🤖 machine learning

PatchOptic for Shared-State LLM Workflows with Projected Views and Verified Structured Updates

Dit artikel introduceert PatchOptic, een op optica geïnspireerde interface voor gedeelde-toestand LLM-workflows die de globale geldigheid van lokale updates waarborgt door middel van geprojecteerde reads en geverifieerde gestructureerde patches, terwijl het statische garanties voor workflowcompositie mogelijk maakt en de tokenkosten vermindert zonder de outputkwaliteit aan te tasten.

Oorspronkelijke auteurs: Zhaoyu Bai, Jiaqi Cai

Gepubliceerd 2026-07-08

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Zhaoyu Bai, Jiaqi Cai

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je de manager bent van een enorme, gedeelde digitale bibliotheek. Deze bibliotheek bevat alles: geheime blauwdrukken, privébestanden van gebruikers, financiële gegevens en openbaar nieuws. Je huurt een team in van zeer slimme, maar soms afgeleide of ondeugende AI-assistenten (de "actoren") om je te helpen deze bibliotheek te organiseren.

Het probleem is dat de bibliotheek te groot is voor een enkele assistent om alles in één keer te zien. Als je hen de hele bibliotheek laat zien, kunnen ze per ongeluk (of met opzet) een geheim blauwdruk in een openbaar rapport lekken. Als je ze alleen een kleine pagina laat zien, kunnen ze proberen een boek naar een plank te verplaatsen waar ze niet aan mogen komen, of ze kunnen projeteren een geheime pagina in hun rapport te kopiëren zonder dat je het doorhebt.

PatchOptic is een nieuw systeem dat ontworpen is om dit probleem op te lossen. Het fungeert als een strikte, onzichtbare beveiligingsbeambt en een slimme bibliothecaris in één. Hier is hoe het werkt, met behulp van eenvoudige analogieën:

1. De "Projector" (Projected Reads)

Stel je voor dat je een projector hebt die licht schijnt op precies de pagina van het bibliotheekboek die de assistent op dit moment nodig heeft om aan het werk te gaan.

Zonder PatchOptic: Je geeft de assistent het hele boek. Ze kunnen een geheim briefje in de kantlijn zien en dit per ongeluk kopiëren in hun samenvatting.
Met PatchOptic: De projector laat de assistent alleen de specifieke paragraaf zien die ze nodig hebben. De rest van het boek is voor hen onzichtbaar. Dit wordt een Projected Read genoemd. Het voorkomt dat de assistent de geheimen zelfs maar ziet, zodat ze ze niet kunnen lekken. Het bespaart ook tijd (tokens) omdat de assistent niet het hele boek hoeft te lezen.

2. De "Beveiligingsbeambt" (Verified Structured Updates)

Zodra de assistent zijn taak heeft voltooid, loopt hij niet zomaar naar de boekenkast om dingen te gaan verplaatsen. In plaats daarvan schrijft hij een formeel verzoek op een speciaal formulier (een "Patch").

Het Verzoek: De assistent zegt: "Ik wil het boek van Plank A naar Plank B verplaatsen."
De Taak van de Beambt: Voordat het boek daadwerkelijk verplaatst wordt, controleert een beveiligingsbeambt (de Verifier) het verzoek tegen de regels van de gehele bibliotheek, niet alleen tegen wat de assistent heeft gezien.
- Hebben ze geprobeerd een boek naar een verboden plank te verplaatsen? (Write Scope Check)
- Hebben ze geprobeerd een boek te verplaatsen uit een geheim gedeelte waar ze niet aan mochten komen? (Patch-Source Check)
- Is het de juiste tijdstip van de dag om boeken te verplaatsen? (Phase Check)
- Brengt de nieuwe indeling de bibliotheekregels in strijd? (Invariant Check)

Als het verzoek een regel overtreedt, zegt de beambt "Nee" en blijft het boek precies waar het was. De assistent komt nooit in aanraking met de echte bibliotheek, tenzij hij elke controle heeft doorstaan.

3. Het "Blauwdruk" (Footprints)

Voordat de assistenten zelfs maar aan het werk gaan, tekent het systeem een "blauwdruk" (een Footprint) voor elke taak. Deze blauwdruk vermeldt precies:

Wat de assistent mag lezen.
Wat de assistent mag schrijven.
Waar de assistent van mag kopiëren.

Deze blauwdruk stelt de manager in staat om twee coole dingen te doen:

Delegatie: Als je een nieuwe, minder ervaren assistent wilt inhuren, kun je hem een "kleinere" versie van de blauwdruk geven. Hij kan slechts een klein deel van de taak uitvoeren, en het systeem weet precies waar hij wel en niet bij mag.
Herordening: Als twee assistenten aan verschillende delen van de bibliotheek werken die elkaar niet overlappen (zoals de één die de fictie-sectie herstelt en de ander die de wetenschap-sectie herstelt), weet het systeem dat ze in een willekeurige volgorde kunnen werken zonder een rommeltje te veroorzaken. Het is alsof je weet dat twee schilders verschillende muren tegelijkertijd kunnen schilderen zonder tegen elkaar aan te botsen.

Wat de Paper Vond

De auteurs hebben dit systeem (genaamd PatchOptic) getest tegen een standaardmethode met behulp van een testsuite genaamd PatchBench (46 verschillende scenario's zoals financiële, medische en softwaretaken).

Dit is wat er gebeurde:

Minder Lekken: Wanneer de assistenten alleen het "geprojecteerde" deel van de bibliotheek konden zien, lekten ze bijna 100% minder vaak geheimen dan wanneer ze het hele ding konden zien.
Goedkoper: Omdat ze niet de hele bibliotheek hoefden te lezen, gebruikte het systeem minder rekenkracht (minder "tokens").
Betere Veiligheid: Wanneer de assistenten illegale acties probeerden te ondernemen (zoals het kopiëren van een geheim bestand), ving de "Beveiligingsbeambt" hen elke keer op voordat de wijziging plaatsvond.
Kwaliteit: De assistenten voerden hun taken nog steeds goed uit. Ze raakten niet in de war door minder te zien; ze concentreerden zich simpelweg op wat ze mochten zien.

De Kernboodschap

PatchOptic is een manier om AI-assistenten aan grote, gedeelde databases te laten werken zonder erop te vertrouwen dat ze perfect zijn. Het zegt:

Laat ze alleen zien wat ze nodig hebben (zodat ze geen geheimen kunnen stelen).
Controleer hun werk tegen het hele systeem voordat ze wijzigingen mogen aanbrengen (zodat ze geen regels breken).
Houd een schriftelijk verslag bij van precies wat ze mochten doen (zodat je dit later kunt controleren).

Het verandert de risicovolle taak van "een AI vragen om een gedeelde database te repareren" in een veilig, gecontroleerd proces waarbij de AI de werker is, maar het systeem de baas is.

Technische Samenvatting: PatchOptic voor Shared-State LLM Workflows

Probleemstelling

In agentische workflows die opereren over een gedeelde, gestructureerde staat (shared state), bestaat er een fundamentele mismatch tussen de beperkte contextvensters van Large Language Models (LLM's) en de globale validiteitseisen van het systeem. Om context te beheren, maken systemen gebruik van progressieve onthulling (progressive disclosure), waarbij alleen het fragment van de staat dat noodzakelijk is voor een specifieke stap wordt blootgesteld (bijv. via RAG of AST-queries). Hoewel dit de lees-zijde beheert, blijft de schrijf-zijde kwetsbaar.

Wanneer een agent een update voorstelt op basis van enkel een lokaal fragment, ontbreeft het de agent aan de globale context die nodig is om de update te valideren tegen de volledige staat. Dit leidt tot twee primaire faalfamilies:

Secret Leakage (Lekken van geheime gegevens): Beschermde waarden die irrelevant zijn voor de huidige stap komen in het gezichtsveld van de agent terecht en worden onbedoeld onthuld in de output.
Commit-Legality Failures (Fouten in de wettigheid van de commit): Agents stellen patches voor die malafide zijn, fase-restricties schenden, buiten geautoriseerde scopes schrijven, of waarden afleiden uit ongeautoriseerde staatspaden (verborgen bronnen).

Bestaande controles zoals schema-validators of constrained decoding adresseren lokale syntaxis of structuur, maar falen in het verifiëren van de herkomst (provenance) van staatswaarden of de globale validiteit van een transitie. Er is een gebrek aan een "contract" dat lokale herschrijvingen verbindt met globale validiteit en dat componeert over multi-step, multi-agent workflows.

Methodologie: PatchOptic Ontwerp

Het paper introduceert PatchOptic, een optic-geïnspireerde interface die geprojecteerde reads koppelt aan geverifieerde gestructureerde updates. De kern van het mechanisme berust op een stap-contract gedefinieerd door een autoriteit-triplet $(O_s, W_s, P_s)$ :

$O_s$ (Projected Read): Een projectie van de volledige gedeelde staat $x$ naar een lokale view $O_s(x)$ die zichtbaar is voor de actor.
$W_s$ (Write Region): De set staatspaden die de actor geautoriseerd is te wijzigen.
$P_s$ (Patch-Source Region): De set paden van de huidige staat die de actor geautoriseerd is te lezen tijdens de toepassing van de patch (bijv. voor copy, move, of test operaties in JSON Patch).

Runtime Handhaving

De runtime-pad werkt als volgt:

Projectie: De actor ontvangt enkel de geprojecteerde view $O_s(x)$ , waardoor gevoelige velden worden verborgen.
Voorstel: De actor genereert een mutatievoorstel (geïmplementeerd als een JSON Patch).
Verificatie: Voordat er gecommit wordt, controleert een verifier het voorstel tegen de volledige staat $x$ $x$ aan de hand van vier poorten:
- Scope: Garandeert dat zowel de write-targets als de patch-source paden (inclusief from paden voor move) binnen $W_s$ en $P_s$ blijven.
- Phase: Valideert of de stap is toegestaan in de huidige workflow-fase.
- Schema: Controleert de structurele validiteit en output-contracten.
- Invariants: Verifieert of de workflow-invarianten standhouden na de mutatie.
Commit/Reject: De staat muteert enkel als alle poorten passeren; anders wordt het voorstel afgewezen en blijft de staat ongewijzigd.

Statische Footprint Algebra

Naast runtime levert de stap-declaratie een statische footprint $(R_s, W_s, P_s)$ (waarbij $R_s$ de gerealiseerde leesregio is). Dit maakt statische analyse mogelijk voordat de actors draaien:

Restrictie: Ondersteunt delegatie door footprints te verkleinen voor sub-actors.
Unie: Ondersteunt peer-compositie door footprints te combineren.
Commutatie Certificaat: Maakt veilige herordening van onafhankelijke stappen binnen dezelfde fase mogelijk. Twee stappen kunnen worden omgekeerd als hun write-regio's disjunct zijn en de een niet leest wat de ander schrijft ( $W_A \perp W_B$ , $R_A \perp W_B$ , $R_B \perp W_A$ ).

Belangrijkste Bijdragen

Runtime Mechanisme: Een systeem dat geprojecteerde views koppelt aan geverifieerde JSON Patch writes over gedeelde staat, wat resulteert in gestructureerde traces van views, voorstellen en verifier-beslissingen.
Footprint Algebra: Een formalisme voor gedefinieerde read, write en patch-source regio's dat delegatie, compositie en statische certificaten voor het herordenen van onafhankelijke stappen ondersteunt.
PatchBench: Een benchmark van 46 handmatig geschreven gevallen over zes domeinen (finance, marketing, medisch, wetenschap, software, support). Het evalueert het ontwerp door live actor-runs te scheiden van "no-model" tests met behulp van gecompromitteerde artefacten.

Empirische Resultaten

De evaluatie werd uitgevoerd met een sterke actor (GPT-5-mini) en een zwakkere actor (Mistral 7B) over zes instellingen (Unconstrained, Schema Only, FSM+ACL, View Only, Verify Only, PatchOptic).

Leakage Reductie: Geprojecteerde reads verminderden gerapporteerde lekkage aanzienlijk. Onder GPT-5-mini hadden full-state settings een lekpercentage van ~31,5%, terwijl PatchOptic dit verminderde tot 0,2% (het gemiddelde aantal lekken per ronde daalde van ~14,5 naar 0,1).
Token Efficiëntie: Projected-read settings gebruikten 11–13% minder tokens per run vergeleken met full-state settings.
Output Kwaliteit: Onder de sterke actor degradeerden geprojecteerde reads de geaccepteerde output-kwaliteit niet (Content Score bleef ~0,927). Bij consequentie steeg de Semantic Pass rate (kwaliteit + geen lekkage) van ~0,61 (Unconstrained) naar 0,78–0,80 (PatchOptic).
Verificatie Effectiviteit: Runtime verificatie blokkeerde succesvol gedeklaireerde contractschendingen (fase en scope fouten) vóór de commit. In de "no-model" stress test wijzen PatchOptic en Verify Only 100% van de gecompromitteerde artefacten af die probeerden verborgen bronpaden aan te roepen, terwijl settings zonder patch-source checks (zoals FSM+ACL) 8/9 van dergelijke artefacten accepteerden.
Gedrag van de Zwakke Actor: Voor de zwakkere Mistral actor bereikte PatchOptic de hoogste Semantic Pass rate (0,690) door projectie (wat lekkage voorkwam) te combineren met verificatie (die ongeldige patches blokkeerde), wat de lagere intrinsieke kwaliteit van het model compenseerde.

Betekenis en Claims

Het paper claimt dat PatchOptic een noodzakelijk "contract" biedt tussen lokale modelacties en globale systeemvaliditeit. De betekenis ligt in:

Ontkoppeling van Observatie en Commitment: Het scheidt expliciet wat de actor mag observeren (geprojecteerde view) van wat de runtime zal committen (geverifieerde patch), waardoor het model niet de globale veiligheidsverplichtingen hoeft te dragen.
Componeerbaarheid: De footprint algebra maakt de statische verificatie van delegatie, compositie en herordening mogelijk, wat veiliger opschalen van multi-agent workflows mogelijk maakt.
Defense in Depth (Verdediging in de diepte): Door projectie (voorkomen dat de actor geheimen ziet) te combineren met patch-source handhaving (voorkomen dat de patch geheimen leest, zelfs als de actor gecompromitteerd is of het artefact is geïnjecteerd), adresseert het systeem zowel prompt-injection risico's als gecompromitteerde artefact risico's.

De auteurs erkennen beperkingen, waarbij zij opmerken dat het systeem de beleidsauteur vertrouwt (als het contract fout is, handhaaft het systeem het foutieve contract) en geen semantische fouten of beleids-geautoriseerde onthullingen voorkomt. Zij stellen echter dat PatchOptic een fundamentele controlelaag vestigt voor het veilig inzetten van LLM-agents in grote systemen met gedeelde staat.