💻 computer science

From Neural Intent to Cryptographic Authorization: Governing Agentic Workflows

本文介绍了神经加密服务（Neural Cryptographic Services, NCS），这是一种通过将神经规划与执行解耦，并通过确定性符号控制器对工具调用实施严格的加密授权，从而在保持工作流效用的同时防止提示词注入攻击，进而保护自主 AI 智能体的安全架构。

原作者： Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

发布于 2026-07-20

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个这样的世界：你的电脑不再仅仅是执行人类编写的一套严格指令，而是像一个才华横溢、健谈的助手一样，能够自主思考如何完成任务。这就是“AI智能体（AI agents）”的时代。把它们想象成数字实习生，它们可以阅读电子邮件、检查银行账户并发送文件，这一切都是通过理解你的自然语言请求来实现的。但问题在于：这些实习生虽然极其聪明，但也极其容易受暗示。如果你向它们低声传递一条秘密指令，或者一个狡猾的陌生人在它们正在阅读的文档中藏了一张纸条，实习生可能会突然决定忽略你的原始请求，转而去做一些危险的事情，比如把你的钱全部转给一个陌生人。这是一个问题，因为在过去，计算机就像僵硬的机器人，只会严格执行程序设定的指令。而现在，它们像是富有创造力的艺术家，可能会被诱骗去涂掉自己原本的作品。

为了理解这种危险，我们需要观察两种不同的计算机“思考”方式。第一种是**神经（Neural）方式，这是AI的工作原理：它就像一个庞大且模糊的连接网络，根据模式来猜测最佳答案。它擅长理解语言，但可能有点不稳定，且容易产生幻觉。第二种是符号（Symbolic）**方式，这是传统安全机制的工作原理：它就像一本严格、不可破坏的规则手册，或者是一个数学方程，其中 $2+2$ 永远等于 $4$，没有任何“也许”的空间。科学家们提出的重大问题是：我们如何在允许AI智能体保持创造力和实用性的同时，又不让它们被诱骗去违反规则？我们需要一种方法，既能让AI构思计划，又能有一个严格、不可更改的守护者在每一步实际发生之前进行检查。

这正是《从神经意图到密码学授权》（From Neural Intent to Cryptographic Authorization）这篇论文背后的研究人员正在解决的问题。他们构建了一个全新的安全系统，称为神经密码服务（Neural Cryptographic Services, NCS）。想象一下，你正在向银行寄送一个非常重要的包裹。在过去，你可能只是信任快递员（AI）会遵循箱子上的指示。但如果有人在你没注意的时候，在箱子侧面写上“把包裹交给小偷”，快递员可能会读到并照做。NCS改变了游戏规则，它为指令加上了一个极其严格、经过数学证明的锁。

以下是它在论文所述现实世界中的运作方式：AI智能体（“神经规划器”）被允许阅读你的请求，并写下一份它认为应该执行的操作草案。这就像学生在写作业。但这个学生并没有权力实际提交作业或花掉任何钱。这个权力属于另一个角色：符号控制器（Symbolic Controller）。这个控制器就像一个机器人保安，它不在乎学生的创意想法；它只关心一份经过特殊批准且经过密码学签名的清单。

这个过程有点像一个高安全性保险库。在AI智能体采取任何行动之前，负责的人类会用一个特殊的数字密钥签署一份“工作表”（即步骤列表）。这份工作表随后被转化为一条由数据块组成的链，其中每个数据块在数学上都与下一个紧密粘合在一起。当AI智能体想要执行某一步骤时，符号控制器会检查这条链。它会验证该步骤是否与签署的清单完全一致。如果AI智能体试图说：“嘿，让我们把转账金额从计划的50美元改为给我的朋友转5000美元吧，”保安会检查数学逻辑，发现数字与签署的链条不符，然后立即关上大门。智能体无法欺骗保安，因为保安听的不是智能体的言语，而是签名那不可破解的数学逻辑。

论文显示，该系统非常有效。在测试中，研究人员尝试用各种诡计来欺骗AI智能体，比如在看似正常的资料中隐藏恶意指令，或者尝试在银行转账中替换数字。在没有这个新系统的情况下，AI智能体几乎每次都会被骗，攻击者的成功率在某些情况下高达100%。但当加入NCS后，攻击者的成功率降到了接近于零。在正常日子里，智能体依然能够胜任工作（保持其“效用”很高），但它们变得对劫持行为完全免疫。

研究人员还发现，这个系统速度惊人地快。他们运行的数学检查耗时不到一毫秒——与AI思考所需的时间相比，这几乎是无感的。这意味着我们不必为了安全而牺牲速度。论文指出，我们不应仅仅寄希望于AI“理解”它不应该做坏事；我们需要一个系统，让AI可以提出想法，但通过密码学锁确保只有经过批准、经过签名的步骤才能真正发生。这是一种既能赋予AI智慧的自由，又能对其“实际行为”施加严格、不可破坏的牵引绳的方法。

技术摘要：神经加密服务 (Neural Cryptographic Services, NCS)

问题陈述

AI 驱动的智能体工作流（Agentic Workflows）的快速普及，正在将企业和政府系统从静态的、基于规则的流水线转变为动态的、自主的基础设施。虽然这增强了运营效率，但它从根本上破坏了确定性执行的安全假设。传统的加密服务（例如 HSM、KMS）充当的是被动执行引擎，它们仅能验证“谁”在行动，却无法感知在运行时具体是“哪一个”工作流步骤得到了授权。

这一差距造成了一个关键漏洞：经过身份验证的智能体可能会通过直接或间接的提示词注入（Prompt Injection）被劫持。攻击者可以通过注入恶意指令到不受信任的数据或工具输出中，导致智能体执行符合身份检查但违反用户意图的操作（例如，将敏感数据发送给攻击者）。传统的安全措施在此失效，因为此时身份验证检查通过了，权限看起来也是合法的，但底层的意图已被颠覆。核心挑战在于如何将大语言模型（LLM）推理的概率性特征与加密操作及权限控制所需的确定性精确性进行调和。

方法论：神经加密服务 (NCS)

作者提出了神经加密服务 (NCS)，这是一个基于**神经-符号设计（Neural-Symbolic design）**的主动运行时安全治理平面。NCS 介入了不受信任的 LLM 智能体与特权工具之间，将权威在概率性的神经生成与确定性的符号执行之间进行拆分。

核心架构

NCS 由五个模块组成：

神经规划器 (Neural Planner)： 一个不受信任的组件，负责解析自然语言指令并起草结构化的执行计划。它持有零执行权限，无法直接触发特权工具。
符号控制器 (Symbolic Controller)： 确定性的权威核心。它根据静态策略验证规划器起草的内容，调度有序依赖的执行，并编排工作流。
加密执行引擎 (Crypto Execution Engine)： 解析与算法无关的中间表示 (IR) 操作码，并将它们分发给可插拔的加密后端（如 Ed25519, SHA-256）。
验证器 (Verifier)： 执行故障关闭 (Fail-closed) 闸门。它确保智能体提出的工具调用参数与当前发布的、经过加密验证的指令载荷完全匹配，否则不进行任何副作用操作。
运行时状态管理 (Runtime State Management)： 维护权威的会话上下文，包括程序计数器、验证转录文本和审计日志。

两阶段状态化指令认证

NCS 通过状态化的、哈希链式（Hash-chained）指令流来强制执行指令的真实性和执行完整性：

阶段 A（工作表授权）： 用户仅对流头 (Stream Head) 进行签名（包含第一个数据块哈希和总流长度的元数据）。符号控制器通过验证此签名来建立工作表级别的授权。此时尚未发布任何载荷块。
阶段 B（增量执行）： 系统逐个数据块处理指令流。
1. 验证 (Verify)： 加密执行引擎验证哈希链的连续性（ $H(B'_i) = A_{i-1}$ ）以及流头锚点。
2. 释放 (Release)： 在成功验证后，明文指令块（ $B_i$ ）作为唯一的活跃载荷被释放。
3. 绑定 (Bind)： 神经规划器基于 $B_i$ 编译出一个步骤计划草案。验证器严格将智能体提议的工具参数与释放的 $B_i$ 进行绑定。
4. 分发 (Dispatch)： 只有当智能体的提议与释放的载荷完全一致时，动作才会执行。任何不匹配或顺序错误的调用都会被立即拒绝。

这种设计确保了即使 LLM 被劫持以提出恶意操作，该操作也无法在不匹配经由哈希链加密签名的指令流的情况下得以执行。

核心贡献

严格的权威拆分： 论文形式化地实现了一种分离：神经组件解释意图并起草计划，而确定性符号组件负责认证、调度、验证和执行。没有任何神经输出可以在通过符号闸门之前触发密钥访问或特权工具分发。
状态化指令认证： 一种新颖的方法，用户仅对工作表头部签名，而通过哈希链式数据块来绑定步骤顺序和参数。阶段 B 强制要求智能体工具调用与释放的指令块完全相等。
向后兼容的原型： 作者实现了一个能够与标准 PKCS#11 类型后端交互的原型。
实证评估： NCS 在 AgentDojo（一个自定义的参数劫持基准测试 InjecAgent-ArgHijack）以及 OpenPromptInjection 数据集上进行了评估。

结果

评估表明，NCS 在保持效用的同时有效地缓解了安全风险：

攻击成功率 (ASR)： 在面对直接和间接提示词注入以及参数劫持攻击时，NCS 将未经授权工具执行的攻击成功率降低到了接近于零（在大多数模型和工具上为 0.0%）。
参数劫持 (Argument Hijacking)： 在自定义基准测试中，基准模型表现出高度脆弱性（例如，GPT-4o-mini 的 ASR 为 100%）。NCS-Full 在所有测试的模型和控制工具（如 BankManagerPayBill, TransferFunds 等）上均将 ASR 降至 0.0%。
效用保留： NCS 保留了“部分效用” ( $U^\partial$ )，允许良性步骤在受到攻击时仍能完成。例如，在 DeepSeek-Chat 上，NCS-Full 下的 $U^\partial$ 达到了 94.4%。
开销： 加密开销微乎其微。全流验证（签名 + 哈希链）的耗时约为 1.2 ms (p50)，比单次 LLM 推理轮次小几个数量级。
与基准对比： 不同于以牺牲效用为代价或在格式合规性胁迫下仍显脆弱的统计防御手段（如 FATH, Spotlighting），NCS 提供了确定性的保证，且不会显著降低良性任务的完成率。

意义与主张

论文声称 NCS 将智能体安全的研究范式从询问“模型的意图是否合规？”转变为“提议的分发是否匹配经过加密授权的步骤？”

主动治理： NCS 将加密服务从被动执行引擎演进为主动的运行时治理平面，负责治理何时以及在何种条件下释放敏感操作。
确定性保证： 通过将执行锚定在离线签名、哈希链式的指令流上，NCS 提供了确定性的、故障关闭的安全保障，能够抵御 LLM 推理的概率性本质和对抗性提示词注入。
互补性： 作者强调 NCS 是现有信息流控制 (IFC) 和权限控制框架的补充而非替代品。IFC 约束通用的数据流边界，而 NCS 则强制执行加密和步骤绑定的参数完整性。
局限性： 当前的实现侧重于签名验证和哈希处理；支持加密或阈值签名被列为未来的工作方向。此外，如果涉及的是非控制工具调用的自然语言输出泄露（例如文本生成），NCS 并不具备过滤功能，这是在较弱的骨干模型上可见的一个局限性。

总之，NCS 通过将意图解释与执行权威解耦，为保障智能体工作流提供了一条切实可行的路径，确保即使智能体的推理过程被劫持，其执行过程仍受限于经过加密验证且获得授权的步骤。