技术摘要：针对不可信 AI 智能体的认证投机执行

1. 问题陈述

现代 AI 系统（包括学习策略和冻结的大型语言模型 LLM）可以以较低的计算成本生成决策序列（草案）。然而，在硬约束顺序决策系统（如能源管理、机组组合）中部署这些“不可信”智能体面临着一个根本性的困境：

• 直接执行： 直接根据 AI 草案采取行动会丧失安全性保证。例如，在电池管理任务中，一个冻结的 12B 参数 LLM 在 98% 的回合中提出了违反约束的行为。
• 逐步委托： 在每一步都调用受信任且昂贵的求解器（如 LP/MILP 优化器）虽然能确保安全性，但会丧za AI 提供的速度和效率优势，因为求解器始终处于关键路径上。

现有的方法（如 LLM 中的投机解码）通过验证 Token 是否符合概率分布来进行验证，但并未解决控制设置中的硬可行性约束或决策质量（遗憾值/regret）问题。因此，需要一个能够利用不可信 AI 草案实现速度，同时保持严格安全性与可审计性能保证的层。

2. 方法论：证书门控前缀接受 (CGPA)

本文提出了证书门控前向接受 (Certificate-Gated Prefix Acceptance, CGPA)，这是一种经过认证的投机执行契约，旨在将安全性、遗憾值和速度解耦。该系统由一个薄的受信任核心和一个不可信的提议源组成。

2.1 系统架构

CGPA 控制器是一个元组 $(D, \text{Verify}, \hat{V}, \pi_F)$：

1. 不可信提议源 ($D$)： 可以是任何基于规则、学习或基于 LLM 的智能体。它提议一个长度为 $K$ 的动作前缀 $u_{0:K-1}$。
2. 受信任验证器 (Trusted Verifier)： 模拟提议的前缀相对于系统动力学和硬约束的情况。它会拒绝任何违反可行性的转换。
3. 受信任价值边界 ($\hat{V}$)： 一个轻量级的学习型价值函数（例如五分位数 MLP），用于估计剩余代价（cost-to-go）。它充当“价值卫士”，以确保接受的前缀不仅是安全的，而且在经济上也是可行的。
4. 受信任预言机 ($\pi_F$)： 一个回退求解器（如 MILP），在提议被拒绝时提供安全的修复动作。

2.2 接受/延迟机制

在每个状态 $s_t$，系统执行以下逻辑：

• 源 $D$ 提议 $K$ 个动作。
• 验证器检查可行性。如果任何步骤是不安全的，则将前缀截断至最后一个安全状态。
• 价值卫士选择满足以下条件的、最长的经验证安全的长度为 $k$ 的前缀：
  $$g(s_t, u_{0:k-1}) + \hat{V}(s_{t+k}) \leq \hat{V}(s_t) + \tau |\hat{V}(s_t)|$$
  其中 $g$ 是实现的序列代价，$\tau$ 是容差参数。
• 提交： 如果 $k > 0$，系统提交整个 $k$ 步前缀。如果 $k = 0$，则转向预言机执行单步操作。

2.3 理论保证

本文证明了无论提议源 $D$ 如何，CGPA 都能提供两个结构性不变性：

1. 应用安全性 (命题 1)： 每一个执行的转换都是可行的。安全性仅取决于受信任的验证器和预言机，而与提议源无关。
2. 遗憾值证书 (证书 2)： 系统能够界定相对于逐步预言机的超额代价（遗憾值）。其遗憾值界限为：
   $$J_{CGPA} - J_F \leq \sum_{i \in A} \tau_i |V(s_i)| + (2 + \tau_{\max})\epsilon |A| + \sum_{j \in R} \rho_j$$
   至关重要的是，边界误差 $\epsilon$ 是每个接受段计费一次，而不是每步计费。这使得系统能够将昂贵预言机的成本分摊到多个步骤中。

2.4 符合性校准 (Conformal Calibration)

为了处理学习到的价值边界 $\hat{V}$ 的不确定性，作者采用了拆分符合性校准 (split-conformal calibration)。他们训练了一个分位数回归模型来输出中心带和尾部水平。误差界 $\epsilon(s)$ 由这些分位数的间距（$\hat{V}_{0.9} - \hat{V}_{0.1}$）导出，并在留出数据上进行校准。这确保了即使在分布偏移的情况下，遗憾值证书也能以高概率（例如 95% 置信度）成立。

3. 核心贡献

1. 一种认证的投机执行契约： CGPA 是第一个将投机执行原则应用于硬约束控制的框架，它将“智能”（不可信源）与“保证”（受信任核心）分离。
2. 结构化解耦： 本文证明了安全性与遗憾值是可以解耦的。安全性由验证器负责，而遗憾值由可学习且经过校准的价值边界进行管理。
3. 用于控制的符合性预测： 将符合性预测集成到价值边界中，使得误差界 $\epsilon$ 成为一个可测量的而非假设的界限，从而提供了前瞻性的遗憾值保证。
4. 对对抗性源的鲁棒性： 该框架旨在处理任意提议源，包括对抗性智能体和异构 LLM，且不会损害安全性。

4. 实验结果

作者在三个领域评估了 CGPA：电池能量管理 (EMS)、CityLearn (HVAC) 和机组组合 (UC)。

4.1 安全性与零违规

• 对抗性与 LLM 源： 在针对对抗性提议源和六种异构冻结 LLM（包括在直接运行中违反约束率达 98% 的 Gemma-4-12B）进行测试时，CGPA 实现了零应用违规。
• 白盒对抗者： 即使面对拥有验证器和动力学完整知识的白盒自适应对抗者，CGPA 仍通过转向预言机维持了零违规，将攻击吸收为降低了摊销率（降低了调用减少量）而非安全性破坏。

4.2 遗憾值降低

• 学习型边界： 与无保护接受相比，使用经过符合性校准的学习边界将平均遗憾值降低了三个数量级（例如在 EMS 中从 0.445 降至 0.0002）。
• 预言机接近度： CGPA 的平均遗憾值处于逐步预言机的采样噪声范围内（95% 置信区间跨越零），有效地匹配了昂贵求解器的性能，同时跳过了大部分调用。
• 分布偏移： 在日历偏移（CityLearn）下，学习型提议源在 18 天中的 15 天内表现优于逐步预言机，这表明该系统可以利用更优秀的不可信源来超越基准。

4.3 速度与摊销

• 墙钟时间加速： 在部署规模的机组组合实例（48 步时界，MILP 预言机）上，使用冻结 Qwen3-8B LLM 的 CGPA 实现了 2.96 倍的每回合墙钟时间加速，且遗憾值为 2.1%。
• 对比： 这优于领域启发式方法 (1.79×) 和安全收缩时界基准 (1.07×)。
• 可扩展性： 加速效果随预言机成本的增加而提升。随着单次调用预言机的成本增加，CGFA 的加速比也随之增长（最高达 2.67×），而事件触发型和移动阻塞型控制器则保持在接近 1.0× 的水平。

5. 重要性与主张

本文声称 CGPA 提供了一个可泛化的、经过认证的层，用于在安全性至上的系统中部署不可信 AI。其意义在于：

• 赋能不可信 AI： 它允许使用强大、异构且可能存在缺陷的 AI 模型（包括 LLM），而无需牺牲硬性安全保证。
• 性能无损： 它通过跳过昂贵的求解器调用来实现加速，同时保持与逐步求解器相当的遗憾值水平。
• 鲁棒性： 其保证是结构性的，不依赖于提议源的质量；系统会优雅地降级（通过增加预言机调用次数），而不是发生灾难性失败。
• 实际部署： 该框架已在现实规模问题（机组组合）中得到验证，并证明了“不可信源越强大，认证系统就越快”，前提是安全核心保持完好。

作者强调，这是一个经过认证的方法，其中安全性从未向不可信源查询，且遗憾值由一个可测量的、经过符合性校准的证书进行界定。