[论文学习]PACT:溯源感知能力合约——面向智能体安全的参数级溯源

PACT: Provenance-Aware Capability Contracts — Argument-Level Provenance for Agent Security (2026)论文重点本文提出了一种名为PACTProvenance-Aware Capability Contracts的运行时监控机制通过将安全边界从工具调用层级下探到参数层级从根本上解决了LLM智能体在混合信任场景中安全与效用的两难困境。核心洞察在于间接提示注入之所以危险并非因为不可信内容出现在上下文中而是因为它能够绑定“权威承载型参数”如收件人、URL、命令等PACT通过为每个工具参数赋予语义角色并追踪跨步骤的数值溯源实现了100%安全与100%效用的机制层突破。核心研究内容问题定义工具型LLM智能体需要从不可信的网页、邮件、文件和API输出中读取信息同时通过特权工具调用来执行操作。现有的防御手段通常在“整个工具调用”的粒度上做信任裁决——这形成了一个根本性的“粒度失配”问题如果阻止任何受外部内容影响的调用就会破坏大量合法的“检索-执行”工作流如果允许调用攻击者就能通过注入指令劫持目标地址或命令。以send_email(recipient, body)为例网页内容理应决定邮件正文但绝不应决定收件人——然而整调用级别的策略无法表达这种区分。创新方法PACT的核心创新在于将安全边界从工具调用层面下探到参数级别。具体设计包含三个层次参数级合约Argument-Level Contracts为每个工具的参数定义语义角色如target、command、credential、content等并设定该角色所需的最低信任级别。合约分为L0-L3四个精度级别从“不透明阻塞”到“认证路由”逐级细化。跨步骤溯源追踪Cross-Step Provenance每个运行时值都携带溯源标签π(v)⟨O(v),τ(v),B(v)⟩记录其来源集合、当前信任级别和未解决的义务。当多个值合并时溯源信息保守合并merge⟨O₁∪O₂,min(τ₁,τ₂),B₁∪B₂⟩——信任永远不会自动提升。认证路由Certified Routing, L3允许通过可信的“认证过程”在限定范围内解除阻塞但原始来源被保留且证书不可跨角色复用。在执行每个工具调用前PACT监控器检查每个参数的溯源是否满足其角色合约的要求。研究成果机制层验证Oracle溯源在17个混合信任诊断场景中PACT L2实现了100%效用和100%安全零误报、零漏报。而基线方法中Vanilla保持100%效用但安全为0CaMeL达到100%安全但效用仅33.3%FIDES则两者皆不完美。完整AgentDojo部署在五个模型上的完整部署中PACT在三个最强模型上达到100%安全同时恢复了38.1%-46.4%的效用在同等安全水平下比CaMeL高出8-16个百分点。具体数据见表2。消融实验去除语义角色后效用暴跌60个百分点去除跨步骤溯源则产生安全漏洞。单纯按参数检查无角色区分无法同时达到PACT的安全和效用水平。实际落地应用的可能性PACT的架构设计使其具备较高的实际部署价值无需修改底层模型PACT是一个运行时监控器不依赖模型本身的对抗鲁棒性可插拔地集成到现有智能体框架中。自动化合约合成论文展示了从工具schema自动合成合约的pipeline在20个真实MCP工具上达到87.1%的角色准确率和77.4%的溯源准确率。适用场景广泛适用于邮件智能体、浏览器智能体、文件操作智能体、API调用智能体等任何涉及工具调用的LLM应用场景。低运行时开销在线检查复杂度为参数数量线性级仅涉及格比较、集合交集和证书范围检查。技术细节合约形式化定义对于工具tPACT定义合约C_t (ℓ, {a_i}_{i1}^k, o)其中ℓ ∈ {L0, L1, L2, L3}为合约精度级别o为输出溯源规格。每个参数条目为a_i (name_i, role_i, τ_i^min, F_i, R_i, D_i)其中role_i为语义角色τ_i^min为所需最低信任级别F_i为禁止来源集合R_i为义务集合D_i为L3级别可用认证过程集合。信任格Trust Lattice信任值形成有序格TRUSTED USER TOOL_OUTPUT EXTERNAL用户指令获得USER信任可信常量获得TRUSTED工具输出按OutputSpec指定。运行时检查算法执行t(v₁, ..., v_k)前监控器检查每个参数v_i是否满足τ(v_i) ≥ τ_i^min信任级别达标O(v_i) ∩ F_i ∅来源不在禁止集合中B(v_i) ∪ R_i ⊆ Discharged义务已解除在L3级别失败的检查可通过认证过程解除但必须满足认证过程覆盖失败谓词且作用于该参数角色。认证证书认证过程返回范围限定的证书d (r, s, ρ, τ^max)其中r为被解除的失败谓词s为认证过程ρ为参数角色范围τ^max为有效信任上限。应用证书后生成派生值原始来源被保留仅解除指定范围的义务。研究设定实验环境基准测试AgentDojo v1完整运行时包含97个良性用户任务和27个注入任务涵盖银行、工作区、Slack和旅行四个场景。模型Owen-turbo、Owen-plus、Owen-max、Owen2.5-72B、GPT-4o-mini五个模型分属三个模型家族。基线对比Vanilla无防御、FIDES、CaMeL。合约与溯源推断pipeline从工具schema名称、参数名、类型注解、自然语言描述自动合成合约。确定性规则将recipients、URLs、endpoints等映射为targetshell commands、executable queries映射为commandAPI keys、tokens、passwords映射为credentialmessage bodies、summaries映射为content。溯源通过精确结构匹配、角色感知启发式和LLM分类器推断。该pipeline合成了74个合约在20个真实MCP工具上达到87.1%角色准确率和77.4%溯源准确率。综合分析理论贡献重新定义问题边界PACT最深刻的贡献在于重新框定了间接提示注入的本质问题。现有工作大多在问“如何检测或过滤恶意内容”而PACT问的是“无论内容是否恶意它被允许决定什么”——这是一个从“内容检测”到“权限绑定”的范式转换。这一转换的价值在于它承认了LLM智能体“必须消费不可信内容”这一现实约束而不是试图让模型学会忽略所有恶意文本。正如论文所述同一个网页可以决定邮件正文但绝不应决定收件人——PACT用结构化的方式表达了这种语义上的区分。机制设计的精妙之处PACT的设计体现了几个深思熟虑的权衡分层合约L0-L3不是要求所有工具的参数语义在一开始就完全明确而是允许从粗粒度L0整调用阻塞逐步细化到L3认证路由。这既保证了“安全优先”的部署策略又为后续效用优化留出了空间。保守溯源合并公式mergemin(τ₁,τ₂)确保了信任永远不会通过普通数据流自动提升。这是一个极其重要的安全属性——攻击者无法通过“污染-清洗-再污染”的链条来提升数据的信任级别。认证路由而非信任升级L3的认证不是简单地把不可信数据“变成”可信的而是通过证书在限定范围内解除阻塞同时保留原始来源信息。这保证了审计追踪的完整性。理论保证的边界论文通过三个定理给出了形式化保证Theorem 3与整调用监控的分离存在混合信任场景中参数级合约可实现完全效用和完全安全而任何整调用监控必然产生误报或漏报。Theorem 4安全细化的单调性从L0到L3的安全细化保持安全属性不变同时单调减少不必要的阻塞。Theorem 5前缀基可靠性每个决策仅依赖于已累积的溯源不依赖未来动作。这些定理的前提是“保守溯源传播”和“正确指定的合约”——论文坦承自动合约合成和溯源推断的准确性是部署阶段的主要瓶颈。部署差距的本质从Oracle机制100%效用100%安全到完整部署38.1%-46.4%效用100%安全的差距清晰地揭示了当前技术栈的瓶颈所在。论文将剩余部署差距归因于“溯源推断和合约合成的保真度”而非运行时策略本身。换言之PACT在“应该阻止什么、应该允许什么”这个决策层面已经做到了理论上的完备但“如何知道某个值的来源是什么、某个参数的角色应该是什么”这两个前置问题仍有待解决。实践应用适用场景邮件智能体用户让智能体读取外部网页后发送邮件——PACT允许网页内容填充邮件正文content角色但阻止其填充收件人target角色。浏览器智能体智能体浏览网页并执行操作——PACT可区分哪些参数可受网页内容影响哪些必须来自用户指令或可信常量。代码执行智能体智能体读取文件后执行命令——PACT阻止文件内容决定命令本身command角色但允许其决定命令的输入数据content角色。API编排智能体跨多个API的复杂工作流——PACT的跨步骤溯源能力确保攻击者无法通过多步数据流将不可信内容“洗白”后绑定到权威参数。部署建议渐进式部署建议从L0或L1级别开始部署保守安全随着工具合约逐渐完善逐步升级到L2和L3以恢复更多效用。合约维护自动合约合成的准确率87.1%角色准确率、77.4%溯源准确率意味着需要人工审核和持续优化合约库。与现有防御互补PACT可与内容过滤、提示注入检测等防御手段叠加使用——它解决的是“权限绑定”问题而非“内容检测”问题。审计与可解释性PACT的溯源标签系统天然支持安全审计——每个被阻止的调用都带有明确的失败原因信任不足/来源禁止/义务未解除便于调试和策略优化。参考资料原始论文: The Granularity Mismatch in Agent Security: Argument-Level Provenance Solves Enforcement and Isolates the LLM Reasoning Bottleneck (arXiv:2605.11039, 2026)