技术摘要：代理式 AI 系统中委托执行的可观测性

问题陈述

本文指出，大语言模型（LLM）驱动的代理式系统在可观测性方面存在一个关键差距：委托范围内的执行（delegation-scoped execution）无法通过标准的可观测指标（审计日志和执行追踪）进行识别。

在传统系统中，执行遵循预设的工作流。而在代理式系统中，执行是被委托的：委托人向代理发布一个持久的授权上下文，随后代理会动态地选择工具、改变执行序列、进行回溯并生成子代理。这产生了一种结构性的错配：

1. 权威与因果关系的正交性： 问责单元（委托）与执行单元（因果追踪/跨度）在结构上是正交的。单个委托可能跨越因果不连贯的工具调用（并行重试、异步扇出），而因果连接的行为也可能发生在不同的委托之下（再委托）。
2. 不可识别性： 本文证明，仅凭执行追踪和事件局部属性无法重建委托成员关系。多种不兼容的委托分配可能会产生完全相同的可观测遥测数据（审计日志和因果图）。
3. 现有工具的局限性： 现有的机制（SIEM、OpenTelemetry、LangSmith）记录单个动作或因果链，但缺乏重建“在给定委托下发生了哪些行为”的语义。它们依赖于启发式的时窗相关性或会话 ID，这在多代理组合、重试和重叠委托的情况下会失效。

方法论：代理感知通用信息模型 (CIM)

为了解决这一问题，作者提出了 CIM，一种轻量级的、代理感知的可观测性底层结构。CIM 不是意图推理引擎，而是一个在执行时绑定委托上下文的结构化模型。

核心组件

CIM 为委托执行引入了双重结构模型：

1. 执行图 ($G_{exec}$)：表示因果关系（追踪、跨度、父子链接）。
2. 权威图 ($G_{auth}$)：表示委托关系（委托人、代理、再委托、谱系）。
3. 授权关系 ($R_{auth}$)：显式地将事件与委托绑定。

语义要求

CIM 强制执行四项语义承诺，以使委托范围的重建具有明确定义：

• R1（持久化委托上下文）： 每个事件都绑定到一个持久的 delegation_id。
• R2（权威-因果分离）： 权威划分不必与追踪一致；该模型显式支持这种分歧。
• R3（委托闭包）： 再委托和代理生成通过谱系闭包进行表示，允许对一个委托及其所有后代进行查询。
• R4（跨系统规范化）： 将动作和资源规范化为稳定的词汇表（例如 read、write、share、invoke），以便在无需检查有效载荷的情况下进行跨工具查询。

实现：网关

作者提出了一个轻量级网关作为捕获边界。该组件（代理、边车或库）拦截代理的工具调用，以实现以下功能：

• 铸造与绑定： 将事件与经过身份验证的委托人关联，并发布 delegation_id。
• 传播： 确保委托上下文在多代理链条中传递。
• 规范化： 将特定工具的操作映射到规范的动作词汇表中。
• 强制执行不变性： 确保 delegation_id 不仅仅是一个自由格式的字符串，而是一个经过验证的绑定，并明确将缺失委托上下文的事件标记为“未绑定”。

主要贡献

本文做出了三个主要贡献：

1. 委托可观测性的形式化： 定义了一种系统属性，即即使在并发和多代理组合的情况下，也能重建委托下的动作集合，而无需使用启发式的时窗相关性。
2. 不可识别性的证明： 证明了仅靠审计日志和因果追踪不足以恢复委托范围内的执行，因为委托的权威性与因果控制流是正交的。
3. 引入 CIM： 一种通用信息模型，将委托执行建模为双重结构（权威图和执行图），从而实现可靠的后验重建和直接的取证查询。

实验结果

作者使用两个环境评估了 CIM：一个高吞吐量的合成生成器（10 万个代理，1 万个用户）和一个包含真实工具调用的微型部署。

重建准确性

• 歧义性： 在基准方法（仅追踪、时窗或混合相关性）下，歧义性（有效委托分组的数量）随并发度的增加而剧增。例如，在多代理工作流中，基准方法的歧义中位数达到了 10,856。CIM 对受覆盖事件实现了构造层面的 1（无歧义）。
• 召回率： 当追踪边界与委托边界不一致时，基准方法的召回率表现不佳（p05 低至 0.03）。CIM 对受覆盖事件实现了 100% 的召回率。
• 分歧： 实验证实了权威-因果分歧的普遍性（例如，在某些工作流中，单个委托跨越了 35 个以上的因果组件），验证了将权威与因果视为独立实体的必要性。

运行开销

• 事件大小： CIM 为每个事件增加了约 247 字节（委托上下文、谱系、规范化谓词）。
• 延迟： 网关处理带来的延迟极低（中位数 0.01 ms，p95 0.29 ms）。
• 查询工作量： 最显著的收益是减少了查询构建的负担。基准查询针对每类操作需要 6–14 个操作（连接、窗口化、规范化）。CIM 将其减少为针对稳定字段的 1–3 个直接谓词。在测试规模下，CIM 的查询运行时性能与基准方法相当。

意义与主张

本文声称，代理式系统需要具备委托感知的可观测性，因为委托的权威性无法在事后通过追踪可靠地重建。

• 结构化问责： CIM 使工作流能够作为结构化对象而非扁平的事件流进行重建，从而能够直接回答诸如“委托 $d$ 的影响范围是多少？”或“哪些子代理在此权限下执行了操作？”之类的取证问题。
• 与意图无关： 该系统显式地将**归属（attribution）与意图（intent）**分离。CIM 将动作归因于其执行时的委托，无论该动作是预期的、提示词注入的结果，还是由于错误导致的。这使得“访问/共享足迹”是可审计的，而无需推断代理的内部推理或检测提示词注入。
• 互补性： CIM 被定位为一种补充现有安全和审计工作的基础设施。它并不阻止误用或推断意图，但提供了调查多代理系统中复合结果、涌现行为和执行漂移所需的结构化数据。

作者总结道，如果没有这样的底层结构，委托范围内的重建问题在代理式 AI 中在结构上是无法确定的，这会导致随着这些系统规模扩大而导致不可靠的取证分析。