技术摘要：面向智能体基础设施的主权保障边界 (Sovereign Assurance Boundary)

1. 问题陈述

将大语言模型（LLM）智能体集成到业务工作流中，引入了一个关键的控制平面授权缺口。虽然智能体可以提出针对生产资源（如扩展节点、轮转凭证、修改网络安全组）的高风险变更提案，但现有的安全机制不足以治理这些非确定性的推理系统。

• 静态与动态： 传统的身份与访问管理（IAM）和策略引擎执行的是静态权限或结构化合规性，但无法判断一个自主提案在语义上是否由实时证据所证明。
• 事后局限性： 审计日志和共识协议仅在执行后记录动作，或在未评估状态转换的语义安全性时才对状态转换达成一致。
• 风险累积： 单个看似合理的智能体行为可能会累积成系统性故障，包括可用性中断、数据泄露、策略绕过以及取证上下文丢失。
• 核心缺口： 目前缺乏一个运行时准入边界，能够将智能体的提案转化为执行权限，且该转化必须以证据、策略和撤销状态为约束。

2. 方法论：主权保障边界 (SAB)

本文提出了主权保障边界 (Sovereign Assurance Boundary, SAB)，这是一种证书绑定的运行时准入边界，它介入智能体推理与基础设施变更之间。SAB 的运作基于以下原则：机构保留对策略、证据和执行权的本地控制，并将智能体运行时视为不受信任的提议者。

2.1 架构：气闸—代理模型 (Airlock–Broker Model)

SAB 将系统分为两个截然不同的层级：

1. 不受信任的智能体运行时 (Untrusted Agent Runtime)： 生成提案，但不持有任何常驻凭证或直接执行权限。
2. 受信任的主权执行代理 (Trusted Sovereign Execution Broker)： 唯一被允许调用基础设施 API 的实体。它仅在验证了签署的主权保障证书 ($\Omega$) 后才执行变更。

准入流水线包含以下阶段：

• 契约编译 (Contract Compilation)： 将原始智能体命令归一化为强类型的执行契约 ($C$)，定义目标、前置条件、后置条件及回滚机制。
• 证据绑定 (Evidence Binding)： 证据收集器汇集遥测数据、日志和工单，以计算决策时刻系统状态的加密摘要 $H(E)$。
• 后果评分 (Consequence Scoring)： 评分器根据爆炸半径、权限扩张、数据敏感度、不可逆性及不确定性计算风险指标 $R(C)$。由此决定自主等级 ($L(C)$)（范围从 L0 咨询级到 L5 禁止级）。
• 认证路径路由 (Certification Path Routing)： 根据 $L(C)$ 和策略，将契约路由至特定路径（例如：PolicyOnly、LightweightQuorum、SQA、SQAPlusHuman）。
  • 语义共识保障 (SQA)： 一个由外部不受信任的验证器组成的网格，提供关于动作语义可采纳性的签署证明 ($\Gamma_{SQA}$)。
  • 人工审批 (Human Approval)： 对于高风险操作，操作员提供与特定契约和证据绑定的多重签名审批。
• 证书颁发 (Certificate Issuance)： 保障气闸 (Assurance Airlock)（属于可信计算基的一部分）验证所有路径要求，并颁发签署的主权保障证书 ($\Omega$)。
  • $\Omega$ 包含：$C$、$H(E)$、$R(C)$、$L(C)$、认证路径、验证器签名、执行身份 ($ID_{exec}$)、有效期 ($T_{valid}$)、策略版本 ($P_{ver}$) 以及撤销纪元 ($\rho_{rev}$)。
• 代理验证 (Broker Verification)： 在执行前，主权代理验证 $\Omega$ 的签名，检查撤销纪元，验证策略版本，并执行状态漂移检查 ($\Phi_{drift}$)，以确保实时状态未偏离绑定的证据 $E$。

2.2 形式化不变性 (Formal Invariants)

SAB 强制执行五项权威边界不变性：

1. 提议与执行解耦 (Proposal-Execution Decoupling)： 没有任何智能体提案能在未经气闸准入的情况下触发变更。
2. 证书绑定执行 (Certificate-Bound Execution)： 仅当代理验证包含特定契约 $C$ 的有效 $\Omega$ 时，才进行执行。
3. 证据绑定 (Evidence Binding)： 审批和证明在加密层面与 $C$ 和 $H(E)$ 绑定，防止跨不同上下文的重用。
4. 单调路径选择 (Monotone Path Selection)： 契约只有在满足其选定认证路径的所有要求时才会被准入；较低保障等级的路径不能覆盖较高风险的要求。
5. 临时授权 (Ephemeral Authority)： 如果撤销纪元已过期或执行时间超出有效期，证书将被拒绝。

3. 主要贡献

本文做出了四个主要贡献：

1. 证书绑定准入 (Certificate-Bound Admission)： 它定义了一个运行时准入边界，将自主执行权从环境权限转换为可撤销、以证据为约束的产物。
2. 气闸—代理架构 (Airlock–Broker Architecture)： 它引入了特定的组件（契约 $C$、证据摘要 $H(E)$、证书 $\Omega$ 和主权代理）来分离提议、准入与执行。
3. 后果感知认证 (Consequence-Aware Certification)： 它将后果评分、自主等级、认证路径和撤销机制形式化，支持在执行前的升级、拒绝和挂起。
4. 原型与可行性评估 (Prototype and Feasibility Evaluation)： 作者实现了一个 Go 语言原型，展示了系统的可行性，包括契约序列化、OPA/Rego 策略检查、Ed25519 签名以及基于 PostgreSQL 的账本。

4. 结果与评估

作者使用 500 个标记的执行契约在 2,500 次准入尝试中对原型进行了评估。

• 延迟 (Latency)：
  • 仅策略准入：~1.84 ms (p50)。
  • SQA 准入（含验证器网格）：~185 ms (p50) / 380 ms (p95)。
  • 代理验证：~0.15 ms (p50)。
  • 撤销传播：~12.4 ms (p95)。
• 准确率 (Accuracy)：
  • 路由准确率（与专家标注的 Oracle 一致性）：96.8%。
  • 不安全准入率：0.4%。
• 效率 (Efficiency)：
  • 人工审批减少量：与纯人工队列相比减少了 68.2%。
  • 证书存储开销：每次动作约 ~3.4 KB。
• 可回放性 (Replayability)： 100% 的账本条目均可在模式上下文下实现回放。

结果表明，控制平面的开销在单台工作站上是可行的，通过牺牲一定的延迟来换取更高的保障性和可回放性。

5. 意义与主张

本文声称 SAB 在不取代现有安全层的情况下，解决了特定的授权缺口。

• 运营主权 (Operational Sovereignty)： SAB 将主权定义为机构对策略评估、证据保留、签名密钥和执行权的本地控制。外部模型仅限于生成提议，无法绕过本地认证。
• 组合性 (Composability)： SAB 不是 IAM、形式化验证、共识协议或人工审查的替代品。相反，它将这些机制组合成一个系统级的准入边界。它将委托执行权视为一种证书绑定、证据绑定、可撤销且可回放的运行时产物。
• 风险缓解 (Risk Mitigation)： 通过将提议生成与执行分离，并将执行绑定到新鲜的证据和活跃的策略，SAB 防止了仅靠自主推理进行状态变更，从而减轻了系统性故障、数据泄露和策略绕过的风险。

作者保持了审慎的态度，承认 SAB 依赖于可信计算基 (TCB) 的完整性、外部证据的新鲜度以及验证器的校准。他们指出原型结果取决于具体工作负载，并不保证通用性能，并建议采取从高后果领域开始的增量部署策略。