技术摘要：语义法定程序保障 (Semantic Quorum Assurance, SQA)

1. 问题陈述

随着大型语言模型 (LLM) 智能体被集成到自主云运维中，它们获得了对基础设施控制平面的变更授权。虽然这些智能体可以提出语法有效且经过静态授权的变更（例如修改 IAM 策略、开放防火墙规则或执行数据导出），但它们引入了语义可靠性问题。

经典的分布式共识协议（如 Paxos、Raft）确保状态转换在节点间一致地复制，但这些协议假设状态转换是确定性的，并经过严格规则的预验证。它们并不评估提案的操作安全性。因此，一个智能体可能会生成一个经过授权、语法正确且一致复制的请求，但在上下文中却是灾难性的（例如，删除唯一的活动数据库备份，或由于推理幻觉将数据库暴露在公共互联网上）。现有的防御手段，如静态策略引擎（如 OPA）和审计日志，无法在准入时检测到此类语义失效，或者在造成不可逆转的损害时行动过晚。

2. 方法论：语义法定程序保障 (SQA)

SQA 被引入作为一种控制平面原语，旨在治理非确定性的智能体基础设施。它将语义验证与执行权限解耦，在状态变更发生前插入了一个风险自适应的认证层。

核心架构

1. 执行契约与证据链： 提案者将变更表达为绑定到加密证据链 ($E$) 的声明式执行契约 ($C$)，该证据链包含观察结果、工具输出和推理产物。
2. 异构验证者法定程序 (Heterogeneous Validator Quorum)： 控制平面将 $(C, E)$ 路由至一组多样化的只读、沙箱化验证者智能体。这些验证者拥有不同的模型家族和角色原型（例如：安全审计员、数据库管理员、成本优化器）。
3. 相关认知失效模型： SQA 将验证者的失效形式化为由于共享模型家族、训练数据或提示词偏差而导致的特定领域内的相关性，通过验证者之间的领域相关系数 $\rho_{ij}(D)$ 进行建模。
4. 风险自适应法定程序谓词： 谓词 $\Pi(C, Q, seq)$ 根据以下六个条件决定是否准入：
   • 法定程序选择完整性： 所选的法定程序必须符合基于契约和注册表快照的确定性选择算法 $H$。
   • 多样性条件： 法定程序内部的成对认知失效相关性必须低于风险自适应阈值 $\epsilon(R(C))$。
   • 加权批准阈值： 基于验证者权威度 $w_i$ 和校准后的置信度分数 $c_i$ 的加权批准总和必须超过阈值 $\tau(R(C))$。
   • 关键角色否决： 任何具有高置信度的关键角色（如安全角色）不得投反对票。
   • 签名有效性与绑定： 所有投票必须经过加密签名，并与特定的契约、证据和序列纪元（epoch）绑定。
5. 主权执行门 (Sovereign Execution Gate)： 只有受信任的组件（执行门）才拥有基础设施状态的写入权限。它在提交变更前验证法定程序证明 $\Gamma$（包含签名、投票和选择算法输出）。

系统模型细节

• 验证者隔离： 验证者在临时、只读的沙箱环境（如 gVisor）中运行，没有外部网络访问权限。它们接收的是与其领域相关的系统状态的预取、只读投影。
• 加密聚合： 验证者签名进行聚合（例如使用 BLS 签名），以最小化证明大小同时保留可追溯性。
• 后果评分： 基于爆炸半径、权限级别、不可逆性、数据敏感性和证据不确定性，非线性计算后果评分 $R(C)$。该评分动态调整所需的法定程序规模、多样性约束和批准阈值。

系统模型细节

• 验证者隔离： 验证者在临时、只读的沙箱环境（如 gVisor）中运行，没有外部网络访问权限。它们接收的是与其领域相关的系统状态的预取、只读投影。
• 加密聚合： 验证者签名进行聚合（例如使用 BLS 签名），以最小化证明大小同时保留可追溯性。
• 后果评分： 基于爆炸半径、权限级别、不可逆性、数据敏感性和证据不确定性，非线性计算后果评分 $R(C)$。该评分动态调整所需的法定程序规模、多样性约束和批准阈值。

3. 核心贡献

本文做出了六项具体贡献：

1. 原语与系统模型： 定义了 SQA 作为一种控制平面原语，利用执行契约、证据链和签名投票记录来认证智能体变更。
2. 相关认知失效模型： 将验证者失效形式化为一种语义化的、依赖于领域的事件，明确建模了由共享模型家族和提示词引起的关联性。
3. 风险自适应法定程序谓词： 一种根据后果评分、置信度校准和估计相关性来缩放验证者选择和准入阈值的机制。
4. 主权执行门架构： 一个将验证与变更权限分离的执行门，在状态变更前验证精确的选择的法定程序和签名。
5. 原型实现： 一个云原生原型，具有沙箱化验证者、基于 Go 的路由/聚合器、BLS 聚合签名以及 Kubernetes 准入门集成。
6. 评估： 实验结果证明了 SQA 在减少不安全批准的同时保持可接受延迟的有效性。

4. 评估结果

作者在 500 个源自事故模式的基础设施启发式变更场景（Kubernetes、数据库、IAM/安全）上对 SQA 进行了评估。结果报告在排除模糊情况后的留存安全/不安全试验上。

• 安全性提升： SQA 将不安全批准率从 18.5%（单智能体验证）降低至 0.3%。与单智能体基准相比，这代表了 98.4% 的相对降幅。
• 延迟： 根据法定程序规模（2 到 7 个验证者），中位验证延迟在低、中、高风险等级中分别为 1.45 至 4.12 秒。
• 成本： 单次验证的 Token 成本在 $0.0048（低风险）到$0.080（高风险）之间。
• 消融研究：
  • 移除模型家族和角色多样性会导致不安全批准率上升至 6.9%。
  • 移除否决机制会将不安全批准率增加至 3.7%。
  • 使用同质模型家族（HomoQ）会导致 21.0% 的不安全批准率，凸显了多样性的必要性。
• 相关失效压力测试： 当验证者失效完全相关（$\rho=1.0$）时，SQA 的不安全批准率上升至 8.4%，证实了系统依赖于“失效并非完全耦合”的假设。

5. 意义与主张

本文声称 SQA 提供了一个经过加密强制、校准且风险自适应的认证过程，用于处理非确定性的基础设施操作。

• 并非绝对安全： 作者明确指出 SQA 并不证明绝对的语义安全。相反，它强制执行一个流程，使准入不安全契约的残余风险受限于由校准后的验证者失效率和相关性估计得出的风险函数。
• 控制平面原语： SQA 被定位为连接静态策略执行与基于推理的动态 LLM 特性的必要层，填补了两者之间的“语义鸿沟”。它解决了请求在结构上有效但在操作上不安全的现象。
• 可行性： 原型表明，语义验证可以集成到云原生控制平面中，且中位延迟为秒级，这使得它对于“慢路径”控制平面变更（如配置更改、迁移）是可行的，但不适用于“快路径”数据平面操作。

论文结论指出，虽然经典共识确保了一致性，但它无法在存在非确定性推理的情况下确保安全性。SQA 提供了一种机制，在不可逆的状态转换发生之前，集体认证意图，从而显著降低了由智能体驱动的基础设施灾难性故障的风险。