🤖 machine learning

Certified Speculative Execution for Untrusted AI Agents

Dit artikel introduceert Certificate-Gated Prefix Acceptance (CGPA), een framework dat onbetrouwbare AI-agenten in staat stelt om harde-restrictie-gebaseerde sequentiële besluitvorming te versnellen door een vertrouwde verifieerder te combineren met een conform kalibrerende waarde-grens, waardoor significante versnellingen en bijna nul constraint-schendingen worden bereikt zonder de veiligheidsgaranties in gevaar te brengen.

Oorspronkelijke auteurs: Chenyu Zhou, Qiliang Jiang, Shuning Wu, Xu Zhou

Gepubliceerd 2026-07-01

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Chenyu Zhou, Qiliang Jiang, Shuning Wu, Xu Zhou

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Probleem: De "Snelle maar Gevaarlijke" AI

Stel je voor dat je een zeer snelle, ongelooflijk slimme assistent hebt (een AI) die in een fractie van een seconde een week aan plannen kan opstellen. Echter, deze assistent is onbetrouwbaar. Ze zijn geneigd om fouten te maken, zoals soms dingen voorstellen die de regels breken (zoals een batterij proberen op te laden terwijl deze al vol is) of tot dure uitkomsten leiden.

Als je ze de vrije loop laat, krijg je snelheid maar geen veiligheid. Als je ze bij elke stap stopt om te controleren met een trage, perfecte expert (een "vertrouwde solver"), krijg je wel veiligheid maar verlies je alle snelheid.

Het Dilemma: Hoe krijg je de snelheid van de snelle AI zonder het risico dat er dingen misgaan?

De Oplossing: CGPA (Het "Certified Speculative Execution" Contract)

De auteurs stellen een systeem voor genaamd CGPA. Zie dit als een hogesnelheidstrein met een veiligheidsinspecteur en een toegangspoortje.

Zo werken de drie hoofdonderdelen, gebruikmakend van een treinstation-analogie:

1. De Onbetrouwbare Drafter (De Snelle Trein)

Dit is de AI (zoals een Large Language Model). Het is als een hogesnelheidstrein die wil vooruitvliegen en een lange route (een "prefix" van acties) allemaal tegelijk voorstelt. Het is snel, maar het kan proberen over een klif te springen of een rood licht te negeren.

2. De Vertrouwde Verifier (De Veiligheidsinspecteur)

Dit is een kleine, strikte en perfecte expert. Deze rijdt niet de trein; deze staat gewoon bij het spoor.

De Regel: Voordat de trein zelfs maar één centimeter beweegt, controleert de Inspecteur het voorgestelde pad.
De Actie: Als de trein probeert van de rails af te wijken (een beperking overtreedt), zet de Inspecteur onmiddellijk de remmen in. De trein wordt teruggestuurd naar het station en de Inspecteur neemt het heft in handen om de volgende stap veilig te besturen.
Het Resultaat: Hoe gek de treindriver ook is, de trein verlaat nooit de rails. Veiligheid is 100% gegarandeerd omdat de Inspecteur het laatste woord heeft.

3. De Waarde-grens (Het Toegangspoortje)

Soms zit de trein wel op het juiste spoor, maar neemt hij een schilderachtige, dure omweg waardoor er geld wordt verspild.

Het systeem heeft een "toegangspoortje" dat de kosten controleert.
Als het voorgestelde pad wel veilig is maar te duur (een "regret budget" overtreedt), sluit het poortje. De trein stopt en de Inspecteur neemt het over om een goedkopere route te vinden.
Als het pad zowel veilig als goedkoop genoeg is, gaat het poortje open en mag de trein voor meerdere haltes tegelijk vooruit vliegen.

Waarom dit een Game-Changer is

1. Het verandert "Slechte" AI in "Goede" AI
Het artikel testte dit met enkele zeer "risicovolle" AI's, waaronder een model met 12 miljard parameters dat regels 98% van de tijd overtrad wanneer het alleen werd gelaten.

Zonder CGPA: De AI laat het systeem constant crashen.
Met CGPA: Het systeem vangt elke fout op. De AI mag ideeën voorstellen, maar de "Inspecteur" zorgt ervoor dat er nul overtredingen plaatsvinden in de echte wereld. De AI wordt veilig door constructie.

2. Het is Sneller dan de Experts
Normaal gesproken moet je, om veilig te zijn, de trage expert voor elke stap vragen.

De Magie: Omdat de snelle AI vaak goed zit (of in ieder geval dichtbij), laat het systeem de AI voor meerdere stappen tegelijk doorgaan.
Het Resultaat: In een real-world test (het beheren van elektriciteitsnetten) maakte dit systeem een bevroren AI-model 3 keer sneller dan de traditionele veilige methode, terwijl het de kosten (regret) bijna identiek hield aan de perfecte expert.

3. De "Regret Certificate" (Het Bonnetje)
De auteurs hebben een wiskundig "bonnetje" gemaakt dat bewijst dat het systeem niet over budget gaat.

Ze hebben bewezen dat zelfs als de snelle AI verschrikkelijk is, het systeem slechts een kleine "boete" betaalt voor de onderdelen die het accepteert.
Als de AI goed is, slaat het systeem de trage expert meestal over, wat enorme hoeveelheden tijd bespaart.
Als de AI slecht is, vertraagt het systeem simpelweg en vraagt het vaker aan de expert, maar het breekt nooit de regels.

Samenvatting in één zin

CGPA is een veiligheidslaag die je toestaat om snelle, onbetrouwbare AI het zware werk te laten doen, terwijl een kleine, perfecte "uitsmijter" het werk controleert om te garanderen dat er geen regels worden overtreden en geen geld wordt verspild, waardoor je de snelheid van AI krijgt met de veiligheid van een menselijke expert.

Wat het Papier Eigenlijk Beweert (en Wat Niet)

Het Beweert: Deze methode werkt voor "hard-constrained" systemen (zoals elektriciteitsnetten of batterijbeheer) waarbij het breken van een regel geen optie is. Het werkt met elk type AI, zelfs met modellen die meestal volledig fout zitten.
Het Beweert: Het biedt een wiskundige garantie (een "certificate") dat veiligheid nooit in gevaar komt.
Het Beweert NIET: Dat dit een medisch apparaat is, een oplossing voor zelfrijdende auto's, of een algemene oplossing voor alle AI-problemen. Het artikel test het specifiek op energiebeheer en de planning van elektriciteitsnetten.

Technische Samenvatting: Gecertificeerde Speculatieve Executie voor Onbetrouwbare AI-agenten

1. Probleemstelling

Moderne AI-systemen, inclusief geleerde beleidsregels en bevroren Large Language Models (LLM's), kunnen sequenties van beslissingen (concepten) genereren tegen lage computationele kosten. Het inzetten van deze "onbetrouwbare" agenten in harde, beperkte sequentiële beslissingssystemen (bijv. energiebeheer, unit commitment) presenteert echter een fundamenteel dilemma:

Directe Executie: Het direct uitvoeren van AI-concepten laat veiligheidsgaranties vallen. Zo stelden bevroren 12B-parameter LLM's bijvoorbeeld in 98% van de episodes acties voor die de beperkingen overtraden in taken voor batterijbeheer.
Stapsgewijze Delegering: Het bij elke stap aanroepen van een betrouwbare, dure solver (bijv. LP/MILP-optimizer) garandeert veiligheid, maar offert de snelheid en efficiëntie die AI biedt op, aangezien de solver op het kritieke pad blijft staan.

Bestaande benaderingen, zoals speculatieve decodering in LLM's, verifiëren tokens tegen waarschijnlijkheidsverdelingen, maar adresseren geen harde haalbaarheidsbeperkingen of beslissingskwaliteit (regret) in controleomgevingen. Er is behoefte aan een laag die AI-concepten gebruikt voor snelheid, terwijl strikte veiligheid en controleerbare prestatiegaranties behouden blijven.

2. Methodologie: Certificate-Gated Prefix Acceptance (CGPA)

Het artikel stelt Certificate-Gated Prefix Acceptance (CGPA) voor, een gecertificeerd contract voor speculatieve executie dat veiligheid, regret en snelheid ontkoppelt. Het systeem bestaat uit een dunne, vertrouwde kern en een onbetrouwbare voorstelbron.

2.1 Systeemarchitectuur

De CGPA-controller is een tupel $(D, \text{Verify}, \hat{V}, \pi_F)$ :

Onbetrouwbare Voorstelbron ( $D$ ): Kan elke regelgebaseerde, geleerde of LLM-gebaseerde agent zijn. Deze stelt een actieprefix van lengte $K$ voor: $u_{0:K-1}$ .
Vertrouwde Verifieerder: Simuleert de voorgestelde prefix tegen de systeemdynamiek en harde beperkingen. Het wijst elke transitie af die de haalbaarheid schendt.
Vertrouwde Waarde-grenswaarde ( $\hat{V}$ ): Een lichtgewicht, geleerde waardefunctie (bijv. een vijf-kwantiel MLP) die de kosten-naar-de-toekomst schat. Het fungeert als een "waarde-bewaker" om te garanderen dat de geaccepteerde prefix niet alleen veilig, maar ook economisch rendabel is.
Vertrouwde Oracle ( $\pi_F$ ): Een fallback-solver (bijv. MILP) die een veilige herstelactie levert als het voorstel wordt afgewezen.

2.2 Het Accept/Defer Mechanisme

Bij elke staat $s_t$ voert het systeem de volgende logica uit:

De bron $D$ stelt $K$ acties voor.
De Verifieerder controleert de haalbaarheid. Als een stap onveilig is, wordt de prefix afgebroken tot de laatste veilige staat.
De Waarde-bewaker selecteert de langste geverifieerd-veilige prefix $k$ die voldoet aan:
$g(s_t, u_{0:k-1}) + \hat{V}(s_{t+k}) \leq \hat{V}(s_t) + \tau |\hat{V}(s_t)|$
waarbij $g$ de gerealiseerde prefixkosten zijn en $\tau$ een tolerantieparameter is.
Commitment: Als $k > 0$ , committeert het systeem de gehele $k$ -staps prefix. Als $k=0$ , wordt er gedelegeerd naar de oracle voor één enkele stap.

2.3 Theoretische Garanties

Het artikel stelt vast dat CGPA twee structurele invarianten biedt, ongeacht de voorstelbron $D$ :

Toegepaste Veiligheid (Proposition 1): Elke uitgevoerde transitie is haalbaar. Veiligheid hangt alleen af van de vertrouwde verifieerder en de oracle, niet van de voorstelbron.
Regret Certificaat (Certificate 2): Het systeem begrenst de excessieve kosten (regret) ten opzichte van de stapsgewijze oracle. De regret-grens is:
$J_{CGPA} - J_F \leq \sum_{i \in A} \tau_i |V(s_i)| + (2 + \tau_{\max})\epsilon |A| + \sum_{j \in R} \rho_j$
Cruciaal is dat de fout in de grenswaarde $\epsilon$ één keer per geaccepteerd segment wordt gerekend, en niet per stap. Dit stelt het systeem in staat om de kosten van de dure oracle over meerdere stappen te ammortiseren.

2.4 Conformal Kalibratie

Om de onzekerheid in de geleerde grenswaarde $\hat{V}$ aan te pakken, gebruiken de auteurs split-conformal kalibratie. Ze trainen een kwantielregressiemodel dat een centrale band en staartniveaus uitvoert. De foutengrens $\epsilon(s)$ wordt afgeleid van de spreiding van deze kwantielen ( $\hat{V}_{0.9} - \hat{V}_{0.1}$ ) en wordt gekalibreerd op uitgestelde data. Dit zorgt ervoor dat het regret-certificaat met hoge waarschijnlijkheid (bijv. 95% betrouwbaarheid) standhoudt, zelfs onder distributieverschuivingen.

3. Belangrijkste Bijdragen

Een Gecertificeerd Speculatieve Executie Contract: CGPA is het eerste framework dat principes van speculatieve executie aanpast aan hard gecontroleerde controle, waarbij de "intelligentie" (onbetrouwbare bron) wordt gescheiden van de "garanties" (vertrouwde kern).
Structurele Ontkoppeling: Het artikel bewijst dat veiligheid en regret kunnen worden ontkoppeld. Veiligheid wordt beheerd door de verifieerder, terwijl regret wordt beheerd door een leerbare, gekalibreerde waarde-grenswaarde.
Conformal Kalibratie voor Controle: De integratie van conformal prediction in de waarde-grenswaarde maakt een gemeten, in plaats van een veronderstelde, foutengrens $\epsilon$ mogelijk, wat een vooruitziende regret-garantie biedt.
Robuustheid tegen Adversariële Bronnen: Het framework is ontworpen om willekeurige voorstelbronnen te verwerken, inclusief adversariële agenten en heterogene LLM's, zonder de veiligheid in gevaar te brengen.

4. Experimentele Resultaten

De auteurs evalueerden CGPA over drie domeinen: Battery Energy Management (EMS), CityLearn (HVAC) en Unit Commitment (UC).

4.1 Veiligheid en Nul Violaties

Adversariële & LLM Bronnen: Bij tests tegen adversariële drafters en zes heterogene bevroren LLM's (inclusief Gemma-4-12B, die in 98% van de directe rollouts beperkingen overtrad), bereikte CGPA nul toegepaste schendingen.
White-Box Adversaries: Zelfs tegen white-box adaptieve adversariële agenten met volledige kennis van de verifieerder en dynamiek, handhaafde CGPA nul schendingen door te delegeren naar de oracle, waarbij de aanval werd geabsorbeerd als verminderde amortisatie (lagere aanroepreductie) in plaats van veiligheidsbreuken.

4.2 Regret Reductie

Geleerde Grenswaarden: Het gebruik van een conformaal gekalibreerde grenswaarde verminderde de gemiddelde regret met drie grootheden vergeleken met onbeschermde acceptatie (bijv. van 0,445 naar 0,0002 in EMS).
Nabijheid van de Oracle: De gemiddelde regret van CGPA lag binnen de steekproefruis van de stapsgewijze oracle (95% CI rond nul), waardoor de prestaties van de dure solver effectief werden gematcht terwijl de meeste oproepen werden overgeslagen.
Distributieverschuiving: Onder kalenderverschuivingen (CityLearn) presteerde een geleerde voorstelbron beter dan de stapsgewijze oracle op 15 van de 18 uitgestelde dagen, wat aantoont dat het systeem superieure onbetrouwbare bronnen kan benutten om de baseline te verslaan.

4.3 Snelheid en Amortisatie

Wall-Clock Snelheidswinst: Op een Unit Commitment instantie op schaal van implementatie (48-staps horizon, MILP oracle) bereikte CGPA met een bevroren Qwen3-8B LLM een 2,96× per-episode wall-clock snelheidswinst bij 2,1% regret.
Vergelijking: Dit presteerde beter dan domeinheuristieken (1,79×) en veilige receding-horizon baselines (1,07×).
Schaalbaarheid: De snelheidswinst schaalt met de kosten van de oracle. Naarmate de kosten per oracle-oproep toenamen, groeide de snelheidswinst van CGPA (tot 2,67×), terwijl event-triggered en move-blocking controllers nabij de 1,0× bleven.

5. Betekenis en Claims

Het artikel claimt dat CGPA een generaliseerbare, gecertificeerde laag biedt voor het inzetten van onbetrouwbare AI in veiligheidskritische systemen. De betekenis ligt in:

Inzet van Onbetrouwbare AI Mogelijk Maken: Het maakt het gebruik van krachtige, heterogene en potentieel gebrekkige AI-modellen (inclusief LLM's) mogelijk zonder harde veiligheidsgaranties op te offeren.
Prestaties zonder Compromis: Het bereikt snelheidswinst door dure solver-oproepen over te slaan, terwijl het regret-niveaus handhaaft die vergelijkbaar zijn met de optimale stapsgewijze solver.
Robuustheid: De garanties zijn structureel en hangen niet af van de kwaliteit van de voorstelbron; het systeem degradeert elegant (door de oracle vaker aan te roepen) in plaats van catastrofaal te falen.
Praktische Implementatie: Het framework is gevalideerd op problemen van reële schaal (Unit Commitment) en toont aan dat "hoe krachtiger de onbetrouwbare bron, hoe sneller het gecertificeerde systeem is," mits de veiligheidskern intact blijft.

De auteurs benadrukken dat dit een gecertificeerde aanpak is waarbij veiligheid nooit wordt gevraagd aan de onbetrouwbare bron, en waarbij de regret wordt begrensd door een meetbaar, conformaal gekalibreerd certificaat.