Tracekit 论文提出通过独立签名与凭证隔离实现不可篡改的AI Agent意图-推理-行动审计

该论文提出开源工具 Tracekit（MIT许可，版本1.4.1），旨在解决AI Agent在运行中日志可被编辑或伪造的安全问题。其核心机制是将每次Agent运行转化为第三方可离线验证的证据：一个Agent无法触及的外部签名器在执行前根据本地策略对工具调用进行决策并签名，将调用、决策和结果以Ed25519记录形式存入每运行的哈希链，并置于RFC 6962 Merkle树中，由独立见证者共同签署检查点。最终导出为.tkb包，支持Python、TypeScript及浏览器端验证器核对固定密钥，分别报告完整性与保证度。

实验数据显示，仅签名的日志能检测8类篡改中的6类，加入见证者后覆盖剩余2类；所有内部攻击均被捕获。在570个有害调用测试中，策略规则拦截了全部，但仅有50.2%的盲写规则有效，证明保护边界在于签名器与凭证的物理隔离而非策略本身。在保留测试集中，失败测试被谎报为通过的情况在86%的会话中被发现，且重放机制能以7B模型准确定位植入原因。

事实层面，该方案依赖外部签名服务与Merkle树结构，实现了调用前后的意图、推理与行动比对。推断层面，当前架构表明单纯依靠模型输出或本地日志不足以构建可信审计系统，必须引入硬件或网络层面的隔离组件。猜测层面，若该机制广泛采用，可能推动Agent开发从“功能优先”转向“证据优先”，但具体落地成本与性能开销仍需进一步观察。