论文一链接：Actions with Receipts: Jointly Binding Claims, Evidence, and Execution for Replayable Tool-Agent Auditing 论文二链接：ContractRL: Shielded Group-Relative Policy Optimization for Auditable Tool-Call Repair 论文三链接：Guarded Commits: Transactional Human Approvals for LLM Workflows 发表时间：2026 年 9 月（前两篇 9 月 29 日提交，第三篇 9 月 2 日提交，均为预印本） 机构：论文一/二为中国科学院信息工程研究所 + 中国科学院大学人工智能学院（同一团队姊妹篇，通讯作者肖俊）；论文三为 MPI-SWS + MIT CSAIL + Purdue University 领域标签：cs.CR / cs.AI / cs.DB——正好横跨密码学、人工智能与数据库三个学科，这本身就是本篇叙事的注脚

一、论文背景：当 Agent 开始「做事」，治理却还停留在「看日志」

1.1 从「会说」到「会做」，风险结构彻底变了

过去两年，LLM Agent 从「聊天助手」进化为「工具调用智能体」：它会检索文档、调用 API、执行代码、提交 PR、发布翻译稿。模型输出的不再只是一段文字，而是一连串对外部世界产生副作用的动作。

这带来一个传统软件不存在的治理难题：Agent 的一次运行是一条由自然语言、工具调用、检索结果交织而成的长轨迹，事后你几乎无法回答三个最基本的审计问题——

1. 「它说的话有据可查吗？」——Agent 给出的答案旁边挂着引用（citation），但引用与声明之间只有语义上的松散关联。一条「看起来合法」的引用，可能是从另一个回答、另一次运行、甚至另一个文档版本移植过来的。
2. 「它改对了吗？」——结构化工具调用（JSON 参数）失败后，现有系统通常让模型把整个 JSON 重新生成一遍。重生成不仅烧 token，还会顺手改掉那些本来正确的字段——修复动作本身不可审计。
3. 「人批过了吗？」——高风险动作（合并代码、对外发布）需要人类审批，但审批发生在工作流之外：一个 UI 点击、一条审计日志。日志描述过去，日志不是提交谓词——它不能保证「此刻要执行的这条路径，确实经过了覆盖它的审批」。

1.2 供应链安全早就 solved 过一遍这个问题

有趣的是，这三个问题在软件供应链安全领域都有成熟答案。理解这些「旧思想」是读懂三篇论文的钥匙：

• in-toto（USENIX Security 2019）：把软件供应链的每一步（写代码、编译、打包）用密码学哈希链绑成「layout + link」结构，项目主人事先声明流程布局，每一步留下可验证的签名证据，最终用户可以重放验证整条链。
• Certificate Transparency（RFC 9162）：用 Merkle 树做只追加日志，任何证书签发都可被公开审计、不可抵赖。
• C2PA：给媒体内容打上签名的内容溯源凭证，绑定「这个内容是谁在什么条件下产生的」。
• 数据库事务：ACID 与提交谓词思想——一个动作能不能 commit，由确定性的谓词检查决定，而不是由「之前发生过什么」的日志推断。

三篇论文做的事情，本质上是把这四套几十年沉淀的完整性机制，分别移植到 Agent 轨迹的三个断层上。这也是本次合读最值得带走的叙事：Agent 治理不是要发明全新的安全学，而是要把系统安全与数据库的经典契约搬到 token 流上——难点全部在「Agent 的输出是非确定性的自然语言」这一现实约束上。

二、论文定位和关联工作：三篇论文在同一张地图上各占一角

2.1 三篇论文的分工

三篇可以连成一条治理链：事前用 Guarded Commits 把住不可逆动作的提交边界；事中用 ContractRL 保证修复动作最小化、可审计、fail-closed；事后用 Actions with Receipts 把「说了什么、引了什么、跑了什么」密码学级地钉死，供重放审计。三层合起来，就是一条 Agent 动作的「供应链」。

2.2 各自的关联工作与差异

**Actions with Receipts（下称 Receipts）**的近邻是引文评估线（ALCE、FActScore、RAGTruth、GenProve）与 Agent 基准线（WebArena、AgentDojo、ToolSandbox）。作者在论文里用一张能力矩阵明确指出：引文评估只管「语义支持」，执行日志只管「事件顺序」，没有任何现有机制同时定义「所示声明 = 所出声明 = 所引证据 = 所跑执行」的联合绑定——这正是收据契约填补的空隙。与之同期出现的还有业界的 Agent 审计产品化尝试（如 weilliptic 的 Receipts 平台、IETF 的 signed action receipts 草案），说明「可验证 Agent 审计」正从论文走向标准。

ContractRL 的近邻分三支：结构化输出约束解码（XGrammar、JSONSchemaBench）、输出后处理（SLOT）、以及 2026 年新出现的修复线（VeriHarness 的校验器循环、PatchBoard 的 JSON Patch 事务内核）。ContractRL 与它们的关键差异在于把修复决策本身形式化为 MDP：不是「生成一个补丁」，而是「在剩余预算内决定改哪个字段、是否重试、何时弃权」，并用契约派生的动作掩码保证非法操作在到达执行器之前就被滤掉。

Guarded Commits 的近邻是人机协同数据系统（CrowdDB、Deco）、学习弃权（learning-to-defer）、BPM 工作流引擎与现行 Agent 栈（GitHub branch protection、Claude Code/Cursor 权限系统、OPA 策略即代码）。论文附录 A 给出一张四条款对照表：现有系统最多覆盖「路径见证」与「工件绑定」的一部分，没有任何一个同时提供执行路径见证、策略/账本钉扎、工件身份与派生复用记录。它也明确划界：凭证隔离（credential confinement）是部署前提而非本文贡献。

三、问题定义：把「审计/修复/审批」还原为可计算的谓词

三篇论文共同的洞察是把模糊的治理要求还原为确定性可检验的谓词——这是它们与「加个 LLM 审查员」类方案的根本分野。

3.1 Receipts：最小可审计单元是四元组

论文定义执行实例 x = (q, D, ≺, B)（请求、源状态、声明观测序、预算），策略产出有序事件序列 E 与答案 a。核心命题：单独合法的引用与单独合法的执行日志，可以在声明、动作、运行、版本四个维度上被「移植」而不被察觉。形式化地，最小可审计单元是四元组：

（所出声明, 精确源跨度, 产生该声明的有序执行前缀, 源版本与访问态）

审计问题变成：给定持久化收据，能否从已提交对象确定性重建全部绑定？这把「这条引用是不是真的」从语义判断（NLI 模型打分）降维到结构判断（哈希与偏移重建），语义支持被剥离到独立的「支持平面」。

3.2 ContractRL：修复是马尔可夫决策过程，不是一次重生成

给定损坏的 JSON 调用 x、类型化校验错误 e、隐藏的标准对象 x⋆。现有做法（整对象重生成）的问题是：输出空间随对象大小膨胀，且任何位置都可能被无关改动。ContractRL 把修复定义为 CR-MDP：

• 状态 s_t = (候选对象, 类型化错误码, JSON Pointer, 不可变修复历史, 剩余预算)；
• 动作 = 有界 RFC-6902 补丁（add/replace/remove/move/copy）或 ABSTAIN（弃权）；
• 转移 = 确定性校验器，fail-closed——非法补丁消耗一次尝试、返回类型化失败状态、永远到不了执行器。

优化目标在语义成功主项之外，把附带编辑（collateral edits）、重试、token、不安全动作全部作为受约束成本项。抽象的本质：修复 = 在已 meaningful 对象上的有界事务，而非从零再写一遍。

3.3 Guarded Commits：审批是提交谓词，不是日志条目

论文的出发点一句话可以概括：「Logs are not commit predicates」——日志描述过去，不授权下一个动作。形式化地，把审批做成工作流状态：追加式审批账本存储决议记录 + 内容寻址证据快照；执行路径见证（executed-path witness）记录从起点到 ACT 实际走过的已验证 DAG 路径。ACT 适配器在执行不可逆动作前检查四条件：

1. 屏障覆盖：执行路径见证匹配恰好一条声明的路径义务，且包含一个已决议的合规屏障；
2. 策略与账本钉扎：决议产生于本事务钉住的同一治理策略版本与账本前缀；
3. 工件身份：动作消费的工件哈希与决议绑定的哈希一致（EDIT 场景绑定 Hpre、H∆、Hpost 三元组）；
4. 安全复用/自动化：复用需规范等价 + 凭证新鲜度 + 追加新派生记录；自动化规则需其声明的校验器全部通过。

任何一条不满足，动作被阻断。

四、问题解法：三套机制如何落地

4.1 Receipts：联合摘要让移植无处遁形

类比：收据就像购物小票上的「订单号—商品条码—POS 机流水号」三联绑定。你把小票上的商品换一件，收银系统对账时立刻对不上。

具体机制分四层：

• 发射锚（emission anchor）：每条声明 c 记录 ρ_c = (事件索引 j, 字段 f, 半开区间 [u,v), 声明哈希 h_c)。验证器重建 E_j[f][u:v]，要求逐字符等于 c 且 SHA-256 匹配。锚越界、字段未声明、哈希不匹配一律 fail-closed。
• 联合承诺（joint commitment）：D_joint(c) = SHA256(域分隔符 ∥ D_exec ∥ h_c ∥ 锚 ∥ 证据引用哈希 ∥ 清单哈希)。任何跨声明/跨动作/跨运行/跨版本的移植都会改变验证输入。
• 完整性/支持双平面：V_int = V_emit ∧ V_source ∧ V_trace ∧ V_joint ∧ V_state，全部是确定性检查；语义支持 V_sup（词法重叠、冲突感知守卫、NLI、LLM 评判或人工）单独报告。论文用 16 次「词法对抗」突变证明了这个分离的必要性：结构完备的收据可以挂着语义不充分的证据通过验证（16/16 被接受——这是设计使然，不是缺陷，它划出了完整性平面的能力边界）。
• 生命周期八阶段：观测→记录→承诺→验证→持久化→账本重放→执行重跑→最后才联接 oracle 标签。标签在轨迹冻结前对在线策略不可见，答案质量无法反过来污染收据构造。

4.2 ContractRL：掩码 + 确定性转移 + 组相对优化

类比：就像编辑一份已签署的合同，你不该重抄整份合同，而是在变更单上改那一行；变更单还要先过法务（确定性校验器）才能生效。

三层机制：

• 契约感知动作掩码：在策略输出前滤掉畸形操作、不可用路径、不可变路径编辑、超预算动作。消融显示去掉掩码会产生 26 次不安全派发、语义成功跌到 0.8971——这是「完整契约是被评估系统的一部分」的直接证据。
• 组相对策略优化：R = Σ[语义成功] − λ_c·附带编辑 − λ_r·重试 − λ_u·不安全动作 − λ_t·token，约束零不安全派发。策略优化把语义成功从 SFT 的 0.9186 推到 0.9375，同时五项成本全部下降。
• 冻结账本：补丁序列、校验器状态、重试计数在摘要写入后不可变；标准对象与语义标签在轨迹冻结后才联接（与 Receipts 共享同一审计边界设计——两篇姊妹篇的方法论互文）。

边界同样诚实：单字段损坏语义成功 0.9502，嵌套/数组降到 0.8516，歧义/多字段 0.7935；八步多轮轨迹语义成功 0.6457。局部修复假设被违反时协议依然安全（fail-closed），但能力边界清晰可见。

4.3 Guarded Commits：账本 + 见证 + 凭证隔离的提交边界

类比：银行转帐不是「客户说自己有钱就转」，而是柜员在按下确认键的瞬间核对四件事：这个业务流程走完了吗（路径覆盖）、按的是哪个版本的制度（策略钉扎）、转账单上的金额账号对得上吗（工件身份）、这人的授权还有效吗（凭证新鲜度）。

三个关键设计：

• HUMAN 屏障：计划 DAG 中显式声明类型化审批屏障（保护的动作类型、要求的审查者能力、允许的决定 APPROVE/EDIT/∆/REJECT、证据 schema），审查者看到的是内容寻址快照而非活状态。
• 决策复用即新记录：缓存命中不会把动作「重定向」到旧事件，而是追加一条新的派生决议记录，其指针必须解析到钉住前缀内的非派生 HUMAN 根或策略声明的自动化根——派生记录不能作为另一派生记录的来源，防止复用链条无限自我循环。缓存未命中的唯一去向是回到人工审查，永远不是直接放行。
• 凭证隔离：不可逆动作的凭证（merge token、发布密钥）只 held by ACT 适配器，Agent 进程拿不到。论文毫不留情地指出：Claude Code、Cursor 这类 IDE Agent 栈把 bash 工具跑在用户 shell 凭证可达的环境里，一个想绕过提交适配器的 Agent 完全有凭证这么做——这是部署问题，不解决它，前面的谓词全是纸面文章。

五、评估指标与实验证据

5.1 Receipts：攻击检测率与属性必要性

这个实验设计的证明力在于留一属性消融：去掉任何一个属性（P1 声明发射绑定……P7 版本/访问绑定），对应攻击族的检出率全部跌到 0.0156–0.0625，而不相关检查保持不变——对角线损失证明七个属性每一个都必要。基线对比则精确量化了「缺失的关联」：给引用+trace 加上共享 run ID 也只能把声明移植检出从 0.1797 提到 0.2266，显式声明锚定才是关键。

其次是一组容易被忽略但极重要的「不干扰」证据：审计仪表化后事件轨迹精确保真 0.9986、最终答案保真 0.9992、任务成功率差 0.0000——收据层没有改变被审计的执行本身。成本侧：序列化 0.19ms、在线验证 0.47ms、账本重放 1.31ms、存储开销 16.9%（每收据 1,876 字节）。

支持平面在 384 对独立盲评（标注者一致 κ=0.834）上：冲突感知守卫精确率 0.9213 / F1 0.8865 / 误接受 0.0729，全面优于词法重叠的 0.7328 / 0.8019 / 0.3229；未见失败族上 0.8679 / 0.0938 依然领先。动态文档场景：陈旧版本拒绝 0.9947、未授权跨度拒绝 0.9896、注入抵抗 0.9078。

5.2 ContractRL：同信息对照 + 配对显著性

决定性的实验是同信息对照（表 2）：四个臂（整对象重生成、约束解码、Patch-SFT、ContractRL）看到完全相同的公共校验块（候选、schema、类型化错误码、JSON Pointer、公共修复历史），只有输出表示与决策规则不同：

token 从 137.2 降到 34.4（-75%），附带编辑从 0.1876 降到 0.0169（约 11 倍），语义成功反而更高——这个设计排除了「信息差异」解释，增益只能来自输出表示与决策规则本身。三种子配对评估给出显著性：语义成功 +0.0396（95% CI [+0.0137, +0.0662]，p=0.0039），生成 token 的效应量高达 -0.91。

配套证据链完整：上下文消融（2B 适配器 object match 0.9141 vs 去掉验证块 0.0742）、组件消融（去掩码 26 次不安全派发）、盲审（120 例人机一致率 0.9417、误接受 0.0167、中位审查时间 18.6s 全场最佳）、预算-精度-局部性前沿（2 操作/2 尝试是低成本拐点而非最高精度点）。

5.3 Guarded Commits：验证器精度与大规模重放

实验设计有两处值得称道的诚实：其一，明确声明「证据仅限轨迹重构」——验证器测试是合成 DAG 上的单元测试，不测真实绕过抵抗；公共轨迹无原生凭证证明，能力谓词检验是合成合理性检查。其二，W-Tran 归因实验是全文的示范性时刻：加一条「docs-only 之外的低风险翻译段绕过规则」后分歧翻倍至 10.6%，团队用账本把增量分歧归因到那一条规则（绕过队列条件分歧约 63%），再对 25,004 个分歧做关键词审计，识别出 3,444 例（13.8%）属于规则声明校验器覆盖之外的三种失败模式（不流畅 1,768、语序重排 1,531、术语 145）。账本不仅拦截，还能归因——这正是「审批可审计」的完整含义。

六、效果优势的根源解释

6.1 因果链：为什么这三套方案结构性优于基线

Receipts 优于引用+trace 基线的根源：基线的失败不是缺信息，而是信息之间缺少密码学关联。引用元数据合法、执行日志合法，二者可以独立成立又互相移植——基线在声明移植上只检出 0.1797 正是这种「局部合法、整体欺诈」的结构性盲区。联合摘要 D_joint 把声明哈希、锚、证据引用、执行摘要放进同一个哈希函数的输入，于是任何维度的移植都必然改变验证输入（→检出 0.9961）。留一属性消融把这条因果链钉死：去掉 P1，声明移植检出跌至 0.0312；去掉 P7，版本交换检出跌至 0.0234——每个属性对应一条独立的因果通路。（论文实验已支持）

ContractRL 优于重生成的根源：整对象重生成的输出空间随对象大小线性膨胀，其中绝大部分 token 花在重写本来正确的字段上——这不仅是浪费，更是风险：每个被重写的正确字段都是一次潜在的附带编辑（基线 0.1876）。补丁表示把输出空间压缩到「错误字段附近」（token -75%），附带编辑随之坍缩到 0.0169；掩码+确定性转移在统计层之外保证了零不安全派发的硬上界——这是概率方法不可能给出的。语义成功反升（0.9362 > 0.9148）的机制解释：局部约束消除了重生成中「语法对但意图字段被改」的失败模式。（论文实验已支持；消融与同信息对照构成完整证据）

Guarded Commits 优于「日志式审批」的根源：日志的根本缺陷是时序错位——它记录的是「过去发生过一次批准」，而提交需要的是「此刻路径被覆盖」。执行路径见证把覆盖检查从「有没有人批过」改写为「本次执行走的路径是否恰好匹配一条声明义务且含合规屏障」，配合内容寻址快照使「审查者看到的东西」事后可重放（哈希匹配 1.000）。W-Tran 归因实验额外证明：当自动化规则越过其声明覆盖时，账本能把伤害定位到具体规则——可归因性本身就是谓词化带来的结构性收益。（论文实验已支持）

6.2 外部检索交叉验证

综合判断：三篇论文共有的机制主张——「完整性靠确定性谓词、语义靠独立平面、审批靠提交时检查」——得到供应链安全（in-toto/CT 十年部署）与 JSON 编辑效率（JSON Whisperer 独立复现补丁增益）的多源支持；未发现反例文献，但需注意适用条件：Receipts 依赖可信记录器边界（记录器被攻陷则保证失效，论文自己声明）；ContractRL 的局部修复假设在歧义/多字段场景衰减；Guarded Commits 的合成验证器测试不等于真实绕过抵抗。三者共同的不决问题：当对手就是持有凭证的被劫持 Agent 时，治理只能靠凭证隔离这一部署层手段兜底。

七、必要知识反推：要做这三件事，最少必须知道什么

领域知识层：

• 工具智能体的运行结构（事件序列、观测序、预算账本）——否则无法定义「执行前缀」这种锚定单位；
• 结构化输出的失败形态学（缺字段/错类型/嵌套/数组/多字段/歧义指针）——ContractRL 的评估分层完全建立在这套分类上；
• HITL 工作流的现实形态（PR 审查、译后编辑、写作建议采纳）——Guarded Commits 的三个工作负载直接取自真实公共轨迹。

方法论知识层：

• 密码学哈希承诺与域分离（domain separation）——Receipts 的联合摘要一字节都不能设计错，否则自引用或递归承诺会破坏可重放性；
• MDP 形式化 + 组相对策略优化（GRPO 系）——ContractRL 用它把「修复决策」变成可优化对象；
• 数据库事务与提交谓词、Saga 模式、W3C PROV / in-toto / C2PA 谱系——Guarded Commits 的四条件谓词是这些标准的直接后代。

工程知识层：

• 确定性序列化（canonical JSON：键序、分隔符、Unicode 转义、非有限数禁用）——三个系统都靠「逐字节可复现」支撑重放；
• 评测协议设计（信息边界冻结、oracle 后联接、留一消融、配对自助法区间）——三篇论文的方法论严谨度高度一致，显然是同一审查文化的产物；
• 真实数据工程（Wikimedia dump、AIDev-pop、CoAuthor 的获取与机械转换）。

知识融合的关键节点：最关键的化学反应发生在「旧完整性机制 × 非确定性自然语言输出」的交界处。in-toto 的对象是确定的工件字节流，而 Agent 的声明是概率采样出的 token 序列——直接搬哈希链没用。Receipts 的发射锚（把声明钉进已提交事件前缀的具体字段区间）就是融合的产物：它承认输出不可预测，但输出一旦发生即可被钉死。同理，ContractRL 把数据库「局部更新」思想嫁接到 MDP 动作空间，Guarded Commits 把 ACID 提交谓词嫁接到 LLM 工作流 DAG——三篇各自完成了一次「确定性谓词 × 概率输出」的缝合，这是它们能成文的共同知识底座。

八、论文中可以提取的通用性灵感

灵感一：完整性平面与语义平面必须分离。 结构有效不等于语义充分——Receipts 用 16/16 词法对抗接受实验正面证明了这一点，用 384 对盲评证明语义平面的独立价值。推广场景：内容审核（哈希校验通过的存档仍需语义复审）、法律科技（合同签署完整性与条款公平性分离评估）、医疗 AI（报告格式合规与诊断正确性分层）、任何「合规检查」与「质量检查」被混为一谈的系统。

灵感二：修复应当是「有界事务」而非「整体重写」。 ContractRL 的 -75% token 与 11 倍附带编辑下降证明：在一个已基本正确的对象上，最小化改动面同时改善效率、安全与可审计性。推广场景：代码 review 的最小 diff 文化（可机器强制化）、配置管理系统的纠错、数据库的 schema migration（增量优于重建）、文档协作的修订追踪、组织流程中的「局部问责」（谁改的哪一行，一目了然）。

灵感三：日志不是谓词——授权必须在提交时刻检查。 Guarded Commits 的核心格言。任何「事后追责」式治理都存在时序漏洞：被记录的批准不能授权未来的动作。推广场景：API 网关设计（session token ≠ 此刻权限）、财务审批流（昨天的预算批文不覆盖今天的价格）、自动驾驶的冗余确认、CI/CD 的部署门禁、物理门禁系统（刷卡记录不等于门开着）。

灵感四：复用先验决定必须「追加新记录」，且派生链必须有限。 缓存命中不重定向到旧事件，而是产生新的可审计决议，指针只能解析到非派生根——这防止复用链条无限自我引用。推广场景：医学诊断参考历史病例（需绑定当前病人上下文）、法务引用判例（需声明「当前案情等价」的规范化依据）、推荐系统的用户同意继承（GDPR 场景下派生同意不能自我繁殖）。

灵感五：留一属性消融是证明「每个组件都必要」的黄金标准。 Receipts 的对角线损失（去哪个属性、哪类攻击就漏检）比整体数字更有说服力。推广场景：安全系统的纵深防御评估、团队人效归因（去掉某个角色哪个环节崩）、微服务依赖审计、教育课程的先修知识验证。

灵感六：把信任锚从概率系统移到确定性系统，是 AI 安全的现实主义路径。 三篇论文都拒绝「加一个更强的 LLM 守门员」，坚持校验器是确定性代码、谓词是可计算函数、凭证在推理层之外。外部检索（Parallax、GuardAgent 线）也支持：被攻陷的推理系统内提示层防护为零。推广场景：自动驾驶的规则兜底层、金融风控的硬限额、核电站的安全联锁——「AI 提议、谓词决定」的分工模式。

灵感七：账本的价值不止拦截，更在归因。 W-Tran 把分歧翻倍归因到一条具体规则、再下钻到三类校验器盲区——这种「事后可下钻」的能力来自每条决议记录用过的键、路径与规则。推广场景：事故复盘（Root Cause Analysis 自动化）、A/B 测试的异质性分析、供应链召回的精确批次定位、监管科技的交易溯源。

附：三篇合读的一张总账

三个团队、三个大洲、三个学科分类（cs.CR / cs.AI / cs.DB），在同一个月里从不同方向收敛到同一套词汇——收据、契约、账本、谓词、重放。当 Agent 的能力边界还在快速扩张时，它的治理词汇表看起来正在收敛。这或许是本篇合读最值得记住的元信号。