跳转至

局部允许，全局拒绝：为什么单动作授权在 LLM 智能体中无法组合

Local Allow, Global Deny: Why Per-Action Authorization Does Not Compose in LLM Agents

arXiv Identifier: arXiv:2610.27620 [cs.CR]
Authors: Anmol Pandey, Aditya Jain, Liang Chen, Carsten Maple
Submitted: 20 October 2026
Primary Subject: Cryptography and Security (cs.CR)
Secondary Subjects: Artificial Intelligence (cs.AI), Logic in Computer Science (cs.LO)
ACM Classifications: D.4.6; F.3.1; I.2.11
Conference Context: Extended version of a paper accepted at the 8th IEEE International Conference on Trust, Privacy and Security in Intelligent Systems and Applications (IEEE TPS 2026).
Resources: GitHub Repository (AL-SYNTH) | View PDF

文章背景与核心概要

在让 AI 智能体 (AI Agent) 自主调用工具、收发邮件和查询数据库时，主流业界普遍采用“单动作授权 (Per-Action Authorization)”护栏——即每当智能体发起一次工具调用，安全守卫就孤立地审查这一步是否违规并决定放行与否。然而，本论文揭示了一个颠覆性的安全盲区：“局部安全放行，绝不等于全局安全”，这种孤立审查机制在组合场景下必然失效。研究团队在理论上严格证明，跨越多次执行的意图与合规违规属于“2-安全超属性 (2-Safety Hyperproperties)”，在单条执行轨迹中根本无法归咎于任何单独一步动作；同时，基于 SAT/SMT 形式化方法研发的 AL-SYNTH 综合器成功合成了能够完全避开 9 种顶尖大语言模型审查的最小攻击反例。这一突破性研究敲响了警钟：现有的单一工具拦截护栏在架构上存在根本性缺陷，智能体安全防御必须从“单步排查”全面跃升至“跨执行轨迹的全局动态关联比对”。

内容概要

Summary

当今的自主大语言模型 (Large Language Model, LLM) 智能体在与现实世界交互时，绝大多数依赖所谓的“单动作授权 (Per-Action Authorization)”机制——这就像是在智能体的每个工具调用前派驻了一位本地保安，孤立地盘查当前这一步操作是否越界。然而，本研究深刻地指出：局部的合规放行，根本无法自然组合成全局的安全保障。

Autonomous Large Language Model (LLM) agents typically rely on "per-action authorization"—a local security guard that screens each individual tool call in isolation. This paper demonstrates that local authorization does not compose into global authorization.

作者团队将这种现象形式化定义为组合式授权失效 (Compositional Authorization Failure, CAF)：智能体在单次或成对的执行轨迹中，每一步工具调用都能顺利通过局部安全审查，但整体行为却粗暴违反了涵盖真实意图、使用目的、数据溯源、用户知情同意与权限委托的全局安全策略。论文引入了一款名为 AL-SYNTH 的 SAT/SMT 形式化综合器 (Synthesizer)，并在数学上证明了关系型目的违规本质上属于“2-安全超属性 (2-Safety Hyperproperties)”，在孤立的单条轨迹中根本找不到任何一个能单独“背锅”的责任点。其致命结论是：如果监视器不追踪跨执行的关联信息，那么它要么对这类越权违规彻底失明，要么就只能以大量“捕风捉影”的误报为代价。

The authors define a Compositional Authorization Failure (CAF) as an execution (or pair of executions) that passes local checks while violating a broader global policy (covering intent, purpose, provenance, consent, and delegation). Through the introduction of AL-SYNTH—a SAT/SMT synthesizer—the study proves that relational purpose violations form 2-safety hyperproperties that lack any per-trace locus of blame. Consequently, single-action monitors cannot detect them without cross-execution tracking or accepting false alarms.

元数据与参考信息

Metadata & Reference Information

  • arXiv 编号： arXiv:2610.27620 [cs.CR]
  • 论文作者： Anmol Pandey, Aditya Jain, Liang Chen, Carsten Maple
  • 提交时间： 2026 年 10 月 20 日
  • 主要学科领域： 密码学与安全 (cs.CR)
  • 交叉学科领域： 人工智能 (cs.AI)、计算机科学中的逻辑学 (cs.LO)
  • ACM 分类号： D.4.6; F.3.1; I.2.11
  • 会议收录背景： 本文为第 8 届 IEEE 智能系统与应用中的信任、隐私与安全国际会议 (IEEE TPS 2026) 录用论文的扩展版本。
  • 相关资源： GitHub 仓库 (AL-SYNTH) | 论文 PDF 原文
  • arXiv Identifier: arXiv:2610.27620 [cs.CR]
  • Authors: Anmol Pandey, Aditya Jain, Liang Chen, Carsten Maple
  • Submitted: 20 October 2026
  • Primary Subject: Cryptography and Security (cs.CR)
  • Secondary Subjects: Artificial Intelligence (cs.AI), Logic in Computer Science (cs.LO)
  • ACM Classifications: D.4.6; F.3.1; I.2.11
  • Conference Context: Extended version of a paper accepted at the 8th IEEE International Conference on Trust, Privacy and Security in Intelligent Systems and Applications (IEEE TPS 2026).
  • Resources: GitHub Repository (AL-SYNTH) | View PDF

论文摘要

Abstract

自主大语言模型智能体通常在单动作授权的保护下通过工具行使权力：局部安全守卫会逐一且孤立地审查每一次工具调用。我们在本文中证明，局部授权无法自动组合为全局授权。所谓组合式授权失效 (Compositional Authorization Failure, CAF)，是指这样一种执行轨迹（或成对的执行轨迹）：其中的每一次工具调用都能被局部防护判定为合法，但整体执行组合起来后，却违背了涵盖意图、目的、数据溯源、知情同意以及权限委托的全局策略。

Autonomous LLM agents act through tools under per-action authorization: a local guard screens each tool call in isolation. We show that local authorization does not compose into global authorization. A compositional authorization failure (CAF) is a locally authorized execution, or a pair of locally authorized executions, that violates a global policy spanning intent, purpose, provenance, consent, and delegation.

我们从两个维度对 CAF 进行了系统刻画：其一是表达能力（单轨迹安全性对比关系型 k-安全性），其二是可观测性（从低到高的监视器能力层级阶梯）。我们的核心研究结论是一个形式化的不可行定理：关系型目的违规在数学形式上构成一种“2-安全超属性”，在单条执行轨迹内部没有任何一个动作可以被单独定罪为违规原因。因此，任何力求做到“零误报”的单动作监视器，无论底层换用多么强大的模型或决策判定算法，都必定对这类违规彻底失灵；唯有引入跨执行轨迹的比对监视，这类漏洞才可能被捕获——然而，在我们调研的现存六大主流安全护栏框架中，竟无一具备这种跨执行追踪能力。

We characterize CAFs along two axes, expressiveness (single-trace safety versus relational k-safety) and observability (a ladder of monitor profiles). Our central result is an impossibility: relational purpose violations form a 2-safety hyperproperty with no per-trace locus of blame, so a per-action monitor that never raises a false alarm detects none of them, independent of the underlying model or decision procedure; they become visible only under cross-execution monitoring, which none of the six guardrails we survey implements.

为了将这一理论缺陷具象化，我们构建了 AL-SYNTH——一款完全不依赖语言模型、基于可满足性求解 (SAT/SMT) 的形式化综合器，它能够精准自动化生成触发 CAF 的最小反例见证 (Witness)，并通过穷举基准预言机完成严格校验。实验暴露出的表征极具讽刺意味：在 9 种主流大语言模型担任安全评判者的测试中，只要采用单动作视角，这些模型几乎无一例外地批准了被合成的反例动作，其拦截率低得与完全无害的良性对照组毫无二致；然而，一旦把两段执行轨迹合并展示给同一个模型时，它却能立刻准确识别并发出警报。由此可见，对于无法降维规约为单轨迹安全性的关系型安全策略而言，单动作授权在架构上存在不可弥补的先天的结构性缺陷：若要防范此类威胁，监视系统要么必须具备跨执行轨迹的比对分析能力，要么就只能全盘忍受误杀良性操作的高误报率。

We make this constructive with AL-SYNTH, a SAT/SMT synthesizer (using no language model) that emits minimal CAF witnesses, each checked against an exhaustive oracle. The empirical signature is sharp: across nine LLM judges the per-action view approves the synthesized witness almost without exception, blocking it at a rate comparable to a benign control, yet the same models flag it when shown the two executions together. Per-action authorization is therefore structurally insufficient for relational policy conjuncts not reducible to single-trace safety: to bound them, a monitor must compare executions or accept false alarms.