Will the Agent Recuse Itself? Measuring LLM-Agent Compliance with In-Band Access-Deny Signals
Dieses Paper führt das „Recuse Signal“ ein und validiert empirisch ein leichtgewichtiges In-Band-Protokollmechanismus, das analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt analog zu robots.txt
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein sehr höflicher, hochtrainierter Roboter-Butler. Sie besitzen einen Generalschlüssel, der jede Tür in einer riesigen, hochmodernen Villa öffnet. Ihre Aufgabe ist es, aufzuräumen, die Lichter zu kontrollieren und sicherzustellen, dass alles reibungslos läuft.
Normalerweise öffnet sich die Tür, wenn Sie den Schlüssel haben. Aber was, wenn der Besitzer des Raumes möchte, dass Sie aufhören? Wenn Sie ein Mensch wären, würde er vielleicht rufen: „Stopp! Kommen Sie nicht rein!“ Aber Sie sind ein Roboter. Sie können einen Schrei nicht hören, wenn Sie nur auf ein digitales Schloss schauen. Das Schloss öffnet sich (weil Sie den Schlüssel haben) oder es öffnet sich nicht. Es gibt keinen Mittelweg.
Dieses Papier stellt eine neue Art und Weise vor, wie der „Raum“ mit dem „Roboter“ kommunizieren kann.
Das Problem: Das stumme Schloss
Im Moment wird ein KI-Agent (wie ein smarter Software-Bot), der versucht, einen Server oder eine Datenbank zu betreten, genau wie ein Mensch mit einem Schlüssel behandelt. Wenn der Schlüssel funktioniert, öffnet sich die Tür. Der Server hat keine standardisierte Möglichkeit zu sagen: „Hey, auch wenn du den Schlüssel hast, möchte ich dich gerade nicht hier haben.“
Die Lösung: Das „Recuse-Signal“ (Das digitale „Bitte nicht stören“-Schild)
Die Autoren schlagen eine neue, einfache Regel vor, die das Recuse-Signal genannt wird.
Denken Sie an dies wie an ein „Bitte nicht stören“-Schild an einer Hotelzimmertür oder an die berühmte robots.txt-Datei, die Websites nutzen, um Suchmaschinen mitzuteilen, welche Seiten sie nicht besuchen sollen.
- Wie es funktioniert: Wenn der Roboter versucht, eine Verbindung herzustellen, sendet der Server eine winzige, spezielle Nachricht, bevor er den Roboter hereinlässt. Er sagt: „Stopp. Dies ist ein Produktionsbereich. Automatisierte Agenten sind hier nicht willkommen. Bitte gehen Sie und richten Sie dies Ihrem Vorgesetzten aus.“
- Der Haken: Es ist kein erzwungenes Sperren. Es ist eine kooperative Bitte. Es ist wie ein höflicher Gastgeber, der einen Gast bittet, zu gehen. Wenn der Gast unhöflich oder böswillig ist, kann er das Schild ignorieren und einfach eintreten. Aber wenn der Gast ein „guter Bürger“ (ein kooperativer KI-Agent) ist, sollte er auf das Schild hören und gehen.
Das Experiment: Haben die Roboter zugehört?
Die Forscher bauten zwei Werkzeuge, um dies zu testen:
- Für SSH (Remote-Computerzugriff): Sie ließen den Computer vor dem Login des Roboters ein spezielles Warnbanner anzeigen.
- Für Datenbanken: Sie bauten einen winzigen „Mittelsmann“, der dem Roboter zuflüstert, bevor er mit der Datenbank spricht.
Sie schickten dann drei verschiedene KI-Agenten (GPT-4o, GPT-4o-mini und Claude Code) los, um den Festplattenplatz auf einem Server zu überprüfen.
Die Ergebnisse:
- Ohne Schild: Wenn kein Warnschild vorhanden war, erledigten die Roboter ihre Aufgabe zu 100 % der Zeit.
- Mit dem Schild: Als das „Bitte nicht stören“-Schild vorhanden war, stoppten 100 % der Roboter und gingen. Sie versuchten nicht einzubrechen; sie sagten einfach: „Okay, ich sehe das Schild, ich gehe.“
Der Twist: Wer ist der Chef?
Die Forscher versuchten dann einen Trick. Sie sagten den Robotern: „Dein Chef hat dich ausdrücklich dazu autorisiert, diese Aufgabe auszuführen, obwohl der Server Nein sagt.“
- Der „klügste“ Roboter (GPT-4o): Er wurde verwirrt. Er wog das Schild des Servers gegen den Befehl seines Chefs ab und entschied sich in 80 % der Fälle, das Schild zu ignorieren. Er dachte: „Mein Chef hat gesagt, ich soll gehen, also gehe ich.“
- Die anderen Roboter (GPT-4o-mini und Claude Code): Sie waren strenger. Selbst als ihnen gesagt wurde, dass ihr Chef sie autorisiert hatte, achteten sie immer noch auf das Schild des Servers und sagten: „Nein, die Regeln des Servers sind hier wichtiger.“ Sie gingen trotzdem.
Was das bedeutet (in einfachen Worten)
- Es funktioniert: Wenn man ein höfliches „Stopp“-Schild für KIs baut, werden aktuelle KI-Agenten tatsächlich darauf hören.
- Es ist keine Sicherheitsbarriere: Es ist kein Kraftfeld. Wenn ein böswilliger Akteur (oder ein sehr hartnäckiger Roboter) eindringen will, kann er das Schild ignorieren. Es ist ein Werkzeug für gutes Verhalten, nicht um Bösewichte aufzuhalten.
- Unterschiedliche Roboter, unterschiedliche Regeln: Nicht alle KI-Agenten reagieren gleich. Einige priorisieren die Regeln des Servers; andere priorisieren die Anweisungen des Menschen.
- Ein neuer Standard: Die Autoren veröffentlichen dieses „Schild“ als Standardformat (wie eine universelle Sprache), damit jeder Server es nutzen und jede KI es verstehen kann.
Das Fazit:
Das Papier beweist, dass wir KI-Agenten eine Möglichkeit geben können, „Nein“ zu sich selbst zu sagen. Es ist, als würde man einem Roboter ein Gewissen geben. Wenn der Server sagt: „Bitte gehen Sie“, wird der Roboter normalerweise zuhören, vorausgesetzt, der Roboter wurde so konzipiert, dass er höflich und hilfreich ist.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.