🤖 machine learning

PatchOptic for Shared-State LLM Workflows with Projected Views and Verified Structured Updates

本文介绍了 PatchOptic，一种受光学启发、用于共享状态 LLM 工作流的接口，它通过投影读取和经验证的结构化补丁确保局部更新的全局有效性，同时在不牺牲输出质量的前提下，为工作流组合提供静态保证并降低 Token 成本。

原作者： Zhaoyu Bai, Jiaqi Cai

发布于 2026-07-08

📖 1 分钟阅读☕ 轻松阅读

原作者： Zhaoyu Bai, Jiaqi Cai

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是某座庞大共享数字图书馆的管理员。这座图书馆收藏了一切：秘密蓝图、私人用户文件、财务记录和公共新闻。你雇佣了一支非常聪明但有时会分心或调皮的 AI 助手团队（即“执行者”）来帮助你整理这座图书馆。

问题在于，这座图书馆太大了，任何单个助手都无法同时看到全部内容。如果你把整个图书馆展示给他们，他们可能会不小心（或故意）将秘密蓝图泄露到公开报告中。如果你只展示一页纸，他们可能会尝试将书移动到他们不被允许触碰的架子上，或者试图在没有让你察觉的情况下将秘密页面复制到他们的报告中。

PatchOptic 是一个旨在解决这一混乱的新系统。它就像是一个严厉的隐形保安，同时也兼任着聪明的图书管理员。以下是它的工作原理，使用简单的类比进行说明：

1. “投影仪”（投影读取 - Projected Reads）

想象你有一个投影仪，它只将光线投射在助手当前需要处理的那一页特定页面上。

没有 PatchOptic 时： 你把整本书交给助手。他们可能会看到边注里的秘密笔记，并无意中将其复制到摘要中。
有了 PatchOptic 后： 投影仪只向助手展示他们需要的那个段落。书的其余部分对他们来说是不可见的。这被称为投影读取（Projected Read）。这阻止了助手甚至“看到”秘密，从而防止了泄密。同时，这也节省了时间（Token），因为助手不需要阅读整本书。

2. “保安”（经过验证的结构化更新 - Verified Structured Updates）

一旦助手完成了他们的任务，他们并不会直接走向书架开始挪动书籍。相反，他们在一种特殊的表格（称为“补丁/Patch”）上写下一份正式的请求。

请求： 助手说：“我想把书从 A 架移动到 B 架。”
保安的任务： 在书真正移动之前，一名保安（验证器/Verifier）会根据整个图书馆的规则来检查该请求，而不仅仅是助手所看到的部分。
- 他们是否试图将书移动到禁止存放的架子上？（写入范围检查 - Write Scope Check）
- 他们是否试图从他们未被授权触碰的秘密区域移动书籍？（补丁来源检查 - Patch-Source Check）
- 现在是移动书籍的合适时间吗？（阶段检查 - Phase Check）
- 新的排列方式是否破坏了任何图书馆规则？（不变性检查 - Invariant Check）

如果请求违反了任何规则，保安就会说“不行”，书籍将保持原样。除非通过所有检查，否则助手永远无法接触到真实的图书馆。

3. “蓝图”（足迹 - Footprints）

在助手们开始工作之前，系统会为每项任务绘制一份“蓝图”（称为足迹/Footprint）。这份蓝图详细列出了：

助手被允许读取的内容。
助手被允许写入的内容。
助手被允许复制自的内容。

这使得管理者可以实现两个很酷的功能：

委托（Delegation）： 如果你想雇佣一名经验较少的助手，你可以给他们一个“更小规模”的蓝图。他们只能完成工作的一小部分，且系统完全清楚他们的权限范围。
重排序（Reordering）： 如果两个助手正在处理图书馆中互不重叠的部分（比如一个在修理小说区，另一个在修理科学区），系统知道他们可以按任何顺序工作而不会造成混乱。这就像知道两名画家可以同时粉刷不同的墙壁而不会互相碰撞一样。

研究发现

作者使用名为 PatchBench 的测试套件（包含 46 种场景，如金融、医疗和软件任务）将该系统（即 PatchOptic）与标准做法进行了对比测试。

结果如下：

更少泄密： 当助手只能看到“投影”部分时，他们泄露秘密的频率比看到完整内容时降低了几乎 100%。
更便宜： 因为他们不需要阅读整个图书馆，系统消耗的计算资源（更少的 Token）更少。
更高的安全性： 当助手尝试进行非法操作（如复制秘密文件）时，“保安”总能在变更发生前将其拦截。
高质量： 助手依然出色地完成了任务。看到的内容变少并没有让他们感到困惑；他们只是更加专注于被允许看到的内容。

核心结论

PatchOptic 是一种让 AI 助手在大型共享数据库上工作，且无需完全信任其完美性的方法。它指出：

只展示他们需要的内容（所以他们无法窃取秘密）。
在他们做出更改之前，根据整个系统检查他们的工作（所以他们不会破坏规则）。
保留一份详细的记录，说明他们被允许做哪些事情（以便你日后进行审计）。

它将“要求 AI 修补共享数据库”这一高风险工作，转变为一个安全、受控的过程，其中 AI 是工人，而系统才是老板。

技术摘要：用于共享状态 LLM 工作流的 PatchOptic

问题陈述

在运行于共享结构化状态的智能体（Agentic）工作流中，存在着大语言模型（LLM）有限的上下文窗口与系统全局有效性要求之间的根本性不匹配。为了管理上下文，系统采用**渐进式披露（Progressive Disclosure）**技术，仅暴露特定步骤所需的态片段（例如通过 RAG 或 AST 查询）。虽然这管理了“读”侧，但“写”侧仍然脆弱。

当智能体仅基于局部片段提出更新建议时，它缺乏验证该更新相对于完整状态之全局有效性所需的全局上下文。这导致了两类主要的失效模式：

信息泄露（Secret Leakage）： 与当前步骤无关的受保护数值进入智能体视野，并被无意中包含在输出中。
提交合法性失效（Commit-Legality Failures）： 智能体提出的补丁（Patch）格式错误、违反阶段约束、写入越权范围，或从未经授权的状态路径（隐藏源）中提取数值。

现有的控制手段（如模式校验器或约束解码）仅能处理局部语法或结构问题，却无法验证状态值的来源（Provenance）或转换的全局有效性。目前缺乏一种能够将局部重写与全局有效性相连接，并在多步、多智能体工作流中进行组合的“契约”。

方法论：PatchOptic 设计

本文引入了 PatchOptic，一种受 Optic 启发的设计，它将投影读（Projected Reads）与经过验证的结构化更新耦合在一起。其核心机制依赖于由权限三元组 $(O_s, W_s, P_s)$ 定义的步骤契约：

$O_s$ (投影读/Projected Read)： 将完整共享状态 $x$ 投影为对执行者可见的局部视图 $O_s(x)$ 。
$W_s$ (写入区域/Write Region)： 执行者被授权修改的状态路径集合。
$P_s$ (补丁源区域/Patch-Source Region)： 在应用补丁期间（例如在 JSON Patch 的 copy、move 或 test 操作中），执行者被授权读取的当前状态路径集合。

运行时强制执行

运行时路径运行如下：

投影： 执行者接收投影后的视图 $O_s(x)$ ，从而隐藏敏感字段。
提议： 执行者生成一个变更提议（以 JSON Patch 实现）。
验证： 在提交前，验证器使用四个闸口根据完整状态 $x$ $x$ 检查提议：
- 作用域（Scope）： 确保写入目标和补丁源路径（包括 move 操作中的 from 路径）保持在 $W_s$ 和 $P_s$ 范围内。
- 阶段（Phase）： 验证该步骤是否允许在当前工作流阶段执行。
- 模式（Schema）： 检查结构有效性和输出契约。
- 不变性（Invariants）： 验证突变后工作流的不变性是否依然成立。
提交/拒绝： 只有当所有闸口均通过时，状态才会发生突变；否则，提议将被拒绝，状态保持不变。

静态足迹代数 (Static Footprint Algebra)

除了运行时，步骤声明还产生了一个静态足迹 $(R_s, W_s, P_s)$ （其中 $R_s$ 是实现的读区域）。这使得在执行者运行前进行静态分析成为可能：

限制（Restriction）： 通过缩小足迹来实现委托（Delegation）。
并集（Union）： 通过组合足迹实现对等组合（Peer Composition）。
交换证书（Commutation Certificate）： 允许在同一阶段内对相互独立的步骤进行安全重排序。如果两个步骤的写入区域不相交，且彼此都不读取对方写入的内容（即 $W_A \perp W_B$ ， $R_A \perp W_B$ ， $R_B \perp W_A$ ），则这两个步骤可以重排序。

核心贡献

运行时机制： 一个将投影视图与经过验证的 JSON Patch 写入相结合的系统，用于处理共享状态，并生成关于视图、提议和验证器决策的结构化追踪。
足迹代数： 一种用于声明读、写和补丁源区域的形式化方法，支持委托、组合以及独立步骤重排序的静态证书。
PatchBench： 一个包含 46 个手工编写案例的基准测试，涵盖六个领域（金融、营销、医疗、科学、软件、支持）。它通过使用受损的伪造产物来评估设计，并将真实的执行器运行与“无模型”测试区分开来。

实证结果

评估使用了一个强执行器（GPT-5-mini）和一个弱执行器（Mistral 7B），涵盖六种设置（无约束、仅模式、FSM+ACL、仅视图、仅验证、PatchOptic）。

泄露减少： 投影读显著降低了报告的泄露率。在 GPT-5-mini 下，全状态设置的泄露率约为 31.5%，而 PatchOptic 将其降低至 0.2%（每轮平均泄露次数从约 14.5 降至 0.1）。
Token 效率： 与全状态设置相比，投影读设置在每次运行中减少了 11–13% 的 Token 使用量。
输出质量： 在强执行器下，投影读并未降低接受输出的质量（内容得分保持在 ~0.927）。因此，语义通过率（质量 + 无泄露）从无约束模式下的 ~0.61 上升至 0.78–0.80 (PatchOptic)。
验证有效性： 运行时验证成功拦截了在提交前发生的声明契约违规（阶段和作用域错误）。在“无模型”压力测试中，PatchOptic 和“仅验证”设置 100% 拒绝了试图引用隐藏源路径的受损产物，而没有补丁源检查的设置（如 FSM+ACL）则接受了其中的 8/9 个。
弱执行器行为： 对于较弱的 Mistral 执行器，PatchOptic 通过结合投影（防止泄露）与验证（阻断无效补丁），补偿了模型较低的内在质量，实现了最高的语义通过率（0.690）。

重要性与主张

论文声称 PatchOptic 在局部模型行为与全局系统有效性之间提供了一个必要的“契约”。其重要性在于：

解耦观察与提交： 它明确分离了执行者可观察的内容（投影视图）与运行时将要提交的内容（验证补丁），从而避免了模型需要承担全局安全义务。
可组合性： 足迹代数允许对委托、组合和重排序进行静态验证，从而实现更安全地扩展多智能体工作流。
深度防御： 通过结合投影（防止执行者看到秘密）与补丁源强制执行（防止即使在执行者被攻破或产物被注入的情况下，补丁仍尝试读取秘密），该系统同时应对了提示词注入风险和受损产物风险。

作者承认了局限性，指出系统信任策略制定者（如果契约本身有误，系统会强制执行错误的契约），并且无法防止语义错误或经授权的披露。然而，他们认为 PatchOptic 为在大型共享状态系统中安全部署 LLM 智能体建立了一个基础性的控制层。