LLM Agent 局部授权无法组合为全局授权

该研究通过形式化方法证明，针对LLM Agent的每动作本地授权机制在逻辑上无法组合成满足全局策略的授权体系。作者定义了组合授权失败（CAF），即单个或一组被本地允许的执行序列违反了跨越意图、目的、来源和委托的全局策略。核心结论是关系型目的违规属于2-safety超属性，不存在单一执行轨迹的责任归属点，因此任何不产生误报的单动作监控器都无法检测到此类违规，无论底层模型或决策过程如何。 实证部分使用AL-SYNTH工具生成了最小化的CAF反例，结果显示在九个LLM裁判中，单动作视角几乎全部批准这些合成样本，阻断率与良性控制组相当；但当展示两个相关执行序列时，同一模型能识别出违规。这表明当前主流的安全护栏（文中调研了六种）均缺乏跨执行监控能力，导致关系型策略约束失效。 事实层面确认了单动作监控的结构性缺陷，推断行业现有的Guardrails产品若仅依赖单步拦截将无法应对复杂攻击链。这要求Agent安全架构必须引入跨会话的状态关联或接受一定误报率以换取对关系型违规的可观测性，而非继续优化单步分类器的准确率。