🤖 AI

Secure Tool Manifest and Digital Signing Solution for Verifiable MCP and LLM Pipelines

本文提出了一种安全工具清单与数字签名框架，该框架通过实现经过加密签名的清单和透明的验证日志，增强了模型上下文协议（MCP），以确保敏感领域内大语言模型流水线的完整性、可验证性和安全执行。

原作者： Saeid Jamshidi, Kawser Wazed Nafi, Arghavan Moradi Dakhel, Foutse Khomh, Amin Nikanjam, Mohammad Adnan Hamdaqa

发布于 2026-02-02

📖 1 分钟阅读☕ 轻松阅读

原作者： Saeid Jamshidi, Kawser Wazed Nafi, Arghavan Moradi Dakhel, Foutse Khomh, Amin Nikanjam, Mohammad Adnan Hamdaqa

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在经营着一家高风险的厨房，一位非常聪明但有时难以捉摸的主厨（大语言模型或 LLM）正根据顾客的订单准备复杂的菜肴。这位主厨可以使用各种工具——如刀具、烤箱、搅拌机（外部工具）——来完成工作。

问题在于，在目前的设置下，任何人都可以溜进厨房，把主厨的食谱卡换成假的，或者诱骗主厨使用一把脏刀。如果主厨遵循了一个错误的指令，食物可能会中毒，而且没人知道是谁下的订单，或者到底发生了什么。这就是该论文所针对的漏洞。

作者提出了一种名为安全工具清单与数字签名框架的新系统。以下是它的工作原理，使用了简单的类比：

1. “防篡改的食谱卡”（清单）

在主厨接触任何工具之前，每一项请求都必须写在一张特殊的数字“食谱卡”上，称为清单（Manifest）。

类比： 这就像是一个密封的官方信封。在信封里，明确列出了主厨被允许做的事情。
转折点： 论文将“顾客视角”（用户看到的内容）与“主厨视角”（内部技术细节）分离开来。这可以防止顾客在无意中（或恶意地）泄露关于厨房运作方式的秘密。

2. “公证印章”（数字签名）

在主厨查看食谱卡之前，该卡必须由一位受信任的公证员（硬件安全模块或 HSM）进行盖章。

类比： 想象一位公证员检查食谱卡，验证规则，然后使用一种特殊的墨水（数字签名）在上面盖上一个独特的、不可伪造的印章。
结果： 如果有人在盖章后试图修改卡片上的哪怕一个字母，墨水就会晕开，卡片会立即被识别为伪造。主厨将拒绝烹饪。

3. “公共账本”（透明度日志）

每当一张食谱卡被盖章并使用时，一份收据副本都会被添加到一本巨大的、公开且不可更改的书籍中，称为透明度日志（使用一种叫做 Merkle Tree 的技术）。

类比： 这就像是一个区块链或一本公开的日记，所有人都可以阅读，但没有人可以删除或编辑。如果你想知道主厨五分钟前做了什么，你可以查阅它。
益处： 如果主厨做了奇怪的事情，你可以证明这具体发生在何时以及由谁授权。你无法隐瞒证据。

4. “速度测试”（可扩展性）

作者使用多达 50,000 份订单（海量的烹饪量）对该系统进行了测试。

发现： 他们发现，增加订单量并不会以混乱的方式减慢厨房的速度。相反，该系统变得更加高效，每个订单的处理效率更高，就像一台运转良好的机器。它实现了“线性”扩展，这意味着如果订单量翻倍，所需时间也只是随之翻倍（这是符合预期的），而不会崩溃或陷入停滞。
类比： 这就像一条高速公路，每增加 1,000 辆车就增加一条新车道，即使在高峰时段也能保持交通顺畅。

5. “公平性检查”（平衡使用）

该系统使用了三种不同类型的厨师（GPT-4、LLaMA 和 DeepSeek）。

发现： 系统会自动平衡工作量，确保没有哪位厨师会被压垮，而其他厨师却在闲置。这就像一位聪明的服务员，在所有厨师之间均匀地分配桌位。
安全性： 这可以防止恶意行为者通过压垮某一位特定的厨师来导致系统崩溃（拒绝服务攻击）。

6. “自我纠错”（错误处理）

该系统被设计为“失效关闭”（fail-closed）。

类比： 如果一张食谱卡看起来哪怕只有一点点可疑，或者时间戳不对（比如来自明年的食谱），系统会立即锁上门并说“不行”。它不会冒险尝试。
结果： 在测试中，它成功拒绝了所有伪造或损坏的订单，同时让所有有效的订单顺利通过。

总结

简而言之，这篇论文为 AI 系统构建了一个保安、公证员和公开记录员。它确保了当 AI 使用工具时，是在遵循一套经过验证、已签名且被记录的规则。它证明了你可以让 AI 系统如此安全，且即便在成千上上万人同时使用时，也不会降低其运行速度。

该论文并不声称解决了 AI 的“思考”问题或使其变得更聪明；它仅仅是确保了 AI 所采取的行动是安全的、可追溯的，且无法伪造。

技术摘要：用于可验证 MCP 和 LLM 流水的安全工具清单与数字签名解决方案

1. 问题陈述

大语言模型（LLMs）正越来越多地部署在医疗和金融等敏感领域，然而其执行流水线仍易受到操纵、不可验证行为以及对抗性攻击的影响。虽然模型上下文协议（Model Context Protocol, MCP）为构建 LLM 与外部工具之间的交互奠定了基础，但现有的实现往往缺乏可验证的强制执行和透明的验证机制。

目前的控制机制定义了合规策略，但无法防止以下问题：

未经验证的工具调用： 允许在缺乏加密授权证明的情况下调用工具。
对抗性提示词操纵： 例如通过工具调用提示（Tool Invocation Prompt, TIP）攻击来劫持执行流。
不透明的运行时行为： 缺乏确定性的动作追踪和显式的上下文版本控制。
密钥集中化与时间侧信道： 由非对称密钥主导地位和时间戳差异引起的风险，这些风险可能泄露工作负载模式。

现有的解决方案（如运行时证明或基于 enclave 的方法，例如 Scanclave）往往无法解决 LLM 工作负载的概率性和工具驱动特性，或者无法扩展到异构的多模型部署。在统一加密问责制与透明、可扩展执行流水线方面，存在着系统级的安全缺口。

2. 方法论

作者提出了一种安全工具清单与数字签名框架，这是对模型上下文协议（MCP）的一种结构化扩展。该框架强制执行一个六阶段流水线，旨在确保确定性完整性、元数据分离和透明审计。

核心架构

该框架通过以下顺序阶段运行：

清单创建： 每个 LLM 工具请求都被封装进一个确定性的清单 $M = (M_u, M_m, \tau)$ ，其中 $M_u$ 代表面向用户的参数， $M_m$ 代表面向模型的输入， $\tau$ 是新鲜度时间戳。这种结构强制执行信息流分离以防止泄露。
策略执行与签名： 在执行之前，清单会根据确定性合规规则 $C(M)$ 进行评估。如果符合要求，则使用硬件安全模块（HSM）和清单的哈希值生成数字签名 $\sigma$ 。
验证： 系统验证签名和策略合规性。只有拥有有效签名并通过策略检查的清单才能进入执行阶段。
透明度日志记录： 经过验证的清单被追加到一个通过 Merkle 树集成的不可篡改透明日志中。这确保了前向完整性并允许高效的包含证明。
审计导出： 系统生成紧凑的、具有加密验证能力的证据元组，其中包含执行延迟、验证延迟和 Merkle 根引用。
指标收集： 追踪时间指标和安全开销，以分析可扩展性和权衡关系。

威胁模型

系统假设存在一个概率多项式时间（PPT）的对手，该对手能够拦截通信、注入有效载荷并重放清单。然而，该对手无法破坏底层的加密原语（抗碰撞哈希、EUF-CMA 签名）或 HSM。框架将成功攻击（伪造、重放、篡改）的概率在数学上限制在可忽略水平（ $negl(\lambda)$ ）。

算法实现

该方法通过三个相互依赖的算法进行操作：

算法 1（清单创建与签名）： 构建规范清单，计算哈希，执行策略规则，并对摘要进行签名。
算法 2（验证与日志记录）： 验证签名，将条目追加到 Merkle 日志，并更新根哈希。
算法 3（审计与指标）： 计算执行和验证延迟，生成输出摘要，并为外部审计员导出证据。

3. 核心贡献

本文提出了三个主要贡献：

框架设计： 一种新型的安全工具清单与数字签名框架，定义了用于 MCP 合规 LLM 执行的加密签名清单格式。它确保了清单完整性，强制执行元数据分离，并建立了执行流水线的信任。
评估方法： 一个结合了性能和安全指标的双视角流水线，用于系统地评估大规模应用下的权衡。这为未来关于安全 LLM 基础设施的研究提供了可复现的基础。
系统级洞察： 首次针对不同 LLM（GPT-4-turbo, LLaMA-3.5, DeepSeek-V3）进行安全执行的对比分析。该研究识别并量化了诸如非对称密钥主导地位和时间戳方差等漏洞，为弹性部署提供了可操作的指导。

4. 实验结果

该框架在涵盖 100 到 50,000 个清单实例的工作负载下，使用三种代表性 LLM 进行了评估。

可扩展性

近线性扩展： 系统展示了近乎完美的线性扩展能力，回归拟合度 $R^2 = 0.998$ 。计算复杂度在日志记录方面收敛于 $O(\log N)$ ，在每次请求的签名/验证方面收敛于 $O(1)$ 。
开销： 在所有规模下，归一化安全开销均保持在 5% 以下（ $\delta < 0.05$ ），证实了加密强制执行不会显著降低性能。

公平性与分布

模型利用率： 模型使用情况收敛于约 33% 每模型的平衡分布，公平指数 $F = 0.97$ 。
密钥使用： 研究发现了一个单一密钥（dev-k1）主导利用率（在大规模下达到 80%）的漏洞，强调了自适应密钥轮转策略的必要性。
严重程度执行： 系统表现出自适应执行能力，其“警告”和“阻断”结果随对抗性压力成比例增加，展示了受控的反馈机制。

验证与可靠性

准确性： 框架对于有效执行的平均验证成功率达到 80%，同时能一致地拒绝无效或伪造的清单。
延迟稳定性： 验证延迟保持在界限内（GPT-4-turbo 中位数为 1.9ms）且方差较低，防止了基于时间的侧信道推断。
错误行为： 虽然由于特定的撤销失败导致绝对错误计数呈超线性增长，但归一化错误密度渐近稳定在 $\rho_E \to 0.15$ ，表明系统不存在累积验证风险。

5. 重要性与主张

本文声称所提出的框架成功弥合了以模型为中心的安全性研究与系统级执行安全之间的鸿沟。其重要性在于：

使问责制运作化： 不同于以往侧重于事后取证分析或孤立 enclave 证明的工作，该框架将主动加密强制执行和实时透明度日志记录直接嵌入到执行流水线中。
可扩展的信任： 通过展示近线性扩展性和受限的开销，该方案证明了高保证加密机制（签名、Merkle 日志记录）可以与受监管 LLM 部署的低延迟要求共存。
数学形式化： 本研究提供了一个形式化的稳定性包络，使经验行为（延迟、公平性、错误率）与理论加密界限相收敛，提供了一种基于数学基础的可信 AI 方法。

作者总结道，该框架为可验证、可审计且公平的 LLM 流水线奠定了基础，这对于即使是微小的执行错误或策略违规都可能导致严重合规与安全后果的安全关键领域至关重要。