💻 计算机科学

Verifiable Delegated Authority for LLM Agents in Banking: A Formal Architecture, Capability Protocol, and Audit Guarantees

本文提出了一种用于银行业安全大语言模型（LLM）智能体的形式化架构，该架构通过衰减能力令牌（attenuated capability tokens）和确定性策略引擎将授权与模型解耦，从而针对对抗性参与者提供权威限制、有限金融损失和审计完整性的可证明保证。

原作者： Neeraj Aggarwal

发布于 2026-10-20

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Neeraj Aggarwal

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在金融业这个高风险的世界里，信任传统上建立在僵化的规则和可预测的行为者之上。几十年来，银行通过确保每一项操作都来自已知的自然人或可靠的预设计算机服务，来守护其数字大门。这些系统运行在一个简单的前提下：如果请求由正确的人签署并遵循了正确的步骤，那么它就是安全的。然而，一种新型的员工已经登上了舞台：人工智能智能体（AI agent）。与人类或标准计算机程序不同，这些智能体由大语言模型驱动，能够处理如电子邮件或报告等复杂的非结构化信息。它们可以自主决定下一步该采取什么行动。这种灵活性使它们在处理繁琐的后台任务时极其有用，但也引入了深刻的不确定性。因为即使面对相同的信息，这些智能体并不总是做出相同的决策，因此那些假设行为者是可预测的旧安全模型已不再适用。如果给予一个 AI 智能体移动资金的钥匙，银行如何确保它不会意外或恶意地转移不该转移的资金？

Infosys 的研究员 Neeraj Aggarwal 正针对这一问题提出了一种专门为银行业设计的全新框架。其核心思想是停止试图让 AI 本身变得完美安全，而是围绕它构建一个安全的“笼子”。在这种新架构中，AI 不被视为受信任的决策者，而被视为不受信任的“提议者”（proposer）。它被允许提出行动建议，但绝不允许直接执行这些建议。相反，每一项建议都必须通过一个独立的、确定性的策略引擎进行审核，该引擎充当严格的守门人。该引擎会根据一套规则和一个特定的“能力令牌”（capability token）来检查建议，该令牌精确限制了智能体能做的具体事项、能移动的资金金额以及操作时长。该系统的设计确保了即使 AI 被恶意提示词欺骗或被错误数据误导，也无法突破其分配的边界。研究人员从数学上证明，在这种设计下，智能体永远无法提升自身的权限去执行未经授权的操作，并且他们计算出了在没有人工干预的情况下，系统遭受攻击时可能产生的精确损失上限。

为了确保一切环节均准确无误，研究人员还构建了一个可验证证据系统。智能体采取的每一个步骤——从最初的想法到最终的执行——都会被记录在一个安全的、不可篡改的日志中，这些记录像链条一样被签名并相互链接。这使得审计员甚至另一台计算机可以在数月后查看记录，并验证智能体是否遵守了规则，而无需查看 AI 的内部思维过程或重新运行该 AI。该系统还引入了一种利用多个 AI 智能体互相审查工作的方法。研究人员发现，仅仅增加审查者数量并不能保证安全性；相反，关键在于审查者必须具备“多样性”，即它们应基于不同的模型或经过不同的训练。如果所有的审查者都拥有相同的盲点，它们都会犯同样的错误。通过量化这种风险，系统可以决定第二次意见是否真的值得投入成本，以及何时必须停止并寻求人类的帮助。

团队通过构建一个工作原型并让其经历数千次模拟攻击，对这些想法进行了测试。在这些测试中，一个对抗性计算机（作为恶意智能体的替代品，其运行过程中不涉及真实的语言模型）试图欺骗系统执行未经授权的操作，例如伪造令牌、重放旧命令或篡改日志。在 70 万次尝试中，系统成功拦截了每一次未经授权的执行。这些依赖合成数据并使用 HMAC-SHA256 来模拟真实数字签名的模拟实验证实，关于财务损失的数学限制是准确的；当攻击者试图将系统推向绝对极限时，实际损失与预测的最大值完全吻合，证明了安全网非常严密。测试还揭示了初始设计中的两个特定弱点：一个与令牌的有效时长有关，另一个关于回滚日志至先前状态的能力。最终的设计弥补了这些漏洞，确保即使攻击者成功窃取了令牌，该令牌也只能使用一次，且只能在极短的时间窗口内使用。

这种方法代表了我们在如何保障关键基础设施中智能系统安全方面的思维转变。与其寄希望于 AI 始终表现良好，不如假设它可能会出错，并构建一层与 AI 推理过程相分离的强制执行层。其结果是，AI 可以发挥其处理复杂信息和提出解决方案的能力，而银行则保留对最终行动的绝对控制权。研究人员证明，在银行环境中部署强大的自动化智能体是可能的，且不会产生不可审计的风险。通过将 AI 视为“提议者”并将执行层视为“执行者”，并通过保留每个决策的防篡改记录，银行可以开始以一种此前无法实现的安全性与问责水平来使用这些工具。这项工作目前仍是一个形式化模型和模拟实验，但它为将 AI 智能体从实验性工具转向受监管金融业务的核心领域提供了一条清晰且经过验证的路径。

技术摘要：面向银行领域 LLM 智能体的可验证委托授权机制

1. 问题陈述

将大语言模型（LLM）智能体集成到银行基础设施中引入了一个根本性的安全缺口。传统的 API 安全模型依赖于稳定的行为主体假设：要么是处于身份验证会话中的人类，要么是调用版本化 API 的确定性服务。LLM 智能体同时破坏了这两个假设，因为它们通过阅读非结构化上下文进行推理，其推理过程具有非确定性，且选择的操作序列在不同运行中可能会发生变化。

当这些智能体连接到涉及资金转移的系统时，这种非确定性产生了巨大的风险。现有的安全研究通常侧重于模型层面的提示词注入检测或过滤。然而，作者认为，对于受监管的银行业而言，权威的执行必须从模型内部转移到执行边界。核心挑战在于：如何提供形式化保证，确保作为一个不受信任的随机提议者（stochastic proposer）的智能体，无法超越其受托权限，同时确保第三方（审计员或监管机构）能够在不信任智能体自述且无需访问模型权重的情况下，验证其合规性。

2. 方法论与系统架构

本文提出了一种正式的架构，其中 LLM 被严格视为非信任的类型化操作（typed actions）提议者，而由确定性的策略引擎和执行层负责强制执行所有权限。

核心组件

权威的形式化模型：
- 操作（Actions）： 定义为具有参数空间（例如金额、货币）及相关损失敞口的类型化操作。
- 委托链（Delegation Chains）： 权限表现为随时间衰减（减损）的授权链。有效的链条确保任何智能体都无法提升权限；任何智能体的有效权限都是根主体授权的一个子集。
- 可信计算基（TCB）： 包括策略引擎、执行层、追加式日志和身份基础设施。LLM 被明确排除在 TCB 之外。
签名意图封套与令牌协议：
- 意图封套（Intent Envelopes）： 提议的操作被封装在包含操作内容、智能体身份、委托链和业务案例的签名封套中。
- 能力令牌（Capability Tokens）： 经策略批准后，引擎会铸造一个单次使用、参数受限的令牌。至关重要的是，令牌的有效期（ $t_{exp}$ ）严格受限于底层委托链的过期时间。
- 执行检查： 执行层验证令牌签名，检查操作是否符合令牌的类型和参数边界，确保令牌在有效时间内，并验证标识符尚未被使用。
可验证工作流：
- 每次状态转换都会向一个追加式、哈希链式日志中发出签名事件。
- 仅证据验证器（Evidence-only verifier） 可以仅利用日志、公钥和策略版本来验证整个工作流，而无需重放 LLM。
多智能体共识：
- 对于高风险意图，引入第二个配置独立的审查智能体。
- 本文对“共同原因”（common-cause）失效（例如，共享的训练盲点）进行了建模，以证明审查者的多样性（不同的模型家族/提示词）对于降低残余风险比审查者数量更为关键。

3. 主要贡献

本文提供了五个具体的理论与实践贡献：

形式化模型： 定义了面向银行 LLM 智能体的委托授权模型，其特征包括金融类操作、衰减的委托链以及带有真人审批生命周期的确定性属性访问控制（ABAC）策略引擎。
授权协议与证明：
- 定理 1（权限遏制）： 证明了在任意对抗性提议者存在的情况下，只要策略引擎和签名方案是安全的，每一次执行的操作都包含在有效委托链的权限范围内。
- 定理 2（受限无人值守损失）： 基于每种类型的上限和滑动窗口速率限制，推导出了未经人工审批执行的操作的财务损失闭式上界。
多智能体共识分析：
- 命题 1： 量化了共识的残余风险，表明除非通过多样性来降低“共同原因”失效概率（ $\gamma$ ），否则增加审查者只会带来收益递减。
- 命题 2： 建立了一个基于损害概率和审查成本来调用人工或智能体审查的成本感知规则。
可验证工作流定义：
- 定理 3（防篡改性）： 证明了具有签名头部和独立见证人（以防止回滚攻击）的日志能确保任何接受的证据序列都与真实的日志一致。
- 定理 4（完备性）： 证明了仅凭证据的验证器可以在无需访问模型的情况下，健全地认证已执行的操作是在授权范围内且符合边界限制的。
- 命题 3： 提供了在模型版本变更时检测策略漂移的样本复杂度界限。
参考实现与仿真：
- 一个针对对抗性提议者（无 LLM 在环）测试的 Python 实现，用于验证遏制性、损失边界和篡改证据。

4. 结果

参考实现和仿真实验得出以下结果：

遏制性： 在 700,000 次对抗性提议者尝试中（涵盖包括伪造令牌、重放攻击和参数篡改在内的九类攻击），零次未经授权的执行违反了遏制定理。
损失边界紧凑性： 达到速率限制的对手所实现的最高风险敞口与定理 2 的理论界限完全匹配，证实该边界是紧凑的。
识别出的协议漏洞： 仿真暴露了初始设计中的两个关键缺陷：
1. 令牌过期： 若没有规则 $t_{exp} \le t_k$ （令牌过期时间 $\le$ 委托链过期时间），在 20,000 次尝试中，有 12,383 次在委托授权过期后执行。
2. 日志回滚： 若没有独立见证人检查，攻击者可以成功将日志回滚到旧的签名头部；引入见证人检查后，检测率达到 100%。
性能： 执行流水线（封套检查、策略、令牌铸造、执行、日志记录）产生的单次操作中位开销为 45 微秒，表明执行成本并非瓶颈。
共识建模： 共同原因模型的蒙特卡洛模拟结果与命题 1 的解析预测在误差范围内相符。

5. 重要性与主张

作者将这项工作定位为专门针对受监管银行业的正式处理，将其与通用的多智能体安全研究区分开来。

信任边界的转移： 本文主张，通过将执行权移至执行边界并将 LLM 视为不可信的提议者，银行可以实现可证明的权限遏制和可量化的损失边界，且这些指标不依赖于模型的推理或对齐情况。
可审计性： 一个重要的主张是，第三方（审计员/监管机构）可以通过仅证据验证器来验证合规性。这实现了审计能力，而无需访问专有的模型或其权重。
定量风险管理： 该工作提供了一个多智能体审查的定量框架，认为多样性是降低残余风险的主要杠杆，而非单纯增加审查者数量。
研究范围的审慎说明： 作者明确指出，研究结果假设 LLM 在受控边界内运行。他们并未声称解决了提示词注入导致智能体转向被允许但并非预期的操作（例如，在限额内重复提交错误的付款）的问题，尽管他们指出共识机制降低了此类事件发生的可能性。此外，他们也承认目前的证明是“纸笔”式的而非机械化证明，且仿真使用的是合成数据而非真实的 LLM 在环，因此针对真实世界注入抗性和效用评估的评估属于未来工作。

总之，作者认为，如果没有这样的正式架构，将智能体集成到核心银行基础设施中会产生一个“很大程度上未受审计的攻击面”。通过这种架构，金融机构可以将智能体自动化扩展到后台工作流中，并获得形式化的遏制保证与可验证性。