🤖 machine learning

Certified Speculative Execution for Untrusted AI Agents

Dieses Paper führt Certificate-Gated Prefix Acceptance (CGPA) ein, ein Framework, das es nicht vertrauenswürdigen KI-Agenten ermöglicht, die streng beschränkte sequentielle Entscheidungsfindung durch die Kombination eines vertrauenswürdigen Verifizierers mit einer konform kalibrierten Wertgrenze zu beschleunigen, wodurch signifikante Geschwindigkeitssteigerungen und nahezu null Constraint-Verletzungen ohne Beeinträchtigung der Sicherheitsgarantien erreicht werden.

Ursprüngliche Autoren: Chenyu Zhou, Qiliang Jiang, Shuning Wu, Xu Zhou

Veröffentlicht 2026-07-01

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Chenyu Zhou, Qiliang Jiang, Shuning Wu, Xu Zhou

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Die „schnelle, aber gefährliche“ KI

Stellen Sie sich vor, Sie haben einen sehr schnellen, unglaublich intelligenten Assistenten (eine KI), der in einem Bruchteil einer Sekunde die Pläne für eine ganze Woche entwerfen kann. Dieser Assistent ist jedoch unzuverlässig. Er neigt dazu, Fehler zu machen, manchmal Dinge vorzuschlagen, die gegen Regeln verstoßen (wie etwa zu versuchen, eine Batterie zu laden, die bereits voll ist) oder zu teuren Ergebnissen zu führen.

Wenn Sie ihn ungebremst laufen lassen, gewinnen Sie zwar Geschwindigkeit, aber keine Sicherheit. Wenn Sie ihn bei jedem einzelnen Schritt stoppen, um ihn mit einem langsamen, perfekten Experten (einem „vertrauenswürdigen Solver“) zu überprüfen, gewinnen Sie Sicherheit, verlieren aber jegliche Geschwindigkeit.

Das Dilemma: Wie bekommt man die Geschwindigkeit der schnellen KI, ohne das Risiko einzugehen, dass sie Dinge kaputt macht?

Die Lösung: CGPA (Der Vertrag für „Certified Speculative Execution“)

Die Autoren schlagen ein System namens CGPA vor. Betrachten Sie es als einen Hochgeschwindigkeitszug mit einem Sicherheitsinspektor und einem Ticketgate.

So funktionieren die drei Hauptteile unter Verwendung der Bahnhofs-Analogie:

1. Der unzuverlässige Entwerfer (Der schnelle Zug)

Dies ist die KI (wie ein Large Language Model). Sie ist wie ein Hochgeschwindigkeitszug, der vorpreschen und eine lange Route (einen „Präfix“ von Aktionen) im Voraus vorschlagen möchte. Er ist schnell, aber er könnte versuchen, über eine Klippe zu springen oder ein rotes Licht zu ignorieren.

2. Der vertrauenswürdige Verifizierer (Der Sicherheitsinspektor)

Dies ist ein kleiner, strenger und perfekter Experte. Er fährt den Zug nicht; er steht nur an den Gleisen.

Die Regel: Bevor der Zug auch nur einen Zentimeter fährt, prüft der Inspektor den vorgeschlagenen Pfad.
Die Aktion: Wenn der Zug versucht, von den Schienen abzukommen (eine Einschränkung verletzt), zieht der Inspektor sofort die Notbremse. Der Zug wird zurück zum Bahnhof geschickt, und der Inspektor übernimmt, um den nächsten Schritt sicher zu steuern.
Das Ergebnis: Egal wie verrückt der Zugfahrer auch ist, der Zug verlässt niemals die Schienen. Die Sicherheit ist zu 100 % garantiert, weil der Inspektor das letzte Wort hat.

3. Die Wertgrenze (Das Ticketgate)

Manchmal ist der Zug zwar auf dem richtigen Weg, nimmt aber eine malerische, teure Umleitung, die Geld verschwendet.

Das System besitzt ein „Ticketgate“, das die Kosten prüft.
Wenn der vorgeschlagene Pfad zwar sicher, aber zu teuer ist (gegen ein „Regret Budget“ verstößt), schließt sich das Tor. Der Zug hält an, und der Inspector übernimmt, um eine günstigere Route zu finden.
Wenn der Pfad sowohl sicher als auch günstig genug ist, öffnet sich das Tor und der Zug darf für mehrere Stationen gleichzeitig vorpreschen.

Warum dies ein Game-Changer ist

1. Es verwandelt „schlechte“ KI in „gute“ KI
Die Arbeit testete dies mit einigen sehr „riskanten“ KIs, einschließlich eines 12-Milliarden-Parameter-Modells, das allein gelassen 98 % der Zeit gegen Regeln verstieß.

Oh ohne CGPA: Die KI bringt das System ständig zum Absturz.
Mit CGPA: Das System fängt jeden einzelnen Fehler ab. Die KI darf Ideen vorschlagen, aber der „Inspektor“ stellt sicher, dass in der realen Welt null Verstöße auftreten. Die KI wird durch Konstruktion sicher.

2. Es ist schneller als die Experten
Normalerweise muss man, um sicher zu sein, den langsamen Experten für jeden einzelnen Schritt fragen.

Die Magie: Da die schnelle KI oft richtig liegt (oder zumindest nah genug dran ist), erlaubt das System ihr, mehrere Schritte auf einmal auszuführen.
Das Ergebnis: In einem Praxistest (Verwaltung von Stromnetzen) machte dieses System ein eingefrorenes KI-Modell 3-mal schneller als die traditionelle sichere Methode, während die Kosten (Regret) fast identisch mit denen des perfekten Experten blieben.

3. Das „Regret Certificate“ (Der Beleg)
Die Autoren haben einen mathematischen „Beleg“ erstellt, der beweist, dass das System nicht über das Budget hinausgeht.

Sie haben bewiesen, dass selbst wenn die schnelle KI schrecklich ist, das System nur eine kleine „Strafe“ für die Teile zahlt, die es akzeptiert.
Wenn die KI gut ist, überspringt das System meistens den langsamen Experten, was massiv Zeit spart.
Wenn die KI schlecht ist, wird das System einfach langsamer und fragt häufiger den Experten, aber es bricht niemals die Regeln.

Zusammenfassung in einem Satz

CGPA ist eine Sicherheitsebene, die es ermöglicht, schnelle, unzuverlässige KI für die schwere Arbeit zu nutzen, während ein winziger, perfekter „Türsteher“ die Arbeit prüft, um sicherzustellen, dass keine Regeln gebrochen und kein Geld verschwendet wird – so erhält man die Geschwindigkeit von KI mit der Sicherheit eines menschlichen Experten.

Was die Arbeit tatsächlich behauptet (und was nicht)

Sie behauptet: Diese Methode funktioniert für „hart eingeschränkte“ Systeme (wie Stromnetze oder Batteriemanagement), bei denen ein Regelverstoß keine Option ist. Sie funktioniert mit jedem Typ von KI, selbst mit solchen, die die meiste Zeit völlig falsch liegen.
Sie behauptet: Sie liefert eine mathematische Garantie (ein „Zertifikat“), dass die Sicherheit niemals gefährdet wird.
Sie behauptet NICHT: Dies sei ein medizinisches Gerät, eine Lösung für selbstfahrende Autos oder eine allgemeine Lösung für alle KI-Probleme. Die Arbeit testet dies spezifisch im Bereich Energiemanagement und Netzsteuerung.

Technisches Resümee: Zertifizierte spekulative Ausführung für nicht vertrauenswürdige KI-Agenten

1. Problemstellung

Moderne KI-Systeme, einschließlich gelernter Policies und eingefrorener Large Language Models (LLMs), können Sequenzen von Entscheidungen (Entwürfe) zu geringen Rechenkosten generieren. Die Implementierung dieser „nicht vertrauenswürdigen“ Agenten in hart beschränkten sequentiellen Entscheidungssystemen (z. B. Energiemanagement, Unit Commitment) stellt jedoch ein grundlegendes Dilemma dar:

Direkte Ausführung: Das direkte Handeln auf Basis von KI-Entwürfen opfert Sicherheitsgarantien. Beispielsweise schlugen eingefrorene 12B-Parameter-LLMs in Aufgaben zum Batteriemanagement in 98 % der Episoden gegen die Constraints verstoßende Aktionen vor.
Schrittweise Delegation: Die Aufrufung eines vertrauenswürdigen, rechenintensiven Solvers (z. B. LP/MILP-Optimierer) bei jedem Schritt gewährleistet zwar Sicherheit, opfert aber die Geschwindigkeit und Effizienz, die die KI bietet, da der Solver weiterhin auf dem kritischen Pfad bleibt.

Bestehende Ansätze, wie das spekulative Dekodieren in LLMs, verifizieren Token gegen Wahrscheinlichkeitsverteilungen, adressieren jedoch keine harten Zulässigkeitsbeschränkungen (Hard Feasibility Constraints) oder die Entscheidungsqualität (Regret) in Steuerungsszenarien. Es besteht ein Bedarf an einer Schicht, die unvertrauenswürdige KI-Entwürfe zur Beschleunigung nutzt, während sie gleichzeitig strikte Sicherheits- und prüfbare Leistungsgarantien aufrechterhält.

2. Methodik: Certificate-Gated Prefix Acceptance (CGPA)

Das Paper schlägt Certificate-Gated Prefix Acceptance (CGPA) vor, einen zertifizierten Vertrag für spekulative Ausführung, der Sicherheit, Regret und Geschwindigkeit entkoppelt. Das System besteht aus einem dünnen, vertrauenswürdigen Kern und einer unvertrauenswürdigen Vorschlagsquelle.

2.1 Systemarchitektur

Der CGPA-Controller ist ein Tupel $(D, \text{Verify}, \hat{V}, \pi_F)$ :

Unvertrauenswürdige Vorschlagsquelle ( $D$ ): Kann jeder regelbasierte, gelernte oder LLM-basierte Agent sein. Sie schlägt ein Aktionspräfix der Länge $K$ vor: $u_{0:K-1}$ .
Vertrauenswürdiger Verifizierer (Verifier): Simuliert das vorgeschlagene Präfix gegen die Systemdynamik und die harten Beschränkungen. Er lehnt jede Transition ab, die die Zulässigkeit verletzt.
Vertrauenswürdige Wertgrenze ( $\hat{V}$ ): Eine leichtgewichtige, gelernte Value-Funktion (z. B. ein Fünf-Quantil-MLP), die die Kosten bis zum Ziel (Cost-to-go) schätzt. Sie fungiert als „Value Guard“, um sicherzustellen, dass das akzeptierte Präfix nicht nur sicher, sondern auch ökonomisch rentabel ist.
Vertrauenswürdiger Oracle ( $\pi_F$ ): Ein Fallback-Solver (z. B. MILP), der eine sichere Reparaturaktion bereitstellt, falls der Vorschlag abgelehnt wird.

2.2 Der Accept/Defer-Mechanismus

In jedem Zustand $s_t$ führt das System folgende Logik aus:

Die Quelle $D$ schlägt $K$ Aktionen vor.
Der Verifier prüft die Zulässigkeit. Falls ein Schritt unsicher ist, wird das Präfix auf den letzten sicheren Zustand gekürzt.

Der Value Guard wählt das längste verifizierte, sichere Präfix $k$ , das gilt:
$g(s_t, u_{0:k-1}) + \hat{V}(s_{t+k}) \leq \hat{V}(s_t) + \tau |\hat{V}(s_t)|$
wobei $g$ die realisierten Präfixkosten und $\tau$ ein Toleranzparameter ist.

Commitment: Wenn $k > 0$ , verpflichtet sich das System zum gesamten $k$ -Schritt-Präfix. Wenn $k = 0$ , delegiert es für einen einzelnen Schritt an den Oracle.

2.3 Theoretische Garantien

Das Paper etabliert, dass CGPA zwei strukturelle Invarianten bietet, unabhängig von der Vorschlagsquelle $D$ :

Angewandte Sicherheit (Proposition 1): Jede ausgeführte Transition ist zulässig. Die Sicherheit hängt nur vom vertrauenswürdigen Verifizierer und dem Oracle ab, nicht von der Vorschlagsquelle.
Regret-Zertifikat (Certificate 2): Das System begrenzt die übermäßigen Kosten (Regret) im Vergleich zum schrittweisen Oracle. Die Regret-Grenze lautet:
$J_{CGPA} - J_F \leq \sum_{i \in A} \tau_i |V(s_i)| + (2 + \tau_{\max})\epsilon |A| + \sum_{j \in R} \rho_j$
Entscheidend ist, dass der Grenzdifferenzfehler $\epsilon$ einmal pro akzeptiertem Segment berechnet wird, nicht pro Schritt. Dies ermöglicht es dem System, die Kosten des teuren Oracles über mehrere Schritte hinweg zu amortisieren.

2.4 Konformale Kalibrierung

Um die Unsicherheit der gelernten Wertgrenze $\hat{V}$ zu handhaben, verwenden die Autoren Split-Conformal-Kalibrierung. Sie trainieren ein Quantilsregressionsmodell, das ein zentrales Band und Tail-Level ausgibt. Der Fehlergrenzwert $\epsilon(s)$ wird aus der Spreizung dieser Quantile ( $\hat{V}_{0.9} - \hat{V}_{0.1}$ ) abgeleitet und auf gehaltenen Daten kalibriert. Dies stellt sicher, dass das Regret-Zertifikat mit hoher Wahrscheinlichkeit (z. B. 95 % Konfidenz) auch unter Verteilungsverschiebungen (Distribution Shifts) gilt.

3. Zentrale Beiträge

Ein zertifizierter spekulativer Ausführungsvertrag: CGPA ist das erste Framework, das Prinzipien der spekulativen Ausführung auf die streng beschränkte Steuerung anpasst und dabei die „Intelligenz“ (unvertrauenswürdige Quelle) von den „Garantien“ (vertrauenswürdiger Kern) trennt.
Strukturelle Entkopplung: Das Paper beweist, dass Sicherheit und Regret entkoppelt werden können. Die Sicherheit wird vom Verifizierer kontrolliert, während das Regret durch eine lernbare, kalibrierte Wertgrenze verwaltet wird.
Konformale Kalibrierung für die Steuerung: Die Integration der konformalen Prädiktion in die Wertgrenze ermöglicht einen messbaren, statt eines angenommenen Fehlergrenzwerts $\epsilon$ , was eine vorausschauende Regret-Garantie bietet.
Robustheit gegenüber adversen Quellen: Das Framework ist so konzipiert, dass es beliebige Vorschlagsquellen handhaben kann, einschließlich adverser Agenten und heterogener LLMs, ohne die Sicherheit zu gefährden.

4. Experimentelle Ergebnisse

Die Autoren evaluierten CGPA in drei Domänen: Battery Energy Management (EMS), CityLearn (HVAC) und Unit Commitment (UC).

4.1 Sicherheit und Null-Verstöße

Adverse & LLM-Quellen: In Tests gegen adverse Drafter und sechs heterogene, eingefrorene LLMs (einschließlich Gemma-4-12B, die in direkten Rollouts in 98 % der Fälle gegen Constraints verstießen), erreichte CGPA null angewandte Verstöße.
White-Box-Adversaries: Selbst gegen White-Box-adaptive Adversaries mit vollem Wissen über den Verifizierer und die Dynamik behielt CGPA null Verstöße bei, indem es auf den Oracle auswich, wodurch der Angriff als reduzierte Amortisation (geringere Aufrufreduktion) statt als Sicherheitsbruch absorbiert wurde.

4.2 Regret-Reduktion

Gelernte Grenzen: Die Verwendung einer konformal kalibrierten Grenze reduzierte das mittlere Regret im Vergleich zur ungeschützten Akzeptanz um drei Größenordnungen (z. B. von 0,445 auf 0,0002 in EMS).
Nähe zum Oracle: Das mittlere Regret von CGPA lag innerhalb des Stichprobenrauschens des schrittweisen Oracles (95 % Konfidenzintervall umfasst Null), was effektiv die Leistung des teuren Solvers erreicht, während die meisten Aufrufe übersprungen wurden.
Verteilungsverschiebung: Unter Kalenderverschiebungen (CityLearn) übertraf eine gelernte Vorschlagsquelle den schrittweisen Oracle an 15 von 18 gehaltenen Tagen, was zeigt, dass das System überlegene unvertrauenswürdige Quellen nutzen kann, um die Baseline zu schlagen.

4.3 Geschwindigkeit und Amortisation

Wall-Clock-Beschleunigung: Bei einer Unit-Commitment-Instanz im Deployment-Maßstab (48-Schritt-Horizont, MILP-Oracle) erreichte CGPA unter Verwendung eines eingefrorenen Qwen3-8B LLM eine 2,96-fache Wall-Clock-Beschleunigung pro Episode bei 2,1 % Regret.
Vergleich: Dies übertraf Domänen-Heuristiken (1,79×) und sichere Receding-Horizon-Baselines (1,07×).
Skalierbarkeit: Die Beschleunigung skaliert mit den Kosten des Oracles. Mit steigenden Kosten pro Oracle-Aufruf wuchs die Beschleunigung von CGPA (bis zu 2,67×), während Event-Triggered- und Move-Blocking-Controller nahe bei 1,0× blieben.

5. Bedeutung und Ansprüche

Das Paper behauptet, dass CGPG eine verallgemeinerbare, zertifizierte Schicht für den Einsatz unvertrauenswürdiger KI in sicherheitskritischen Systemen bietet. Die Bedeutung liegt in:

Ermöglichung unvertrauenswürdiger KI: Es erlaubt den Einsatz leistungsstarker, heterogener und potenziell fehlerhafter KI-Modelle (einschließlich LLMs), ohne harte Sicherheitsgarantien zu opfern.
Leistung ohne Kompromisse: Es erzielt Beschleunigungen durch das Überspringen teurer Solver-Aufrufe, während es Regret-Niveaus erreicht, die mit dem optimalen schrittweisen Solver vergleichbar sind.
Robustheit: Die Garantien sind struktureller Natur und hängen nicht von der Qualität der Vorschlagsquelle ab; das System degradiert durch häufigere Aufrufe des Oracles, an anstatt katastrophal zu versagen.
Praktische Implementierung: Das Framework wurde auf realen Skalen-Problemen (Unit Commitment) validiert und zeigt, dass „je fähiger die unvertrauenswürdige Quelle, desto schneller das zertifizierte System ist“, sofern der Sicherheitskern intakt bleibt.

Die Autoren betonen, dass dies ein zertifizierter Ansatz ist, bei dem die Sicherheit niemals von der unvertrauenswürdigen Quelle abgefragt wird, sondern das Regret durch ein messbares, konformal kalibriertes Zertifikat begrenzt wird.