💻 computer science

Safety Invariants for Agents Orchestrating Irreversible State Transitions: A Four-Dimensional Formalism Evaluated on Public Ledgers

本文引入了一种四维形式化方法和七个派生的安全不变式，旨在为在公共账本上执行不可逆状态转换的自主智能体保证“执行保真度”，确保实现的效应要么为空，要么与用户呈现的转换完全匹配，该框架经经验验证，在对抗性设置下较标准基准显著提高了安全性。

原作者： Zhaoming Yin

发布于 2026-08-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Zhaoming Yin

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在给一个非常聪明但有点丢三落四的机器人管家列一份家务清单。你对它说：“请把我的零花钱从我的存钱罐转移到我的储蓄罐里。”在计算机科学的世界里，这就是自主智能体（autonomous agents）的领域：这些程序利用人工智能来做出决策并自主采取行动。通常，这些智能体擅长回答问题或写故事，但它们才刚刚开始学习如何触及现实世界——比如移动资金、保存文件或打开灯光。问题在于，有些操作是不可逆的（irreversible）。一旦你把钱转给了陌生人或者删除了一个文件，你就无法简单地按下“撤销”键。如果机器人误解了你的指令，或者网络出现了故障，你可能会损失一切。这篇论文探讨了一个令人胆战心惊的问题：我们如何确保机器人不会在试图帮助你的过程中，不小心烧掉你的钱？

这篇论文的作者正在为这些数字管家构建一套安全系统，特别是在区块链（资产和资金存在的公共账本）的世界里。他们意识到现有的安全检查过于模糊。与其仅仅寄希望于机器人“做对了”，他们创建了一套严格的数学规则手册。他们证明了，虽然我们无法强迫机器人完美理解人类的意图（因为语言是混乱的），但我们可以保证机器人要么完全不做任何事，要么完全按照它承诺的那样去做，且仅执行一次。他们称之为“执行忠实度（execution fidelity）”。把它想象成一份神奇的合同：如果机器人说它要移动 10 美元，它要么移动正好 10 美元，要么移动 0 美元。它不能移动 100 美元，不能移动两次 10 美元，也不能把 10 美元转给错误的人。如果机器人感到困惑，系统会强制它停止并请求帮助，而不是靠猜测并可能引发灾难。

四维地图

为了使这种保证成为可能，作者发明了一种观察数字钱包的新方法。他们不再仅仅思考“我有多少钱”，而是将每一次交易都映射到一个四维网格上。想象一个巨大的电子表格，每一行都是你资金的一个特定状态，由四个坐标定义：

钱包（Wallet）： 哪组密钥（你的身份）拥有这笔钱。
链（Chain）： 资金所在的数字高速公路（如以太坊、比特币或 Solana）。
地址（Address）： 该高速公路上的特定邮箱。
协议（Protocol）： 特定类型的资产或游戏（如 USDC、跨链桥代币或质押衍生品）。

论文认为，除非你知道这四个坐标，否则你无法安全地移动资金。如果你只知道其中三个，你可能会不小心把你的比特币发送到一个在以太坊链上并不存在的比特币地址，或者发送到了错误的钱包。通过将交易视为在 4D 网格上的精确移动，系统可以以数学上的确定性检查“执行前”和“执行后”的状态。

七条安全规则（不变性）

这篇论文的核心是一套七条安全规则（称为不变性/invariants）。这些规则不仅仅是建议；它们是硬编码的闸门，如果规则未满足，就会阻止机器人行动。以下是它们在日常场景中的运作方式：

“展示给我看”闸门： 在机器人触碰你的钱之前，它必须向你展示它计划进行的精确操作预览。你（或一个严格的自动化检查）必须对那个特定的预览说“是”。机器人不能只是说“我正在做”，然后却做了别的事情。
“检查余额”闸门： 在机器人签署交易之前，它必须检查区块链上的真实余额，而不是缓存的或旧的数据。如果钱不在那里，机器人就会停止。这防止了机器人尝试花费一秒钟前已经消失的钱。
“等待观察”规则： 在机器人发送交易后，如果它还无法在区块链上看到结果，它不会立即宣布“成功！”。如果互联网很慢或区块链很忙，机器人会说“我不确定”，而不是“完成了！”。这防止了机器人因为没有得到即时回复而恐慌并尝试再次发送资金。
“无幽灵成功”规则： 如果机器人得到了收据（交易 ID），但区块链实际上从未记录该操作，它必须承认失败。它拒绝在钱还在你口袋里时撒谎说“已发送！”。
“身份标识”规则： 如果机器人在代表你行事（例如自动化储蓄机器人），它必须佩戴一个标明其权限范围的数字身份标识。如果标识显示“仅限转账”，那么即使机器人被复杂的提示词搞糊涂了，它也不能进行“兑换”或“跨链”操作。
“重试前验证”规则： 如果机器人认为某次操作失败了，它不能立即重试。它必须首先去检查区块链，以证明该操作确实没有发生。如果操作其实已经发生了（只是机器人不知道），机器人被禁止进行第二次发送。这防止了因意外导致的“双重支付”你的钱。
“单次消息”规则： 如果互联网意外发送了两次相同的请求（例如连击两次），系统会识别出它是重复的并忽略第二次。这确保了即使网络出现故障，机器人也只会执行一次。

他们的发现（以及没能做到的）

作者使用一个“反派”模拟器测试了这些规则，该模拟器试图诱导机器人犯错。他们使用了一个包含 60 个棘手场景 的数据集，并针对四种不同的 AI 模型进行了测试。

重大胜利： 在两个急于行动的 AI 模型（称为“写积极型/write-aggressive”）上，加入这七条安全规则将成功率提高了约 74 个百分点。没有防护的机器人（没有规则）几乎在所有情况下都失败了，而有了防护的机器人则在大多数情况下都能成功。
注意事项： 在一个天生谨慎、不愿行动的 AI 模型上，安全规则仅增加了约 3 个百分点 的提升。这让作者学到了一个至关重要的教训：智能体的安全性在很大程度上取决于其底层的 AI “大脑”。安全层无法修复一个过于急躁的大脑，也不需要去修复一个已经足够谨慎的大脑。
现实世界证明： 该系统不仅仅是一个理论。作者在现实世界中部署了它，并追踪了跨越 8 条不同区块链 的 108 次实际写入操作。他们观察到了现实世界中的失败案例（例如由于互联网“撒谎”导致交易未生效的“幽灵成功”现象），并展示了他们的规则是如何捕捉到这些问题的。例如，他们发现了一个案例：机器人差点因为误以为一笔交易失败了（而实际上已经成功了）而导致双重支付 200 美元；安全规则拦截了第二次尝试。

魔力的极限

论文非常诚实地说明了它不能做什么。它明确指出，它无法保证机器人理解了你的意思。如果你说“把我的钱全部发往月球”，而机器人把钱发给了一个骗子，该系统仍会完美运行：它会准确地按照你要求的金额，且仅执行一次。安全系统确保机器人是一个忠实的执行者，而不是一个明智的顾问。它确保机器人不会在执行过程中犯下技术性错误，但它并不能阻止机器人去执行一个糟糕的指令。

作者还承认，如果互联网连接长时间中断，或者 AI 模型本身改变了其行为方式（超出了系统的预期），其安全保证就会失效。他们证明了这七条规则足以阻止机器人犯下技术性错误（如发送两次或发送到错误地址），但“这是否是一个好主意”的最终责任仍然落在人类身上。

简而言之，这篇论文并没有解决“如何让机器人像人类一样思考”的问题。相反，它解决了“如何让机器人像个机器人一样行动，但在执行过程中绝不出错”的问题。通过将混乱的数字货币世界转化为精确的四维地图，并建立七道坚不可摧的闸门，他们创造了一个系统：在这个系统中，唯一的错误可能就是你最初提出了一个糟糕的要求。而作者认为，这已经是我们所能期待的最佳安全性了。

技术摘要：编排不可逆状态转换之智能体的安全不变性

问题陈述

基于概率规划器（LLM）的自主智能体正日益承担着对外部系统产生不可逆影响的任务，例如在公共账本上转移资金、向持久化存储写入数据或驱动硬件执行动作。现有的框架（如 ReAct、Reflexion、MCP）主要针对基准测试中的任务成功率进行优化，但在很大程度上忽略了不可逆副作用的安全性。

核心挑战在于，运行时层无法确定生成的转换是否忠实地映射了自然语言用户的意图（即“意图映射”问题）。然而，本文认为，虽然意图映射尚未解决，但该意图的执行是可以受到严格控制的。若缺乏此类控制，智能体会遭遇特定的失效模式：

RPC 层级： “幻象成功”（RPC 返回的哈希值随后被撤回）或“幻象失败”（合法的交易已落地，但由于验证窗口过短而报告为失败）。
LLM 层级： “陈旧上下文漂移”，即智能体在地面真值（ground truth）发生变化后，仍重复陈旧的结论（例如：“用户没有账户”）。
交易所/API 层级： “文档原子性漂移”，即被指定为原子的操作（如“取消并替换”）在遭到拒绝时仅部分执行，导致用户处于不安全状态。
运维层级： 重复交付以及钱包选择错误导致的非预期双花（double-spends）。

方法论与形式化

四维状态空间

本文将钱包操作形式化为四维空间 $S = W \times C \times A \times P$ 中的状态转换：

$W$ (Wallet/钱包)： 控制资金的助记词/种子。
$C$ (Chain/链)： 区块链网络。
$A$ (Address/地址)： 该链上的特定地址。
$P$ (Protocol/协议)： 特定代币、合约或链下账户（例如，Arbitrum 上的 USDC 与 Hyperliquid 上的 perp-USDC）。

转换 $\tau$ 是一个修改一组有界四元组余额的偏函数。至关重要的是，该形式化将 钱包 ( $W$ ) 视为单个转换中的固定坐标。这使得系统能够区分“资金不足”（有效的状态检查失败）与“选错钱包”（智能体选择了错误的 $W$ 这一致命错误），而这种区别在低维模型中会丢失。

执行保真度 (Execution Fidelity)

本文定义执行保真度为：对于任何会话 $\sigma$ ，实现的账本效应 $real(\sigma)$ 必须满足以下条件之一：

无结果 ( $\emptyset$ )；或
完全等于 向用户呈现的转换 $\tau_p$ ，且仅执行一次。

定理明确并未声称 $\tau_p$ 与用户的自然语言意图相匹配。相反，它将“智能体是否理解了？”这一无界的语义问题，简化为一个有界的、可判定的检查：“四坐标元组和金额是否与预览内容一致？”

七个安全不变性

通过对实现保真度条件（防止未呈现执行、重复执行及衍生但不同的执行）的案例分析，系统强制执行了七个不变性：

确认门控 (Confirm Gate，执行器本地)： 在记录了针对渲染转换元组的显式确认之前，不得派生任何签名密钥。这强制要求系统在执行不可逆步骤前，必须提交到一个单一的 $S$ 点。
前置状态充分性 (Pre-state Sufficiency，执行器本地)： 在签名前立即进行地面真值余额检查（绕过最终一致性缓存），以确保转换在广播时是可应用的。
后置状态可观测性 (Post-state Observability，执行器本地)： 如果广播结果无法在限定窗口内被观测到，系统应报告“不确定性”而非“失败”，以防止触发错误的重试。
无幻象成功 (No Phantom Success，执行器本地)： 除非其在链上的存在已被索引器或 RPC 验证，否则交易永远不会被报告为成功。
作用域委托 (Scoped Delegation，跨层级)： 非人类调用者（Avatar/化身）在显式的作用域集（例如 {transfer}）下运行，该集合由委托令牌导出。执行器仅在调用涵盖所需转换的作用域时才允许调用，从而实现了身份验证与授权的解耦。
计划级重试安全 (Plan-level Retry Safety，计划层级)： 在通过地面真值状态积极验证该转换的影响确实“不存在”之前，Avatar 不得针对报告的失败/不确定性重新发布不可逆转换。
幂等意图接收器 (Idempotent Intent Receiver，HTTP 接收器)： 到达“至少一次”通道的外部意图通过发送者 ID 和请求字节进行去重，确保单一的用户意图产生单一的转换元组。

核心贡献

风险的正式化缩减： 本文证明，在允许规划器映射错误、结果歧义和重试的故障模型下，七个不变性将所有残余风险限制在“意图映射”这一个谓词内。所有其他失效模式都会被迫产生“无效果”的结果。
不变性的推导： 不同于以往通过经验枚举安全规则的做法，这些不变性是根据执行保真度的定义逻辑推导出来的，确保了相对于定义的故障模型的完备性。
多层架构： 本文描述了一个名为 cryptitalk-wallet 的部署系统，包含 Avatar 层（代表用户行动的持久化智能体）和 Executor 层（钱包服务）。该架构从执行器的角度来看，将 Avatar 和人类视为可互换的调用者，并通过作用域委托令牌进行安全保障。
关于评估的方法论论点： 本文认为安全评估高度依赖于“底层模型”（Backing Model，即 LLM）。安全栈的价值是其背后模型固有侵略性的函数；仅在单一模型上评估安全栈是“近乎无法证伪的”。

实验结果

受控对抗测试集 ( $N=60$ )

系统针对识别出的失效类别，在四种不同的底层模型上，针对一个标记的对抗性提示集进行了评估：

写操作激进型模型 (Claude, MiniMax)： 相比于基准 ReAct 方法（例如 Claude 为 81.7% vs 10.2%），完整的不变性栈将通过率提升了约 74 个百分点。
写操作谨慎型模型 (Gemini)： 该栈仅提升了约 3 个百分点（60.0% vs 56.7%），因为该模型本身会在模糊提示下拒绝使用写入工具。
消融实验： 禁用代码门禁不变性（I1, I3, I5, I6, I7）会导致特定失效类别的通过率降至接近于零，证实了每个门禁都是承载功能的关键。工具层级的消布（I2, I4）影响较小，因为智能体的推理过程有时会吸收单个工具的移除。

生产环境部署

该系统已在 8 条链和 8 种转换原语上完成了 108 次生产环境写操作。

失效分类学： 部署记录验证了失效分类学的准确性，观察到了针对“幻象成功”、“预览门禁绕过”、“选错钱包”和“重复 Webhook 交付”的事件。
Avatar 舰队： 在 87 次 DCA（定投）运行中，32% 成功，32% 转交给人类处理，24% 出错（正确上报），11% 被中止。至关重要的是，在部署 Invariant-6 后，未发生任何重复的链上转换，这与部署前的案例研究形成对比——当时一次“幻象失败”导致了 400 USDT 的实际双花。

意义与主张

本文声称，即使在意图映射仍未解决的情况下，执行保达度对于在不可逆状态上行动的自主智能体而言，是一个可处理的安全属性。通过将状态空间形式化并从第一性原理推导不变性，该系统确保了如果智能体采取行动，其行为将完全符合预览内容，且仅执行一次。

其意义在于：

缩减无界风险： 将“智能体是否理解了？”这一无限问题转化为一个有限的、可检查的四坐标元组对比。
实际部署： 证明了这些形式化保证可以在处理真实资金的多链钱包系统中实现。
评估严谨性： 强调了安全层无法脱离其底层 LLM 的行为进行独立评估，主张将底层模型作为一等实验变量。

本文明确承认了局限性：其保证止步于“无人看管情况”（即作用域检查取代人工确认时）、重复抑制是时间受限的（ $\Delta$ ）、且系统不提供多步计划的原子性（仅提供前缀一致性）。它并不声称解决了 MEV、智能合约漏洞或私钥被盗问题，而是专注于智能体编排层面的安全性。