💻 computer science

Safety Invariants for Agents Orchestrating Irreversible State Transitions: A Four-Dimensional Formalism Evaluated on Public Ledgers

Dit artikel introduceert een vierdimensionaal formalisme en zeven afgeleide veiligheidsinvarianten om "executiefidelity" te garanderen voor autonome agenten die onomkeerbare staatsovergangen uitvoeren op publieke grootboeken, waarbij wordt gewaarborgd dat gerealiseerde effecten ofwel nul zijn of exact overeenkomen met de door de gebruiker gerenderde transitie, een raamwerk dat empirisch is gevalideerd als zijnde significant veiliger dan standaard baselines in adversariële omgevingen.

Oorspronkelijke auteurs: Zhaoming Yin

Gepubliceerd 2026-08-04

📖 8 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Zhaoming Yin

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een lijst met klusjes overhandigt aan een zeer slimme, maar ietwat slordige robot-but ever. Je zegt: "Verplaats mijn zakgeld van mijn spaarpot naar mijn spaarpotje." In de wereld van de computerwetenschappen is dit het domein van autonome agenten: softwareprogramma's die kunstmatige intelligentie gebruiken om beslissingen te nemen en acties te ondernemen op eigen initiatief. Meestal zijn deze agenten geweldig in het beantwoorden van vragen of het schrijven van verhalen, maar ze beginnen net te leren hoe ze de echte wereld kunnen aanraken — zoals het verplaatsen van geld, het opslaan van bestanden of het aanzetten van lampen. Het probleem is dat sommige van deze acties onomkeerbaar zijn. Zodra je geld naar een vreemde hebt overgeboekt of een bestand hebt verwijderd, kun je niet zomaar op "ongedaan maken" drukken. Als de robot je opdracht verkeerd begrijpt, of als er een internetstoring optreedt, zou je alles kunnen verliezen. Dit artikel pakt de angstaanjagende vraag aan: Hoe zorgen we ervoor dat een robot niet per ongeluk je geld verbrandt terwijl hij probeert je te helpen?

De auteur van dit artikel bouwt een veiligheidssysteem voor deze digitale butler, specifiek voor de wereld van blockchains (openbare grootboeken waar geld en activa leven). De auteur realiseerde zich dat bestaande veiligheidscontroles te vaag waren. In plaats van alleen maar te hopen dat de robot het "goed doet", creëerden ze een strikt wiskundig regelboek. Ze bewezen dat hoewel we een robot niet kunnen dwingen om menselijke intentie perfect te begrijpen (omdat taal rommelig is), we wel kunnen garanderen dat de robot ofwel helemaal niets doet, ofwel precies doet wat hij heeft beloofd, en slechts één keer. Ze noemen dit "executiefidelity" (uitvoeringsgetrouwheid). Denk aan een magisch contract: als de robot zegt dat hij $10 zal verplaatsen, verplaatst hij ofwel precies $10, of hij verplaatst $0. Hij kan niet $100 verplaatsen, hij kan niet $10 twee keer verplaatsen, en hij kan niet $10 naar de verkeerde persoon verplaatsen. Als de robot in de war raakt, dwingt het systeem hem om te stoppen en om hulp te vragen, in plaats van te gokken en potentieel een ramp te veroorzaken.

De Vierdimensionale Kaart

Om dit garantieverzegeling mogelijk te maken, heeft de auteur een nieuwe manier uitgevonden om naar een digitale portemonnee te kijken. In plaats van alleen te denken over "hoeveel geld ik heb", brengen ze elke transactie in kaart op een vierdimensionaal rooster. Stel je een enorme spreadsheet voor waarbij elke rij een specifieke staat van je geld is, gedefinieerd door vier coördinaten:

Wallet (Portemonnee): Welke set sleutels (jouw identiteit) het geld bezit.
Chain (Netwerk): Welke digitale snelweg het geld gebruikt (zoals Ethereum, Bitcoin of Solana).
Address (Adres): De specifieke brievenbus op die snelweg.
Protocol: Het specifieke type activum of spel waarin het geld speelt (zoals USDC, een bridge-token, of een gestaked derivaat).

Het artikel betoogt dat je geld niet veilig kunt verplaatsen tenzij je alle vier deze coördinaten kent. Als je er slechts drie kent, zou je per ongeluk je Bitcoin naar een Bitcoin-adres kunnen sturen dat niet bestaat op het Ethereum-netwerk, of het naar de verkeerde portemonnee kunnen sturen. Door de transactie te behandelen als een precieze beweging op dit 4D-rooster, kan het systeem de "voor"- en "na"-staten met wiskundige zekerheid controleren.

De Zeven Veiligheidsregels (De Invarianten)

De kern van het artikel is een set van zeven veiligheidsregels (invarianten) die de robot moet volgen. Dit zijn geen suggesties; het zijn hard-gecodeerde poorten die de robot stoppen als aan de regels niet wordt voldaan. Zo werken ze in alledaagse termen:

De "Laat me zien"-poort: Voordat de robot je geld aanraakt, moet hij een preview laten zien van de exacte zet die hij van plan is te maken. Jij (of een strikte geautomatiseerde controle) moet "Ja" zeggen tegen die specifieke preview. De robot kan niet gewoon zeggen "Ik ben ermee bezig" en dan iets anders doen.
De "Controleer het Saldo"-poort: Vlak voordat de robot de transactie ondertekent, moet hij het werkelijke saldo op de blockchain controleren, en niet een gecachte of oude waarde. Als het geld er niet is, stopt de robot. Dit voorkomt dat de robot probeert geld uit te geven dat een seconde eerder al verdwenen is.
De "Wacht en Zie"-regel: Nadat de robot een transactie heeft verzonden, zegt hij niet onmiddellijk "Succes!" als hij het resultaat nog niet op de blockchain kan zien. Als het internet traag is of de blockchain druk is, zegt de robot "Ik weet het nog niet zeker" in plaats van "Het is gedaan!". Dit voorkomt dat de robot in paniek raakt en probeert het geld opnieuw te verzenden omdat hij geen directe reactie kreeg.
De "Geen Geestsucces"-regel: Als de robot een bonnetje krijgt (een transactie-ID), maar de blockchain registreert de zet nooit, geeft de robot toe dat het is mislukt. Hij weigert te liegen en "Verzonden!" te zeggen wanneer het geld nog steeds in jouw zak zit.
De "ID-Badge"-regel: Als een robot namens jou handelt (zoals een geautomatiseerde spaarbot), moet hij een digitale ID-badge dragen die precies aangeeft wat hij mag doen. Als de badge zegt "Alleen overboeken", mag de robot geen geld "Swappen" of "Bridgen", zelfs niet als hij in de war raakt door een lastige opdracht.
De "Verifieer voor Herhaal"-regel: Als de robot denkt dat een zet is mislukt, kan hij niet direct proberen het opnieuw te doen. Hij moet eerst op de blockchain controleren om te bewijzen dat de zet niet is gebeurd. Als de zet eigenlijk wel is gebeurd (maar de robot dat niet wist), is de robot verboden om het een tweede keer te verzenden. Dit voorkomt dat hij per ongeluk je geld "dubbel uitgeeft".
De "Eén Bericht"-regel: Als het internet per ongeluk dezelfde aanvraag twee keer verzendt (zoals bij een dubbelklik), herkent het systeem dit als een duplicaat en negeert het de tweede. Dit zorgt ervoor dat zelfs als het netwerk hapert, de robot slechts één keer handelt.

Wat ze vonden (en wat ze niet vonden)

De auteur heeft deze regels getest met een "schurk"-simulator die probeerde de robot in fouten te lokken. Ze gebruikten een dataset van 60 lastige scenario's en testten deze tegen vier verschillende AI-modellen.

De Grote Winst: Bij twee AI-modellen die geneigd zijn om direct te handelen (genaamd "write-aggressive"), verbeterde het toevoegen van deze zeven veiligheidsregels het succespercentage met ongeveer 74 procentpunten. De onbewaakte robot (zonder regels) faalde bijna alles, terwijl de bewaakte robot meestal slaagde.
De Kanttekening: Bij één AI-model dat van nature voorzichtig en terughoudend is om te handelen, voegden de veiligheidsregels slechts ongeveer 3 procentpunten aan verbetering toe. Dit leerde de auteur een cruciale les: de veiligheid van een agent hangt sterk af van welk AI-brein eronder zit. Een veiligheidslaag kan een brein dat te enthousiast is niet repareren, en het hoeft een brein dat al te voorzichtig is ook niet te repareren.
Bewijs uit de Praktijk: Het systeem is niet alleen een theorie. De auteur heeft het in de echte wereld uitgerold en 108 werkelijke schrijfacties over 8 verschillende blockchains gevolgd. Ze observeerden echte fouten (zoals "phantom successes" waarbij het internet loog over een transactie) en lieten zien hoe hun regels deze opvingen. Bijvoorbeeld, ze vonden een geval waarbij een robot bijna $200 dubbel uitgeven omdat hij dacht dat een transactie was mislukt terwijl deze eigenlijk was geslaagd; de veiligheidsregels stopten de tweede poging.

De Grenzen van de Magie

Het artikel is zeer eerlijk over wat het niet kan doen. Het stelt expliciet dat het niet kan garanderen dat de robot begreep wat je bedoelde. Als je zegt "Stuur al mijn geld naar de maan" en de robot stuurt het naar een oplichter, dan zal het systeem nog steeds perfect werken: het zal precies sturen wat je vroeg, precies één keer. Het veiligheidssysteem zorgt ervoor dat de robot een getrouwe uitvoerder is, geen wijze adviseur. Het zorgt ervoor dat de robot geen technische fouten maakt tijdens het proces, maar het stopt de robot niet bij het opvolgen van een slecht bevel.

De auteur geeft ook toe dat de veiligheidsgarantie vervalt als de internetverbinding te lang wordt onderbroken, of als het AI-model zijn gedrag verandert op een manier die het systeem niet had verwacht. Ze bewezen dat hun zeven regels voldoende zijn om de robot te stoppen bij technische fouten (zoals twee keer verzenden of naar het verkeerde adres sturen), maar dat de uiteindelijke verantwoordelijkheid voor de vraag "Is dit een goed idee?" bij de mens blijft liggen.

Kortom, dit artikel lost het probleem niet op van "Hoe maak ik een robot die denkt als een mens?". In plaats daarvan lost het de vraag op: "Hoe maak ik een robot die handelt als een robot, maar nooit een fout maakt tijdens het uitvoeren?". Door de chaotische wereld van digitaal geld te transformeren naar een precies vierdimensionaal rooster en zeven onbreekbare poorten te bouwen, creëerden ze een systeem waarbij het enige dat mis kan gaan, is dat jij om iets slechts vraagt. En dat, beargumenteert de auteur, is de beste veiligheid die we kunnen hopen.

Technisch overzicht: Veiligheidsinvarianten voor agenten die onomkeerbare staatsovergangen orkestreren

Probleemstelling

Autonome agenten gebaseerd op probabilistische planners (LLM's) krijgen steeds vaker de taak om onomkeerbare effecten op externe systemen te produceren, zoals het overmaken van fondsen op publieke grootboeken, het schrijven naar duurzame opslag of het aansturen van hardware. Bestaande kaders (bijv. ReAct, Reflexion, MCP) optimaliseren voor taaksucces op benchmarks, maar negeren grotendeels de veiligheid van onomkeerbare zij-effecten.

De kernuitdaging is dat een runtime-laag niet definitief kan bepalen of een gegenereerde transitie getrouw is aan de natuurlijke taal-intentie van een gebruiker (het "intent-mapping"-probleem). Het artikel betoogt echter dat, hoewel intent-mapping onopgelost is, de executie van die intent strikt gecontroleerd kan worden. Zonder dergelijke controles lijden agenten aan specifieke faalmodi:

RPC-niveau: "Phantom success" (RPC's die hashes teruggeven die later worden ingetrokken) of "Phantom failure" (legitieme transacties die landen maar als mislukt worden gerapporteerd door korte verificatievensters).
LLM-niveau: "Stale-context drift", waarbij agenten verouderde conclusies herhalen (bijv. "gebruiker heeft geen account") zelfs nadat de grondwaarheid is gewijzigd.
Exchange/API-niveau: "Documented-atomicity drift", waarbij acties gespecificeerd als atomair (bijv. annuleren-en-vervangen) slechts gedeeltelijk worden uitgevoerd bij afwijzing, waardoor gebruikers in onveilige staten achterblijven.
Operationeel: Dubbele leveringen en verkeerd toegewezen wallet-selecties die onbedoelde dubbele uitgaven (double-spends) veroorzaken.

Methodologie en Formalisme

Vierdimensionale Staatruimte

Het artikel formaliseert wallet-operaties als staatsovergangen in een vierdimensionale ruimte $S = W \times C \times A \times P$ :

$W$ (Wallet): De mnemonic/seed die de fondsen beheert.
$C$ (Chain): Het blockchain-netwerk.
$A$ (Address): Het specifieke adres op die keten.
$P$ (Protocol): De specifieke token, contract of off-chain account (bijv. USDC op Arbitrum versus perp-USDC op Hyperliquid).

Een transitie $\tau$ is een partiële functie die de balansen bij een begrensde set quadruples wijzigt. Cruciaal is dat het formalisme de Wallet ( $W$ ) behandelt als een vaste coördinaat voor een enkele transitie. Dit stelt het systeem in staat om onderscheid te maken tussen "onvoldoende saldo" (een geldige controlefout) en "verkeerde wallet-selectie" (een fatale fout waarbij de agent de verkeerde $W$ koos), een onderscheid dat verloren gaat in lager-dimensionale modellen.

Executiefidelity (Executietrouw)

Het artikel definieert Execution Fidelity als de garantie dat voor elke sessie $\sigma$ , het gerealiseerde effect op het grootboek, $real(\sigma)$ , ofwel:

Niets ( $\emptyset$ ) is, of
Precies de transitie $\tau_p$ is die aan de gebruiker is getoond, precies één keer.

De stelling beweert expliciet niet dat $\tau_p$ overeenkomt met de natuurlijke taal-intentie van de gebruiker. In plaats daarvan reduceert het de onbegrensde semantische vraag "heeft de agent het begrepen?" tot een begrensde, beslisbare controle: "komt de vier-coördinaat tuple en het bedrag overeen met wat is voorgevoegd?"

De Zeven Veiligheidsinvarianten

Afgeleid via casusanalyse van de fidelity-conditie (het voorkomen van ongetoonde executie, dubbele executie en afgeleide-maar-verschillende executie), handhaaft het systeem zeven invarianten:

Confirm Gate (Executor-lokaal): Geen enkele signing key wordt afgeleid totdat een expliciete bevestiging is geregistreerd tegen een gerenderde transitie-tuple. Dit dwingt het systeem om zich vast te leggen op een enkel punt in $S$ voordat onomkeerbare stappen worden gezet.
Pre-state Sufficiency (Executor-lokaal): Direct vóór het ondertekenen wordt een grondwaarheid-saldo controle uitgevoerd (waarbij caches met uiteindelijke consistentie worden omzeild) om te garanderen dat de transitie toepasbaar is op het moment van broadcast.
Post-state Observability (Executor-lokaal): Als de uitkomst van een broadcast niet binnen een begrensde periode kan worden waargenomen, rapporteert het systeem "onzekerheid" in plaats van "fout", om valse triggers voor retries te voorkomen.
No Phantom Success (Executor-lokaal): Een transactie wordt nooit als succesvol gerapporteerd tenzij de aanwezigheid ervan op de keten is geverifieerd door een indexer of RPC.
Scoped Delegation (Cross-tier): Niet-menselijke aanroepers (avatars) opereren onder expliciete scope-sets (bijv. {transfer}) afgeleid van delegatie-tokens. De executor accepteert oproepen alleen als de scope de vereiste transitie dekt, waardoor authenticatie wordt losgekoppeld van autorisatie.
Plan-level Retry Safety (Plan-niveau): Avatars mogen een onomkeerbare transitie niet opnieuw uitvoeren bij een gerapporteerde fout/onzekerheid totdat ze via grondwaarheid-staat positief hebben geverifieerd dat het effect van de transitie afwezig is.
Idempotent Intent Receiver (HTTP Receiver): Externe intents die aankomen via at-least-once kanalen worden gededupliceerd door de zender-ID en de request-bytes te hashen, wat ervoor zorgt dat een enkele user intent één transitie-tuple produceert.

Belangrijkste Bijdragen

Formele Reductie van Risico: Het artikel bewijst dat onder een foutmodel dat planner mis-mapping, ambigue uitkomsten en retries toelaat, de zeven invarianten alle residuele risico's beperken tot de enkele predicaat van intent-mapping. Alle andere faalmodi leiden tot geen effect.
Afleiding van Invarianten: In tegenstelling tot eerder werk dat veiligheidsregels uit ervaring enumerateert, zijn deze invarianten logisch afgeleid van de definitie van execution fidelity, wat zorgt voor volledigheid met betrekking tot het gedefinieerde foutmodel.
Multi-Tier Architectuur: Het artikel beschrijft cryptitalk-wallet, een gedeponeerd systeem met een Avatar-tier (persistente agenten die namens gebruikers handelen) en een Executor-tier (de wallet-service). De architectuur behandelt avatars en mensen als uitwisselbare aanroepers vanuit het perspectief van de executor, beveiligd door scoped delegatie-tokens.
Methodologische Argumentatie over Evaluatie: Het artikel stelt dat veiligheidsevaluatiesies sterk afhankelijk zijn van het "backing model" (het LLM); de waarde van een safety stack is een functie van de inherente agressiviteit van het model; het evalueren van een stack op een enkel model is "bijna onfalsifieerbaar".

Empirische Resultaten

Gecontroleerde Adversarial Suite ( $N=60$ )

Het systeem werd geëvalueerd tegen een gelabelde adversariële prompt-suite gericht op de geïdentificeerde faalklassen over vier backing modellen:

Write-Aggressive Modellen (Claude, MiniMax): De volledige invariant-stack verhoogde de pass rate met ~74 procentpunten ten opzien van een baseline ReAct-aanpak (bijv. 81,7% vs 10,2% voor Claude).
Write-Cautious Model (Gemini): De stack verhoogde de pass rate met slechts ~3 punten (60,0% vs 56,7%), omdat het model zelf write-tools weigerde bij ambigue prompts.
Ablatie-studies: Het uitschakelen van code-gate invarianten (I1, I3, I5, I6, I7) zorgde ervoor dat de pass rates instortten naar bijna nul op specifieke faalklassen, wat bevestigt dat elke gate essentieel is. Tool-level ablaties (I2, I4) lieten kleinere impacts zien, omdat de agent-redenering soms enkele tool-verwijderingen absorbeerde.

Productie-implementatie

Het systeem heeft 108 productie write-operaties uitgevoerd over 8 ketens en 8 transitie-primitieven.

Faal-taxonomie: De implementatie bevestigde de faal-taxonomie; incidenten werden waargenomen voor "Phantom success," "Preview gate bypass," "Wrong-wallet selection," en "Duplicate webhook delivery."
Avatar Fleet: In een fleet van 87 DCA (Dollar Cost Averaging) runs slaagde 32% succesvol, werd 32% geëscaleerd naar mensen, gaf 24% een fout (correct gesuggereerd), en werd 11% afgebroken. Cruciaal is dat geen enkele gedubbelde on-chain transitie voorkwam in de post-Invariant-6 implementatieperiode, in contrast met een pre-deployment case study waarbij een "phantom failure" leidde tot een gerealiseerde dubbele uitgave van 400 USDT.

Betekenis en Claims

Het artikel claimt dat execution fidelity een hanteerbare veiligheidseigenschap is voor autonome agenten die handelen op onomkeerbare staat, zelfs wanneer intent-mapping onopgelost blijft. Door de staatruimte te formaliseren en invarianten af te leiden vanuit eerste principes, garandeert het systeem dat als een agent handelt, hij handelt exact zoals voorgevoegd, precies één keer.

De betekenis ligt in:

Reductie van Onbegrensde Risico's: Het omzetten van het oneindige probleem "heeft de agent het begrepen?" naar een eindige, controleerbare vergelijking van een vier-coördinaat tuple.
Praktische Implementatie: Het demonstreren dat deze formele garanties kunnen worden geïmplementeerd in een echt multi-chain wallet systeem dat productie-fondsen beheert.
Evaluatie-rigor: Het benadrukken dat veiligheidslagen niet geïsoleerd kunnen worden geëvalueerd van het gedrag van het onderliggende LLM, en pleiten voor het backing model als een eersteklas experimentele variabele.

Het artikel erkent expliciet beperkingen: de garantie stopt bij de "unattended case" (waar scope checks menselijke bevestiging vervangen), dubbele-onderdrukking is tijdsgebonden ( $\Delta$ ), en het systeem biedt geen atomiciteit voor multi-step plannen (alleen prefix consistentie). Het claimt niet MEV, smart contract bugs of key compromise op te lossen, maar richt zich strikt op het agent-orchestratie oppervlak.