检查。

主结果

Table 1比较同一云记录上的两只时钟。单位为毫秒。边界是worker准入到分发的p95；生命周期是均值。Table 6中各模式、各并发均为800/800成功。

表格较宽，可左右滑动

并发	同步边界p95	预备边界p95	Reduction	同步生命周期均值	预备生命周期均值
1	25.018	11.374	54.5%	53.449	4257.126
8	45.379	10.303	77.3%	130.610	1577.035
32	334.000	9.802	97.1%	483.925	2012.902

• 作者解读：作者称这支持更短的最终边界，不是更快的完整工作流，也不是测得的tap-and-go体验。预备路径的准备和批次等待仍计入生命周期；Table 6中预备生命周期p95也更高。作者称Figure 7的曲线不表示完整生命周期加速。
• 分离来源：作者称更高并发下边界分离变大，其中包含闭环争用和不同的提供到达模式，不是纯粹的密码学收益。同步模式是同一研究实现的放置对照，不是竞争产品基准。
• 内容核对：计时之外的Azure CLI读回核对全部4800个成功对象的正文、SHA-256、长度与ETag（Section 10）。作者称这与准入持久性证明分开，且仍是作者操作的。云记录为4800次尝试、4800次成功、0次失败。

语义符合性

Table 8对照作者编写的二元期望。false allow的分母是1360个期望不允许输入，false not-allow的分母是100个期望允许输入。

表格较宽，可左右滑动

方法	false allow	false not-allow	错误
Action Pass evaluator	0/1360	0/100	0
Complete fixture policy	0/1360	0/100	0
Policy without action binding	140/1360	0/100	0
Policy without freshness	240/1360	0/100	0
Policy without receipt evidence	80/1360	0/100	0
Exact-action equality only	1200/1360	0/100	0
Operation/resource membership only	1300/1360	0/100	0

• 符合性：核心求值器与完整fixture策略在全部已评估输入上匹配二元期望，错误列没有被记成正确拒绝。作者称这只支持所行使fixture契约上的符合性，不验证期望是否完备，也不在部署中建立命题的新鲜度与中介前提。
• 省略变体：去掉检查后出现false allow。Table 5写明，without freshness去掉的是策略/状态/撤销新鲜度和谓词检查，撤销列表检查仍在；核心方法里的收据标志断言的是收据可用性，不是测得的持久化。作者称这些分歧不是成熟授权产品的失败率。
• 区间：1360个期望不允许输入上0次false allow的描述性95% Wilson区间为[0, 0.282%]；100个期望允许输入上0次false not-allow的区间为[0, 3.699%]（Section 9.4）。作者称模板相关、同进程重复，该区间不是总体安全保证，也不是部署错误率界限。二元标签不能支持deny与review之间的升级准确性。

故障、恢复与单条记录

• Table 9：fresh-success为execute，写/读回HTTP 200。载荷变异、过期、坏签名为deny，服务记录缺失（HTTP 404）。缺权限为review，HTTP 404。策略刷新前为review，刷新后为execute。同通行证竞争1/8准入；不同通行证、三单位聚合上限下3/8准入。提交后SIGKILL，重试deny，恢复HTTP 200。丢弃已收到的确认后再试，HTTP 200，same ETag为true。
• 作者解读：作者称崩溃可以消耗权限而没有效果；成功的blob重试不建立任意API的恰好一次或幂等。配额情形不向外分发效果。策略刷新与配额阶段用新生成的本地签发方密钥，不是远程签发方刷新传播或Azure配额管理。Section 8.6称策略刷新用例不派遣云效果。
• 一条预备记录：98996ae5-prepared-8-0-0（Table 4）的复核与铸造为7.092ms，停留及其他未归属时间为1161.897ms，worker准入到分发为6.892ms，效果请求为103.018ms，显式验证为16.314ms，完整生命周期为1295.214ms。作者称这不是百分位或服务保证。

其他消融与分析

• Table 6边界p50（并发1/8/32，各800/800）：同步14.513、20.593、73.941ms；预备7.105、6.595、6.490ms。
• Table 6边界p99：同步46.319、118.640、664.408ms；预备22.350、44.779、22.897ms。
• Table 6生命周期p95：同步71.382、219.112、749.202ms；预备6976.221、1860.231、2251.117ms。
• Table 7边界均值（并发1/8/32）及trial聚类bootstrap区间：同步16.701（16.198–17.369）、24.536（23.524–25.635）、114.896（102.916–133.612）ms；预备7.853（7.724–8.020）、7.846（7.610–8.044）、7.936（7.805–8.068）ms。
• Figure 8标注的生命周期均值：同步53.4、130.6、483.9；预备4257.1、1577.0、2012.9。图注称堆叠的是分量均值，不是阶段百分位。
• 场景类别包括有效动作、收窄权限、预算边界、动作与载荷替换、重复旧指纹、持有者与会话不匹配、策略/状态/撤销漂移、缺失谓词、权限加宽、耗尽、重放、收据与隐私要求、slot冲突和复合变异（Section 9.3）。

作者指出的局限与后续方向

• 新鲜度未实现：最强保证依赖本文未实现的新鲜度。门防止逐请求替换本地快照，但不使其与每个策略权威或资源同步。配置哈希不是状态观察。离线撤销只受部署实际执行的过期、更新或租约策略约束（Section 12）。
• 可信运行器在边界内：bearer凭证、持有者字段和调用方收据不能阻止恶意的已授权运行器。对抗性主机若把数据库恢复到消耗前快照，已签名通行证不能保护该数据库。密钥引导、轮换、撤销分发、SQLite管理访问和回滚保护仍是部署义务（Section 12）。
• 单次精确性的成本：每个改变的动作都要复核和签名，每次准入都要持久状态。预备批处理可能拉长铸造与使用的间隔、增加过期风险，并在分发就绪看起来更好时仍使完整生命周期更慢。当前云负载事先知道正文，未量化被放弃的准备、不准确预测、人工复核时延或相互依赖的智能体决定流（Section 12）。
• 本地域不是全局重放：繁忙写入者可延迟准入或造成失败关闭的可用性损失。所测并发点不建立无界规模、到达率稳定性或服务级保证。把同一通行证和快照复制到独立区域是直接反例（Section 12）。
• 准入不是投递：崩溃可消耗权限而不执行动作。过期后恢复需要的续期与对账协议未被评估（Section 7.3）。该工件不提供通用分布式事务或恰好一次外部执行器；blob的内容检查和条件创建只支持所选操作（Section 12）。
• 评测与后续实现：作者编写的变异不是智能体错误或对抗流量的自然分布；重复的域渲染不是新的独立真值。指纹含runtime，解析器覆盖和跨运行时语义同一性未被测量。云结果来自一个配置部署和一个存储后端，单元有顺序，模式顺序交替而非完全随机。工件验证器不能确立时间戳被诚实测量，也不引入独立策略标注者。Section 11的分类、容量路由和自适应准备未在冻结研究中实现；Section 14称其实现与评测仍是分开的工作（Section 12、Section 14）。

实验覆盖范围

• 云实验在一个作者操作的Azure部署上完成：D4s_v3、Central US、zone 1，Node.js 24.21.0与SQLite 3.53.4；记录4800次逻辑尝试，成功4800、失败0（Section 9.1、Section 10）。
• 两种模式使用同一确定性fixture签发方、同一持久门和同一Azure Blob路径；并发按1、8、32顺序运行，试次内模式顺序交替。论文称不是完全随机交叉（Section 9.1）。
• 语义语料为73个作者编写场景、4个域、7种方法，每种方法1460个输入；该研究不执行真实payment、deployment或mail效果（Section 9.3、Section 10）。
• 故障活动保留10条历史；同通行证与聚合配额竞争各用8个独立进程共享一个门数据库。论文写明进程杀死测试不能代替断电测试（Section 7.2、Section 9.5）。
• 论文未报告测得的客户端–服务时钟偏移。BAF与AREG不是本报告的被测集成；实验签发方不执行完整PCAA的route–review–proof工作流（Section 9.2、Section 3、Figure 2）。

ZeroGate把智能体动作的批准提前，并要求放行前仍能核对这份批准是否适用。

它的对象是短期、精确动作、单次使用的ActionPass。签发方对具体规范动作签名。可信适配器从即将发出的正文重建动作和载荷承诺，而不是回显通行证里的指纹。本地门检查签名、持有者、本地快照、有效期和未使用的nonce，并在一个SQLite事务中同时消耗nonce、更新适用配额、写入准入收据。只有execute才放行。外部效果在该事务之后，崩溃可以留下收据而没有外部效果。

作者给出单侧条件：批准健全、依赖完整且当前、观察忠实、消耗原子时，成功本地准入蕴含指定同步策略在准入瞬间为execute。作者同时划出反例：过期快照、分开的区域nonce库、伪造的调用方收据，以及哈希正文与实际发送正文不一致。

同一签发方、门和Azure Blob路径上，4800次逻辑尝试全部成功。预备模式的worker准入到分发p95为9.802–11.374ms，同步模式为25.018–334.000ms（并发1、8、32，Table 1）。预备模式的完整生命周期均值在三个并发下都更长；并发1时预备为4257.126ms，同步为53.449ms。另一次直接读回与这4800个对象的记录一致。语义语料上，Action Pass求值器的false allow为0/1360，false not-allow为0/100（Table 8）。八个进程争用同一通行证时，1/8准入（Table 9）。

作者的结论是：贡献是显式重校验契约、持久参考边界，以及授权成本付在何处的可审计比较，不是新密码原语，也不是普遍的性能边界。工作流要在最终动作已经知道、且证据仍然有效时，准备才可能缩短最后一步；下一工具参数尚未知道时，同一通行证不能批准一个尚未形成的请求。