💬 NLP

The Decomposition Is the Fingerprint: Per-Component Identity for Agent Skills

本文介绍了一种用于 AI 智能体技能的紧凑型、局部敏感的逐组件指纹识别方法，该方法利用多库 SimHash 生成固定大小的签名，从而能够在通过改写或重构识别技能谱系与结构关系的同时，区分独立的重新实现，且无需取代对行为安全性验证的需求。

原作者： Hongliang Liu, Yuhao Wu, Tung-Ling Li

发布于 2026-07-01

📖 1 分钟阅读☕ 轻松阅读

原作者： Hongliang Liu, Yuhao Wu, Tung-Ling Li

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在管理一个庞大的 AI 智能体“技能”图书馆。这些不仅仅是书，而是包含指令（提示词）、代码以及与其他工具连接的数字工具包。随着越来越多的人创造这些技能，图书馆会变得杂乱无章。同一个技能可能会被复制、重命名、以不同的风格重写，或者被翻译成另一种编程语言。

核心问题在于：即便两个技能表面上看起来不同，你如何知道它们实际上是同一个东西？

旧方法：“指纹”失效

传统上，为了检查两个文件是否相同，我们会使用加密哈希值（如数字指纹）。但这种方法过于敏感。这就像是给一个人的脸拍张照片，但如果他把头发移动了一英寸或者戴上了眼镜，照片看起来就会完全不同。在数字世界中，仅仅在提示词中改动一个字母或重命名一个函数，都会让“指纹”看起来焕然一新。这对于寻找经过微调的重复项来说毫无用处。

新方法：“基于组件”的指纹

作者提出了一种全新的、具有智能性和模块化的指纹类型。它不再将整个技能视为一个巨大的整体，而是将其分解为三个截然不同的部分：

提示词 (The Prompt)： 自然语言指令。
代码 (The Code)： 实际的逻辑与函数。
工具 (The Tools)： 它所使用的 API 或外部工具列表。

以下是该系统的工作原理，使用一个简单的类比：

1. “翻译官” (嵌入/Embedding)

首先，系统充当一个超级聪明的翻译官。它读取提示词、代码或工具，并将它们转换为“意义向量”。

类比： 想象你有一句英文和一句对应的法文。普通的扫描仪会将它们视为完全不同的字符串。而这个“翻译官”能理解它们的含义相同，并赋予它们相同的“概念 ID”。对于代码也是如此，它能理解 calculate_sum 和 add_numbers 正在执行同样的工作。

2. “压缩器” (多库 SimHash/Multi-Bank SimHash)

“概念 ID”仍然太大，难以在数百万个技能中轻松存储。因此，系统将其压缩成一个极小的、固定大小的数字签名（仅 120 字节，即 320 位）。

类比： 想象一下，你拍了一张高分辨率的人物照片，然后将其缩小成一个只有 320 像素的小图标。尽管它很小，但如果你对比两个图标，你仍然能辨认出是否是同一个人。至关重要的是，如果这个人换了件衬衫（进行了微小的编辑），图标依然具有可识别性。

3. “三部分身份证” (三元组/The Triple)

这是该论文最重要的创新。他们没有将提示词、代码、工具这三部分挤压成一个单一的分数，而是将它们保留为三个独立的数字，记录在一张身份证上。

类比： 想象一张带有三张独立照片的安全证件：一张是人的脸，一张是其身份证号，还有一张是其职位。
- 如果有人更改了职位，但保持脸部和身份证号不变，你知道这是同一个人换了新角色。
- 如果有人更改了脸部（重写了代码），但保持职位（提示词）不变，你知道这是另一个人在做同样的工作。
- 如果三部分全部匹配，则是一个完美的克隆体。

这解决了什么问题

通过保持这三个部分的独立，该系统可以回答简单的“是/否”哈希值无法回答的复杂问题：

克隆 (Cloning)： “这个技能是那个技能的副本吗？”（三部分全部匹配）。
用途变更 (Repurposing)： “这是不是同一个代码被用于不同的目的？”（代码匹配，提示词不同）。
重新实现 (Reimplementation)： “这是否是同一个想法以完全不同的方式编写的？”（提示词匹配，代码不同）。
篡改 (Tampering)： “有人在受信任的技能中偷偷植入了病毒吗？”（系统发现“脸部”和“职位”与受信任的技能匹配，但“身份证号”（代码）发生了轻微变化。它会将其标记为修改后的副本）。

“安全”警告

论文明确区分了一个概念：该系统识别的是“技能是什么”，而不是“它是否安全”。

类比： 该系统就像一个警察数据库，能够识别出一辆车是“2020 款丰田凯美瑞”。它可以告诉你：“这辆车是已知型号的一个修改版本，且更换了引擎。”
然而，它无法判断这辆车是否在危险驾驶，或者新引擎是否危险。这需要另一种类型的测试（行为验证）。
作者发现，许多恶意技能本质上就是安全技能的“篡改副本”。他们的系统能将它们捕捉为“修改后的副本”，但必须由人类或其他安全工具来决定这种修改是否危险。

为什么这很重要

这种方法为 AI 技能创建了一个“注册表”。它允许平台：

消除重复： 找到那些看起来不同但实际上相同的技能。
追踪血统： 了解一个技能从何而来以及它是如何变化的。
检测篡改： 发现受信任的技能是否被悄悄篡改。
节省空间： 新的指纹比原始数据小 77 倍，这使得在数百万个技能中进行即时搜索变得非常快速。

简而言之，论文认为，要管理 AI 技能的混乱，我们需要一种理解意义和结构的指纹，而不仅仅是一个只看精确字符匹配的扫描仪。通过保持各部分独立，我们能更清晰地观察它们之间的关联。

技术摘要：面向智能体技能的组件级身份识别

1. 问题陈述

随着大语言模型（LLM）智能体越来越多地在运行时获取并执行技能（即从市场和其他智能体处获取的包含提示词、可执行代码和工具声明的集合），平台正面临着一个关键的治理挑战：身份识别（Identity）。目前确定两个技能是否为“同一个”的方法无法满足智能体生态系统的特定需求：

加密哈希（Cryptographic Hashing）： 由于其不具备重写不变性（rewrite-invariant），微小的改动（如改写、重命名、重构）都会彻底改变摘要，从而破坏相似性。
模糊哈希（Fuzzy Hashing，如 ssdeep, TLSH）： 依赖于字节的空间局部性，而技能由于语义重写并不具备这种特性。这些方法在处理重写后的技能时，表现接近随机水平（AUC 0.53–0.63）。
原始嵌入（Raw Embeddings）： 虽然能准确捕捉语义相似性，但它们存储的是千字节级的浮点向量，缺乏大规模注册表所需的固定大小、位索引化签名。
标准 SimHash： 旨在进行单文档去重，缺乏组件分解能力，且无法区分“相同代码、不同用途”与“相同用途、不同代码”的情况。

核心问题在于需要一种紧凑的、局部敏感的指纹，它必须具备重写不变性、固定大小、组件局部化且经过校准，能够识别技能家族而非仅仅是精确的字节匹配。

2. 方法论

作者提出了一种基于组件的局部敏感指纹流水线（图 1），该方法在进行哈希处理前先将技能分解为其组成部分。

2.1 分解

技能 $S$ 被视为由文本组件构成的结构化人工制品：

提示词（Prompt）： 自然语言指令。
代码（Code）： 可执行实现。
工具（Tools）： API 或工具声明。
（可选组件如配置或示例也受支持。）

2.2 收敛变换（嵌入）

每个组件通过学习到的文本编码器 $E(\cdot) \to \mathbb{R}^d$ （具体使用 Google 的 text-embedding-005， $d=768$ ）独立进行嵌入。该编码器充当收敛变换，将功能等效的组件（尽管存在改写、重命名或重构）映射到几何位置接近的向量。嵌入模型提供了重写不变性。

2.3 多库 SimHash（Multi-Bank SimHash）

为了实现紧凑性，每个 768 维的嵌入通过 SimHash [5] 投影为位（bits）。

机制： 对于每个组件，抽取 320 个独立的随机超平面。嵌入与每个超平面的点积符号决定了一个比特位。
结构： 这 320 个比特被打包进五个 64 位字（“库/banks”）。
结果： 一个固定的 120 字节签名（3 个组件 × 40 字节/组件）。至关重要的是，这三个组件的代码绝不会被合并为一个单一标量，而是保持为三元组形式。

2.4 比较

两个技能通过逐组件进行 汉明距离（Hamming distance） 比较。

组件相似度计算公式： $sim = 1 - \frac{\text{popcount}(F_A \oplus F_B)}{320}$ 。
比较过程为 $O(1)$ 且极快（微秒级），利用了位异或（XOR）和人口计数（population count）指令。
应用层可以根据特定的注册表需求，基于聚合该三元组（例如：取最大值以保证召回率，取最小值以进行严格克隆检测，或取加权平均值）来进行操作。

3. 核心贡献

基于组件的分解： 主要贡献在于将指纹保留为三元组（提示词、代码、工具）而非单一得分。这使得系统能够：
- 区分谱系（结构相似性）与行为等效性。
- 精确定位技能中哪些部分被复用或篡改（例如：相同代码、不同提示词 = 功能重用；相同提示词、不同代码 = 重新实现）。
- 在无需额外模型的情况下实现关系分类（克隆、变体、工具替换）。
紧凑且高保真的签名： 该方法将 24,576 位的嵌入压缩为 120 字节（77 倍压缩），同时将原始余弦相似性的排名精度保持在 1% AUC 以内。
注册表原语： 该指纹作为技能注册表的结构轴心，实现了去重、家族聚类、新颖性检测以及生成可移植的 SkillBOM（软件物料清单）。
身份与安全的区别： 论文明确指出，该指纹提供的是身份（谱系），而非安全性。它可以识别出技能是已知良性基础模型的篡改副本，但无法判断该副本是否具有恶意。

4. 实验结果

作者在多个语料库和基准测试中对该指纹进行了评估：

对嵌入的忠实度： 在 4,950 次构建的技能变体两两比较中，该指纹达到了 AUC 0.974（95% 置信区间 [0.956, 0.994]）。在 77 倍压缩下，每个组件的性能在 1% 以内追踪了嵌入的余弦相似度（0.992 vs 0.993）。
对抗鲁棒性： 在包含跨语言翻译、混淆和全量重写的 50 个对抗性改写基准测试中，该指纹识别出了 45/50 个改写，而传统的词法 TF-IDF 基准仅识别出 5/50 个。
关系分类： 基于组件的三元组正确地将 62% 的同组对分类为克隆，将 24% 分类为工具替换，且跨组对的误判克隆率仅为 0.2%。
篡改定位： 在一个 906 个技能的注入基准测试中，该指纹识别出 83.7% 的恶意技能为已知良性技能的近克隆。关键在于，它定位了篡改位置：代码组件的相似度下降（0.92–0.95），而提示词和工具的相似度保持高位，从而精准锁定了注入位置。
安全局限性： 作为单一的安全检测器，该结构化指纹的 F1 分数为 0.735（对比行为验证的 0.946），这证实了结构身份与行为完整性是正交的。

5. 重要性与主张

论文认为，身份是技能注册表的结构轴心，它与行为验证既有区别又互为补充。

谱系优于等效性： 指纹声称识别的是“谱系”（这是一个已知技能的副本/变体吗？），而非“行为等效性”（它是否做同样的事？）。这一区别对于治理至关重要，允许平台审计溯源并检测篡改，而不必做出安全性判定。
可扩展性： 通过将技能简化为 120 字节、可位索引的签名，该方法实现了常数时间比较和高效索引，从而能够处理数百万计的技能，这是原始嵌入无法实现的。
可组合性： 作者提出了一个“双轴模型”来构建信任：结构身份（本研究内容）+ 行为完整性（运行时验证）。指纹处理“谁/什么”（谱系、篡改、复用），而行为检查处理“是否安全”。
审慎性： 作者明确指出，该指纹并非抗碰撞的（攻击者理论上可以构造一个技能来模仿受信任的家族），也不是安全判定。它是一个用于分诊和谱系追踪的信号，旨在与加密哈希和行为检查配合使用。

总之，本文针对日益增长的 AI 智能体技能供应，提出了一种实用且具有数学依据的解决方案，将相似性从一个单一数值转变为一个丰富的、组件级的信号，用于注册表管理和溯源追踪。