技术摘要：单一闸口不足以应对：为智能体 AI 构建有状态的前置动作控制

1. 问题陈述

智能体 AI 系统通常需要多个前置动作控制（闸口）来同时管理具有后果性的动作。这些控制通常针对不同的关注点：权限（许可/义务）、资源（成本/碳预算）以及证据（数据有效性/元数据）。虽然先前的研究已经建立了单个闸口（SARC、Green SARC、SARC-DQ）并研究了执行监控器的组合，但当这些控制是异构且有状态的时，仍存在关键的空白。

核心问题在于由修复引起的控制耦合（remediation-induced control coupling）。在许多系统中，一个控制不仅仅是拦截动作；它还会修复动作（例如，替换损坏的数据值或缩减资源请求）。当控制 A 修复一个动作时，它改变了该动作的上下文、证据或派生值（如订单金额或预测支出）。如果控制 B 在控制 A 的修复之前评估了原始动作，那么控制 B 的判断可能会失效。

这造成了三个具体的挑战：

1. 失效（Invalidation）： 单次评估（并行或无重评估的串行评估）会导致执行不完备，即最终执行的动作违反了原本在修复前状态下已满足的闸口。
2. 非交换性（Non-Commutativity）： 当存在多个修复算子时（例如，证据替换和资源降级），其应用的顺序会改变最终结果。这种顺序不是实现细节，而是治理策略的语义属性。
3. 状态污染（State Contamination）： 基于当前的容许性将记录录入持久化治理缓冲区（例如，用于未来的替换），可能会将“未覆盖缺陷”（当前闸口谓词无法检测到的缺陷）传播到未来的信任状态中，从而损害未来的决策。

2. 方法论与形式化

本文使用确定性模型对这些问题进行了形式化处理，其中动作 $a$ 在上下文 $c(a)$ 中由一组闸口 $G_i$ 进行评估。每个闸口将输入映射到格 $R = \{admit, substitute, degrade, escalate, block\}$ 中的响应。

关键定义

• 由修复引起的控制耦合： 如果两个控制 $G_i$ 和 $G_j$ 存在耦合，则意味着 $G_i$ 应用的修复算子 $\rho_i$ 改变了 $G_j$ 所消耗的输入，使得 $G_j(a) \neq G_j(\rho_i(a))$。
• 单动作完备性（Per-Action Soundness）： 如果执行的动作 $a_{exec}$ 在执行时刻满足每一个闸口（基于现行状态），则系统是完备的。
• 非补偿性连接（Non-Compensatory Join）： 本文区分了约束满足（任何否决都会阻止执行）与补偿性聚合（某一领域的得分可以抵消另一领域的低分）。本文证明了对于硬性治理要求，加权加法聚合除非满足特定的阈值条件，否则无法保留否决权。

“修复并重评”协议（Remediate-and-Regate, RTR）

为了解决单次评估导致的不完备性，本文提出了一个**“修复并重评”（RTR）**协议：

1. 阶段 I： 评估证据闸口。如果发生替换，形成一个修复后的动作 $a' = \rho_{sub}(a)$ 并重新计算上下文 $c(a')$。如果存在资源闸口，它可能会对 $a'$ 进一步应用降路由算子 $\rho_{route}$，并再次重新计算上下文。
2. 阶段 II： 在最终的修复动作 $a_{exec}$ 及更新后的上下文上重新评估所有闸口（包括证据闸口）。
3. 连接（Join）： 使用非补偿性连接（例如 deny-overrides 或 min 逻辑）计算组合后的判定结果。

本文证明，在确定性、有界修复（单次）和幂等性（替换不会触发进一步替换）的假设下，该协议能保证单动作的完备性。

处理非交换性

本文展示了在人工制品中实现的两种特定修复算子——$\rho_{sub}$（证据替换）和 $\rho_{route}$（资源降级）——是不满足交换律的。

• 在一般情况下，$\rho_{route}(\rho_{sub}(a)) \neq \rho_{sub}(\rho_{route}(a))$。
• 有限模型检查器发现了具体的反例，即操作顺序的变化会改变最终结果。
• 结论： 修复顺序必须作为治理策略的一部分进行明确指定（例如，“证据闸口在前，资源闸口在后”），而不是留给实现层处理。本文指出这是这些特定算子的属性，并不声称对任意重写系统都成立。

状态污染及其缓解

本文识别了一种漏洞：即在没有完全覆盖的情况下，将“未覆盖缺陷”（闸口谓词无法检测的数据缺陷）录入受管缓冲区，并随后将其用于修复未来的动作。

• 机制： 一个被准入但有缺陷的值进入缓冲区 $\to$ 未来的动作替换了该缺陷值 $\to$ 缺陷传播。
• 缓解措施： 本文演示了两种策略：
  1. 隔离窗口（Quarantine Window）： 只有在连续 $N$ 次一致的准入后，写入才被视为可信。
  2. 滚动中位数-3（Rolling Median-of-3）： 使用近期数值的中位数来过滤异常值。
     注： 这些措施减少了暴露风险，但不能消除由于治理覆盖不全导致的态修复中的根本漏洞。

3. 主要贡献

1. 修复引起耦合的形式化： 本文定义了控制的修复如何使另一个控制的判断失效的条件，将研究从简单的监控组合提升到了语义对象的失效层面。
2. “修复并重评”的完备性： 它建立了一个协议，通过确保每个闸口都重新评估最终动作，在有界的幂等设置下恢复了完备性。
3. 特定修复算子的非交换性： 本文证明了人工制品中实现的两个特定修复算子（证据替换和资源降级）不满足交换律，使得操作顺序成为这些特定控制的语义要求。通过有限模型检查器验证，发现 86/243 个网格点（以及 150/200 个离网点）存在顺序改变结果的情况。本文明确指出，这种非交换性并不适用于任意的修复算子。
4. 治理状态污染： 本文展示了在缺乏完全覆盖的情况下，将记录录入持久状态会污染未来的修复，并展示了隔离和中位数滤波等措施虽能减少但不能消除此风险。
5. 线性聚合与否决语义： 本文给出了加权和聚合器何时能保留否决权的精确条件（引理）：当且仅当阈值 $\tau$ 不超过聚合器最大的“留一法”权重和时，被否决的配置才会被准入。这阐明了加法评分并非实现硬性治理中合取可行性语义的替代方案。
6. 统一证据集： 一种跨闸口保留完整血统（lineage）的机制，记录了修复前后的证据 ID 以及所使用的特定缓冲区写入，确保了身份承诺，而非声称实现了字节级的重建。

4. 实验结果

本文通过一个由三个未经修改的 Apache 2.0 引擎（SARC、Green SARC、SARC-DQ）组成的确定性人工制品（suite-demo）在 30 个预注册种子和两个工作流（每日和每周）下验证了这些机制。

• 完备性 (CH1)： 在“修复并重评”协议下，在所有 30 个种子中，执行的动作在执行时均未违反任何闸口。
• 单次评估的不完备性 (CH2)： 在构建的情景（S4）中，单次评估在 30 个种子中平均偏离了完备协议 207.5 次决策，通常表现为在修复后违反了闸口的动作被准入。
• 非交换性 (CH7)： 模型检查器确认了这两个特定的修复算子不满足交换律，验证了对这些算子进行固定排序的必要性。
• 覆盖率诚实性 (CH4)： 组合系统检测到的类别的并集恰好等于成员闸口所覆盖的类别；组合并未“制造”出新的检测覆盖率。
• 缓冲区污染 (CH6)： 在“每日”工作流（W1）中，普通缓冲区产生了平均 14.70 次中毒替换。隔离和中位数-3 缓解措施均严格降低了这一计数。在“每周”工作流（W2）中，基准中毒率较低（1.83），虽然缓解措施降低了计数，但由于样本量较小，有时会导致基准事件为零，因此无法在所有案例中满足严格的逐种子减少的统计要求。
• 补偿安全性 (CH5)： 通过经验和详尽的网格检查确认，如果阈值未经过仔细校准，加法加权聚合可能会准入被否决的配置（例如，拦截特定缺陷），而 min-join 语义则严格保留否决权。

5. 意义与声明

本文的意义在于为智能体 AI 中的有状态前置动作控制建立了有界组合语义。其核心观点如下：

• 修复改变语义： 一旦允许控制转换动作，先前的判断就取决于所评估对象的版本。正确的治理需要针对失效和重新计算依赖判断的明确语义。
• 顺序至关重要： 当存在多个修复算子时，其排序是治理策略的一部分，而非实现细节。
• 状态需要信任策略： 进入持久化治理状态与未来的信任是两回事；被准入但未被覆盖的缺陷会污染未来的修复。

范围与局限性：
本文明确限制了其声明范围：

• 这是一个机制演示，而非生产环境下的普遍性研究。
• 它建立的是当前单次、幂等设置下的完备性。它并不声称解决了任意非幂等修复器或循环依赖下的通用收敛、终止或合流问题。
• 它并不声称加权聚合本质上是不安全的，而是指出在没有特定阈值约束的情况下，它不适合实现硬性否决语义。
• 缓解缓冲区污染的做法只能降低风险，无法消除由于在不完全覆盖下进行有状态修复而产生的根本漏洞。
• 关于非交换性的演示仅适用于目前实现的两个算子（证据替换和资源降级），不能在不重新运行检查器的情况下推广到任意修复算子。

这项工作为在智能体中组合异构、有状态的控制提供了严谨的基础，强调了重新评估、显式排序以及严格区分“准入”与“信任”的必要性。