面向智能体AI的运行时治理：具有可信溯源与故障安全执行的动作边界控制
文章背景与核心概要
随着智能体AI系统不断演进，它们开始请求各种工具操作（例如修改文件、发送消息、启动作业或更改工作流状态），这使得主要的安全关注点从“生成有害文本”转移到了“造成有害的操作副作用”。尽管提示词级别的治理可以影响模型行为，但它无法建立起安全的执行边界。本文介绍了 Aegis，这是一个运行时治理系统，它将模型的输出视为动作提议（proposals），并在工具执行之前通过一个可信的决策层对其进行调解。
Aegis 秉持“模型提议，可信运行时决策”的原则，针对当前活跃的策略状态评估提议、在服务端解析溯源、在不确定情况下强制执行故障安全（fail-closed），并将选定案例路由通过“参议院风格（Senate-style）”的结算机制（一种基于法定人数、非单方面授权的路径）。在重复的沙盒语料库（涵盖5个运行系列、42个任务、3种条件以及每个系列10次重复，总计6,300行数据）上的评估表明：提示词策略条件产生了79行有风险的比较路径泄漏；而受Aegis治理的行（总计2,100行）记录了零次受治理的模拟工具应用以及零次受治理的有风险副作用完成。该系统在工程实践中展示了运行时动作边界治理能够有效防止观察到的风险提议转化为实际副作用。
运行时治理：具有可信溯源与故障安全执行的动作边界控制 (Runtime Governance for Agentic AI: Action-Boundary Control with Trusted Provenance and Fail-Closed Execution)
摘要 (Summary)
As agentic AI systems evolve to request tool actions—such as modifying files, sending messages, launching jobs, or altering workflow states—the primary safety concern shifts from generating harmful text to causing harmful operational side effects. While prompt-level governance can influence model behavior, it fails to establish a secure execution boundary.
随着智能体AI系统不断演进，它们开始请求执行各种工具操作——例如修改文件、发送消息、启动作业或更改工作流状态——此时主要的安全性关注点已从生成有害文本转向了导致有害的操作副作用。尽管提示词级别的治理可以影响模型行为，但它无法建立安全的执行边界。
This paper introduces Aegis, a runtime governance system that treats model outputs as action proposals, mediating them through a trusted decision layer prior to tool execution. Operating on the principle that "the model proposes; the trusted runtime decides," Aegis evaluates proposals against active policy states, resolves provenance server-side, enforces fail-closed execution under uncertainty, and routes selected cases through Senate-style settlement (a quorum-based, non-unilateral authorization path).
本文介绍了 Aegis，这是一个运行时治理系统，它将模型的输出视为动作提议，并在工具执行之前通过可信的决策层对其进行调解。秉持“模型提议，可信运行时决策”的原则，Aegis 根据当前的策略状态评估提议、在服务端解析溯源、在不确定情况下强制执行故障安全（fail-closed），并将选定的案例通过参议院风格的结算（一种基于法定人数、非单方面的授权路径）进行路由。
Evaluating Aegis on a repeated sandbox corpus across 5 run families, 42 tasks, 3 conditions, and 10 repeats per family (spanning 6,300 total rows): * Prompt-policy conditioning produced 79 risky comparator-path leakage rows. * Aegis-governed rows (2,100 total) recorded zero governed mock-tool applications and zero governed risky side-effect completions. * All 1,832 Aegis-attempted governed rows preserved trusted Aegis-resolved provenance. * All 1,019 Senate-settled rows contained quorum and final signed tally evidence.
在涵盖 5 个运行系列、42 个任务、3 种条件以及每个系列 10 次重复（总计 6,300 行数据）的重复沙盒语料库上对 Aegis 进行了评估： * 提示词策略条件产生了 79 行具有风险的比较路径泄漏数据。 * 受 Aegis 治理的行（总计 2,100 行）记录了零次受治理的模拟工具调用以及零次受治理的有风险副作用完成。 * 所有 1,832 行尝试进行治理的 Aegis 行都保留了可信的 Aegis 解析溯源。 * 所有 1,019 行经参议院结算的行都包含法定人数和最终签名计票证据。
While these results do not prove general autonomous-agent safety, they strongly support the narrower systems claim that runtime action-boundary governance can effectively prevent observed risky proposals from translating into governed side effects.
虽然这些结果并未证明通用自主智能体的安全性，但它们强有力地支持了这样一个更为具体的系统论断：运行时动作边界治理能够有效防止观察到的风险提议转化为受治理的副作用。
元数据与文章详情 (Metadata & Article Details)
- arXiv ID: arXiv:2608.16891 [cs.AI]
- Related DOI: 10.5281/zenodo.20262303
- Authors: Adam Mazzocchetti
- Primary Subject: Artificial Intelligence (
cs.AI)- Secondary Subjects: Computational Engineering, Finance, and Science (
cs.CE); Cryptography and Security (cs.CR); Computers and Society (cs.CY)- Submitted: 17 May 2026
- arXiv ID: arXiv:2608.16891 [cs.AI]
- 相关 DOI: 10.5281/zenodo.20262303
- 作者: Adam Mazzocchetti
- 主学科: 人工智能 (
cs.AI) - 辅学科: 计算工程、金融与科学 (
cs.CE)；密码学与安全 (cs.CR)；计算机与社会 (cs.CY) - 提交时间: 2026年5月17日