《Big Data and Cognitive Computing》：CapAgent: Semantic Data-Flow Governance for LLM Agents in Big-Data Cognitive Computing
编辑推荐：
大语言模型（LLM）智能体正成为数据湖、企业知识库、向量记忆、浏览器、文件和软件工具的认知接口。这种转变造成了数据治理缺口：智能体可能对大量私有上下文进行推理，但受保护资源往往缺乏可验证的记录，以说明哪些用户意图、数据对象、动作、目的地和语义发布模式已获授权。
大语言模型（LLM）智能体正成为数据湖、企业知识库、向量记忆、浏览器、文件和软件工具的认知接口。这种转变造成了数据治理缺口：智能体可能对大量私有上下文进行推理，但受保护资源往往缺乏可验证的记录，以说明哪些用户意图、数据对象、动作、目的地和语义发布模式已获授权。本文提出CapAgent，一种面向大数据认知计算环境中LLM智能体的语义数据流治理中间件。CapAgent将经人工认证的任务意图映射为带签名、可衰减且绑定用途的能力令牌，由引用监控器在敏感工具调用、记忆检索、数据导出和智能体间委托之前进行检查。其策略层结合任务模板、资源标签、目的地规则、警示条款、语义发布模式和审计义务；其运行时对受保护事实执行符号范围检查和语义可恢复性检查。研究人员给出了形式化治理语义、保守意图编译器、可解释数据流决策工作流以及可运行的Python中间件。一个包含跨五个数据密集型智能体场景的600条良性及对抗性轨迹的可复现轨迹重放基准报告了攻击成功率、良性成功率、误阻断率、延迟、组件消融和审计质量。在该合成轨迹重放评估中，完整监控器将测得的攻击成功率从环境执行下的100.00%和仅作用域授权下的12.50%降至0.00%（Wilson 95% CI [0.00, 0.95]），同时保留了75.00%的良性成功率。此外，研究人员还进行了520次试验的端到端工具调用基准测试，包含代表性的仅提示、任务盾牌式、CaMeL式、仅作用域和完整CapAgent配置；210项任务的编译器金标准评估；240项语义发布校准集；以及12单元BDCC风格可扩展性微基准测试。在这些补充测试中，完整CapAgent在工具调用基准测试中获得0.00%的ASR（95% CI [0.00, 1.06]），编译器精确策略匹配率达87.50%且过度授权率为0.00%，语义发布召回率为88.89%且误阻断率为0.00%，并且在多达100,000个资源下进程内授权延迟低于毫秒级。这些结果支持CapAgent作为认知LLM智能体的可审计治理层，而非替代模型级对齐或公共端到端智能体基准。
一、研究背景与问题
随着大语言模型（LLM）从文本生成系统演变为能够执行复杂操作的智能体，其应用范围已扩展到数据湖、企业知识库、向量记忆、浏览器、文件和软件工具等数据密集型认知计算环境。这种演变引入了严重的数据治理缺口：智能体可以在大型私有上下文上进行推理，但受保护资源往往缺乏可验证的记录来确认哪些用户意图、数据对象、动作、目的地和语义发布模式获得了授权。传统数据系统通过主体、权限、对象标签、引用监控器和审计轨迹来保护，而智能体系统则通常将数据使用控制委托给自然语言提示或基于LLM的评判器，导致“意图到数据流”的鸿沟——用户以自然语言表达目标，但系统缺乏精确且可执行的数据使用授权表示。
当前攻击类别使这一缺口更加明显：间接提示注入可将对抗性指令隐藏在网页、电子邮件、文档或工具输出中，使智能体偏离用户任务；记忆提取攻击利用检索增强的智能体记忆，诱导智能体通过看似合法的操作携带私有记录；跨工具和跨应用攻击利用共享上下文窗口、无约束工具组合，促成执行隔离需求；多智能体系统增加了通信面，对手可通过宽松路径路由恶意内容。现有提示级防御（如“不泄露秘密”的系统消息）缺乏对特定文件、记忆项、工具、输出通道、目的地或会话的密码学绑定，LLM评判器也可能被绕过或过度防御。因此，学术界和工业界需要一种类似传统安全领域的引用监控器、能力系统和最小特权设计的数据治理层，将自然语言意图、概率规划、工具侧执行、记忆来源、语义发布和动态委托在统一的运行时契约中协同验证。
二、研究目标与技术方法
针对上述问题，研究人员提出了CapAgent——一种面向LLM智能体的语义数据流治理中间件。CapAgent将语义规划与可强制执行的数据使用权限分离：LLM可以推断计划并提议动作，但敏感工具仅在动作附带有效能力令牌且其范围匹配人工认证的任务意图、目标资源、请求操作、输出通道和数据流策略时才执行。研究人员的主要方法包括以下关键组件：
（1）意图到能力编译：采用保守编译器，将自然语言请求转换为结构化意图对象，包含目标、授权资源集、允许动作集、允许目的地集、输出模式集和警示条件。编译器采用任务模板库、类型化资源解析器和确认门，返回完全解析、需确认或拒绝三种状态；（2）能力令牌表示与签发：能力令牌是经认证、可衰减的元组，包含资源谓词、目的地谓词、发布模式、用途哈希、警示集、过期时间、调用预算、随机数和父令牌引用。实验原型使用HMAC-SHA256认证标签；（3）引用监控器：在运行时对每个敏感动作执行作用域检查、用途检查、警示条件检查和源到宿流谓词检查；（4）语义发布检查：采用分层估计器，包括确定性DLP规则、受保护事实提取、校准的释义和蕴含探测，区分直接披露、派生披露和推断披露；（5）委托衰减：子令牌必须满足子作用域是父作用域的子集，保证委托单调性；（6）审计链：每个监控决策以哈希链形式追加审计事件，支持可重建性和可解释性。
三、研究结果
3.1 形式化安全分析
研究人员定义了条件非执行安全博弈，证明在监控完整性、编译健全性、标签和来源健全性、认证标签不可伪造性及监控状态未受攻破的假设下，任何多项式时间对手只能以可忽略概率赢得博弈。通过执行不可伪造性定理证明了无有效令牌无法执行越界动作；通过委托单调性定理证明了衰减操作只收窄权力。
3.2 600轨迹重放基准测试
基准包含五个场景（电子邮件、文件处理、记忆检索、浏览器/API动作、委托子智能体），每场景120条轨迹，总计600条，其中含150条支持良性轨迹、50条合法但不支持的轨迹、400条对抗性轨迹。对抗集涵盖重定向外泄、资源升级、用途混淆、精确语义泄漏、释义语义泄漏、跨工具流、过期令牌、伪造令牌、预算超出和委托升级。完整CapAgent监控器将攻击成功率从环境执行下的100.00%和仅作用域授权下的12.50%降至0.00%（Wilson 95% CI [0.00, 0.95]），良性成功率为75.00%，误阻断率为25.00%。消融实验显示，移除语义发布检查使ASR升至25.00%，移除用途绑定或流策略分别使ASR升至12.50%，移除委托衰减使ASR升至6.25%，移除审计链虽不改变ASR但消除可重建性。误阻断对应样本策略库缺少模板的受支持工作流，属于预期的保守拒绝行为。
3.3 补充实验
520次试验端到端工具调用基准中，完整CapAgent获得0.00% ASR（95% CI [0.00, 1.06]）；210项任务编译器金标准评估中，保守编译器达到87.50%精确策略匹配率、0.00%过度授权率、12.50%授权不足率、23.81%确认率和9.52%拒绝率；240项语义发布校准集中，语义发布检测器达到88.89%召回率、100.00%精确率、11.11%误发布率和0.00%误阻断率；12单元BDCC风格可扩展性微基准中，在最多100,000个资源和32个并发工作进程下，最差p95授权延迟为0.0015毫秒，最佳吞吐量为1,052,964.09次检查/秒，哈希链审计存储估计为每百万事件244.14 MB。
四、讨论与结论
在讨论部分，研究人员强调了可重复性和有效性边界：迹线由原型的威胁模型生成而非从公共交互任务收集；未执行LLM采样、浏览器环境或操作系统环境；语义发布检查器是简单演示器而非校准的生产分类器。因此，证据应视为中间件验证和评估桥梁，而非公共基准部署证明。对未来数据密集型认知计算部署，需在浏览器或操作系统智能体环境中连接监控器，报告模型族敏感性，并测量策略知识库覆盖丰富真实世界工作流时保守拒绝的可接受性。
研究结论部分翻译如下：LLM智能体需要在语言变成动作、私有上下文变成外部数据流的边界上可强制执行的数据治理机制。本文提出CapAgent——一种语义数据流治理系统，填补了提示级安全判断与系统可执行的数据使用权限之间的差距。CapAgent并非声称提出新的能力原语，而是将能力安全适配到认知智能体运行时，把人工认证意图、工具调用、记忆检索、数据导出、语义泄漏策略和动态委托绑定到经认证且可衰减的令牌上。通过将治理移出LLM上下文，CapAgent将提示注入、记忆提取、跨工具外泄和委托特权升级转化为可拒绝和可审计的策略失败。参考中间件和600轨迹重放基准表明核心执行路径可以紧凑实现，消融实验将用途绑定、语义发布、流策略、委托衰减和审计链识别为不同的治理组件。该框架的有效性受意图编译质量、资源标注、工具包装、用户确认和语义可恢复性测试的制约。其核心主张是有条件但可测试的：当中介、编译、标注和来源健全时，用户最小特权意图之外的智能体动作无法在不伪造权限的情况下到达受保护资源。未来工作应将同一监控器引入公共交互基准，然后才能对端到端浏览器、操作系统或多模型智能体性能做出断言。相应地，结论区分了已确立结果与未来验证：论文确立了监控器侧授权语义和可复现的中间件重放结果，而公共端到端智能体基准、外部基线实现、校准的语义发布数据集和大规模BDCC部署仍是必要的后续步骤。通过补充超出轨迹重放的受控证据，完整CapAgent在520次试验工具调用基准中获得0.00% ASR，保守编译器在210项任务金标准套件中获得87.50%精确策略匹配率和0.00%过度授权率，语义发布检测器在240项校准集上获得88.89%召回率和0.00%误阻断率，进程内可扩展性微基准在100,000个资源下保持亚毫秒级延迟。
