💻 computer science

HALO: Heterogeneous Admission through Localized Obligations for Safe Agentic Execution

本文介绍了 HALO，这是一种运行时协议，它通过基于局部义务和在调度前进行重检动作，从异构 AI 响应中选择性地准入受支持的组件，从而确保智能体执行的安全，其性能优于全响应拒绝策略，能够在防止陈旧或不安全操作的同时保留有用的功能。

原作者： Taewoo Park, Kyeonghyun Yoo, Kiseok Kim, Seunghyun Yoo, Hwangnam Kim

发布于 2026-07-31

📖 1 分钟阅读☕ 轻松阅读

原作者： Taewoo Park, Kyeonghyun Yoo, Kiseok Kim, Seunghyun Yoo, Hwangnam Kim

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是飞船的船长，但你并不是亲自驾驶飞船，而是由一个超级聪明的机器人副驾驶来协助。这个机器人是一个“AI智能体”，它不仅能和你交谈，还能真正地“做事”：它可以点火推进器、打开气闸舱，或者扫描小行星。在过去，这些机器人只能提供文本建议，比如“燃料不足”。但现在，它们可以一次性发送一袋混合在一起的指令：一封给船员的友好便条、一份关于燃料的报告、一个向左转的命令，以及一个取决于该转向动作的状态更新。

这里有一个棘手的问题：宇宙是混乱且瞬息万变的。就在机器人正在输入其庞大且复杂的这条消息时，燃料可能已经耗尽，地图可能已经更新，或者气闸舱可能被其他人锁上了。如果机器人将它的整条消息作为一个巨大的数据包发送，而其中一部分现在变得危险了，那么你可能不得不把整个包都扔掉。这样做会造成浪费，因为那封友好的便条和燃料报告可能仍然是完全安全的。但如果你试图只挑选出安全的部分，你可能会不小心发送一个依赖于已失效信息的命令。这就像是在地面震动时试图盖房子：你需要一种方法，既能保留那些依然稳固的砖块，又能扔掉那些已经变成尘土的砖块，而不至于让整个建筑坍塌。

这正是名为 HALO（异构准入与局部义务，Heterogeneous Admission through Localized Obligations）的新系统试图解决的问题。把 HALO 想象成一个超级警觉的保安和一名在飞船气闸处严格把关的门卫在共同工作。当机器人副驾驶发送它的混合指令包时，HALO 不仅仅是看着整个包裹并说“通过”或“拒绝”。相反，它会将包裹拆解开来。它会逐一检查每一部分是否符合当前的现实情况。如果“向左转”的命令是基于一张刚刚发生变化的地图，HALO 会拦截这个特定的命令。但它会让“燃料报告”和“船员便条”通过，因为它们并不关心地图的变化。

然而，HALO 比一个简单的过滤器要聪明得多。它知道有些命令是相互依赖的。如果“状态更新”需要先执行“向左转”命令，而 HALO 拦截了转向动作，那么它也会同时拦截状态更新。它保留有效的部件，移除损坏的部分，确保没有任何东西在失去支撑的情况下悬空运行。

但真正的魔力发生在指令实际发送到飞船之前的最后一刻。HALO 会进行一次分秒不差的“重新检查”。它会问：“在这一毫秒内，这个确切的命令是否仍然安全？”如果答案是否定的，它就会拦截。而且最重要的规则是：如果一个命令被拦截了，它之后不能被简单地“解封”。如果机器人想要重试，它必须带着全新的、包含最新信息的指令和一份新的许可单重新回来。这防止了机器人无意中发送一个它一直持有的过时的、危险的指令。

研究人员在一个带有无人机（UAV）的模拟世界中测试了这个系统，发现它运行得非常完美。在一次测试中，机器人的消息包含 248 个不同的部分。一个拒绝整个消息的标准系统保留了零个部分。一个独立检查各部分的系统保留了全部 248 个部分，但却意外地让一些危险且过时的命令通过了。而 HALO 则保留了所有 248 个有效部分，拦截了每一个危险命令，并成功让机器人带着新鲜、安全的指令再次尝试。他们进行了 96 次准入检查和 20 次协议规则测试，HALO 通过了每一次。即使他们在模拟环境中操控真实的无人机，HALO 也拦截了每一个“陈旧”（过时）的命令，只允许新鲜、安全的指令飞行。

简而言之，HALO 是一种让 AI 智能体安全执行任务的新方法。它将每一条指令视为一个独立的小碎片，检查该碎片在此时此刻是否仍然有效，并确保如果出现问题，机器人必须使用新信息重新开始。它就像是一个安全网，捕捉坏主意，同时让好主意飞翔，确保随着 AI 变得越来越强大、能做的事情越来越多，它不会意外地撞毁飞船。

技术摘要：HALO —— 基于局部义务的异构准入，用于安全的智能体执行

问题陈述

智能体 AI 系统（结合了大语言模型 LLM 与外部工具及动作）的兴起，引入了一个被称为**运行时支持漂移（runtime support drift）**的关键安全挑战。与静态文本响应不同，智能体响应通常包含异构组件（例如：操作员通知、传感器报告、飞行动作和状态消息），且这些组件之间存在相互依赖关系。

由于 LLM 需要时间生成响应，在响应生成与执行之间，外部系统状态（传感器数据、授权、软件状态、物理环境）可能会发生变化。

困境： 因单个过时组件而拒绝整个响应会丢弃有效且有用的信息。相反，独立检查各组件则可能导致在未满足前提条件（如执行状态消息前未执行其前提动作）的情况下执行依赖动作，或基于陈旧数据执行动作。
差距： 现有方法要么控制生成内容（护栏/Guardrails），要么管理广泛的工作流（SAFEFLOW），或者提供可编程的操作检查（AgentSpec）。没有一种方法专门解决在单次异构响应中保留有效组件、同时拦截无效组件，并在分发前立即进行精确动作重验证的运行时协议。

方法论：HALO 协议

HALO 是一个旨在管理单个结构化智能体响应中组件的准入、分发与恢复的运行时协议。它遵循这样一个原则：组件应被视为具有声明前提条件的独立实体，而非一个单体块。

核心组件

结构化响应与图 ( $bR, G_R$ )： 智能体返回一个包含带有可选前提引用类型的结构化响应。HALO 将这些响应与受信任的领域目录 ( $K$ ) 进行校验，以形成依赖图 ( $G_R$ )。
组件级准入：
- 支持足迹 ( $\pi_e$ )： HALO 识别与每个组件相关的特定状态字段。
- 依赖闭包： HALO 计算当前被支持且其声明的前提条件也得到支持的最大组件子集 ( $A^*_t$ )。这是通过最大不动点迭代实现的，即移除不受支持的组件及其依赖项。
- 结果： 保留有效组件；拦截无效组件。
精确动作绑定与最终分发门控：
- 保留并不等于授权。在动作跨越受控接口（适配器 $G$ ）之前，HALO 执行**最终分发门控（Final Dispatch Gate）**检查。
- 绑定 ( $b_e$ )： 一个动作实例被绑定到一个规范摘要（canonical digest）和一个“单次分发令牌（one-dispatch token）”。
- 重验证： 在分发前，门控验证该精确的保留动作是否仍受支持、前提条件是否就绪、绑定是否未变以及令牌是否未使用。
局部义务与新鲜恢复：
- 如果动作被拦截，HALO 会创建一个局部义务 ( $o_e$ )，记录拒绝原因以及符合替换条件的组件特定范围 ( $S(o_e)$ )。
- 新鲜重准入： 被拦截的动作不能利用旧的授权进行复活。新的候选对象必须经过新鲜的准入流程，携带当前的证据、新的生成内容、新的令牌和新的序列。只有属于该义务范围内的组件才能接收这些新鲜的候选对象。

信任模型

HALO 假设存在一个受信任的领域目录 ( $K$ )、忠实的态提供者、一个强制执行的适配器 ( $G$ ) 以及一个受信任的授权账本。它不信任智能体返回的负载或前提引用，而是根据目录进行验证。

核心贡献

组件级准入模型： 为运行时支持漂移下的异构响应建立了一个形式化模型，区分了部分保留与全响应拒绝。
运行时流程： 一个结合了依赖一致性保留、精确分发绑定和范围化新鲜恢复的协议。
分层证据： 通过结构化响应重放、协议一致性测试以及物理无人机（PX4/Gazebo/Crazyflie）执行进行验证。

评估结果

论文从三个维度对 HALO 进行了评估：

1. 机制必要性（结构化响应重放）

设置： 将 HALO-Full 与简化变体（WholeResponse、IndependentFilter）以及基准方案（AgentSpec-Global、AgentSpec-Scoped）进行对比。
发现：
- WholeResponse： 保留了 0/248 个受支持的组件（过度拦截）。
- IndependentFilter： 保留了 248/248 个组件，但允许了 70/70 个“孤儿泄漏”（缺乏前提条件的依赖组件）。
- HALO-Admission： 保留了 248/248 个组件，但因缺乏最终检查而漏掉了 72/72 个陈旧的分发。
- HALO-Full： 保留了 248/248 个受支持的组件，拦截了 72/72 个陈旧历元、72/72 个错误边界和 70/70 个孤儿。它匹配了所有 96 个准入预期并通过了 20 项协议测试。

2. 协议一致性

发现： 实现方案在 135 个穷举生成的图（最多 16 个组件）、45 个独立检查的图（32 个组件）以及 10,000 个注入故障的调度中，均匹配了预期的结果。它正确地强制执行了依赖闭包、令牌非重用和恢复转换。

3. 物理执行（UAV/PX4/Gazebo）

设置： 使用 Crazyflie 和 PX4/Gazebo 进行十次冷启动会话。
发现：
- HALO 拦截了所有测试到的陈旧路径（观察到 0 个匹配的陈旧设定值）。
- 它在保留不受影响组件（如距离报告）的同时，拦截了陈旧动作（如飞行指令）。
- 所有 10/10 个新鲜恢复候选对象均成功完成了准入与分发。
- 对于被拒绝的动作，未观察到陈旧的设定值。

4. 运行时成本

发现： 协议开销极低。
- 准入成本（最多 32 个组件）：中位数 0.333 ms。
- 最终门控成本（最多 16 个依赖）：中位数 0.035 ms。
- 扩展性随组件和依赖数量呈线性增长 ( $O(|V| + |D_\phi|)$ )。

重要性与主张

本文将 HALO 定位为一种可重用的类型化组件运行时协议，而非一种新的谓词语言、新鲜度度量或授权原语，它位于结构化响应与受控外部动作之间。

独特的运行时层： HALO 确立了异构组件准入作为一个独立的层，将“哪些组件保持有效”的决策与“精确动作是否可以跨越接口”的决策分离。
安全保证： 在其信任假设下，HALO 保证：
- 依赖相干性： 没有依赖项会在其前提条件缺失的情况下被保留。
- 精确实例绑定： 动作被绑定到特定的负载和支持状态，防止重放或篡改。
- 单次分发强制执行： 令牌确保动作至多分发一次。
- 新鲜范围化恢复： 被拦截的组件只能作为带有当前证据的新鲜候选对象返回，从而防止陈旧授权的复活。
边界范围： 作者明确指出，HALO 的保证是边界范围内的。它不保证智能体意图的语义正确性，不处理未声明的依赖，也不保证下游物理结果（如碰撞规避），但它确保了接口跨越过程受当前、一致且经过授权的条件控制。

这项工作表明，随着 LLM 向能够作用于外部系统的智能体演进，需要一种组件级的运行时范式来安全地管理具有效应的响应。