知识卡片：面向可组合 LLM 智能体安全控制的契约框架 CONTINUITY

一句话结论

大型语言模型（LLM）智能体系统中，即使每个安全机制单独看都是正确的，组合起来仍可能出现端到端安全漏洞；CONTINUITY 通过为组件建立“假定-保证”契约，并在跨组件传递时携带经认证的安全上下文，使安全控制可验证地组合起来。实验显示，在 2,560 个参数化攻击实例中，完整 CONTINUITY 配置未产生有害外部效果，同时完成了全部 700 个良性任务并对 200 个歧义案例进行了处理。

英文标题

CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls

英文关键词

LLM Agent Security, Security-Context Discontinuity, Assume-Guarantee Contracts, Composable Security Controls, Consequence Integrity

事件概述或研究问题

研究关注 LLM 智能体系统中多种安全机制的组合问题。典型系统会同时使用溯源追踪、授权、策略执行、协议适配器和执行控制等组件。然而，论文指出一个容易被忽视的失败模式：安全关键上下文在动作跨组件边界传递时，可能被丢弃（dropped）、扩大（widened）、重新绑定（rebound）或被重新解释（reinterpreted）。作者将这种失败模式称为 security-context discontinuity（安全上下文不连续），并提出 CONTINUITY 框架来解决该问题。

方法/产品要点

CONTINUITY 的核心思想包括：

• 将每个组件建模为带有 assume-guarantee contract（假定-保证契约） 的模块。
• 在组件之间传递经过认证的安全上下文，具体机制包括：
  • signed root grants（签名的根授权）
  • provenance commitments（溯源承诺）
  • role-bound transition receipts（角色绑定转换收据）
  • bounded typed releases（有界类型化释放）
  • transformation witnesses（转换见证）
  • effect-bound execution permits（效果受限执行许可）
• 提出端到端 consequence integrity（后果完整性） 概念：要求任何实际发生的外部效果，都必须由有效且当前的授权见证来支持，并且该见证需要将主体（principal）、任务、溯源、委托、策略状态、规范动作和最终性边界（finality boundary）联在一起。

主要结果或产业意义

• 论文实现了一个参考验证器，并构建了确定性的跨层故障注入测试套件。
• 覆盖范围：4 个应用领域、32 个故障类。
• 测试规模：2,560 个参数化攻击实例，对应 128 个故障域类别。
• 效果：完整 CONTINUITY 配置在测试中“不会产生有害外部效果”；全部 700 个良性任务完成；200 个歧义案例被全部升级/上报（“escalating”的具体操作含义待核实）。
• 产业意义在于提醒：AI Agent 安全不能只依赖单个安全模块的正确性，还需要在“指令到效果”的完整路径上显式保持安全保证。

为什么重要

已有相关卡片更多关注具体性能优化或单点任务，例如 KV 缓存压缩、生物医学问答流水线或利用拓扑上下文生成 Kubernetes 补丁。本条的价值在于指出一个普遍但常被忽视的系统性问题：当多个安全控制组合在一起时，组件边界上的“上下文断裂”可能抵消每个组件的单独安全性。CONTINUITY 将这种跨边界失效模式概念化，并提出可验证的组合框架，是对“LLM Agent 安全工程”领域的增量贡献。

局限与不确定性

• 目前仅能基于提供的摘要元数据进行整理，完整论文正文未被抓取；“待核实”项包括具体实现语言、参考验证器的实现细节、实际运行成本，以及与现有 Agent 编排框架（如 LangChain、AutoGPT 等）的兼容性。
• 2,560 个攻击实例的生成方式、故障类的内在关联及测试场景的代表性有待细读原文确认。
• “escalating all 200 ambiguous cases” 中“escalating”的具体机制与标准暂时无法从材料中确认。
• 论文是否已经同行评审、是否公开发表或仅为预印本，均待核实。

可用于图书/PPT/简报的角度

• 问题引入角度：“每个安全模块都正确，系统就一定安全吗？”用 CONTINUITY 说明组合安全中的“上下文不连续”风险。
• 概念解释角度：用“授权书传递”作类比：一份授权在多个部门之间流转时，如果每次传递都丢失了原授权范围，最后执行者可能拿着过期或错误的授权去办事。
• 工程实践角度：强调安全上下文应像“不可篡改的快递单”一样随任务完整流转，而不是到每个组件重新询问“你是谁、你能干什么”。
• 未来展望角度：LLM Agent 应用越来越复杂，形式化契约和可验证的安全保证可能成为基础设施需求。

原始材料

• URL: https://arxiv.org/abs/2609.05269v1
• Track: academic
• Topics: foundation-model
• Manual title: CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls
• Candidate summary: 上述摘要内容由用户提供；原始页面未能抓取正文，故细节无法进一步核对。