Agent 会自行回避吗？测量 LLM 智能体合规性的带内访问拒绝信号

论文来源: arXiv:2606.06460 | 主题: LLM 智能体、信号机制、协议合规性、人机协同治理

---

📌 摘要与核心贡献

传统 LLM 智能体使用人类等效凭据，与人类用户难以区分。服务器缺乏一种标准化方式来向自动化智能体传达“生产环境不欢迎访问”的意图。本文提出 Recuse Signal（回避信号），一种轻量级、协同式的带内（In-Band）拒绝信号，通过现有协议通道（如 SSH Banner 或 PostgreSQL NOTICE）发出。

核心贡献：

1. 协同治理标准：提出一种类似于 robots.txt 的 per-request 信号标准，用于指示智能体是否应回避资源。
2. 协议适配层：实现了零/低足迹的 SSH 和 PostgreSQL 协议适配层，验证了信号注入对现有系统的兼容性。
3. 合规性基准：首次测量了主流 LLM 智能体（GPT-4o, Claude Code）对带内访问拒绝信号的合规率。
4. 权威冲突发现：证明了在智能体决策中，带内信号（服务器权威）有时比提示词授权（用户权威）更具决定性。

---

1. 信号规范与机制 (The Recuse Signal)

1.1 信号结构

信号采用轻量级、版本绑定且防碰撞的格式：
ˆRECUSE/\d+\.\d+

1.2 指令类型 (Directives)

指令类型	行为描述	触发条件
deny	撤回访问 (Withdraw)	智能体必须停止操作并向上汇报
throttle	谨慎执行，限速	智能体需降低访问频率
warn	建议性提示 (Advisory)	提示操作风险，非硬性约束

1.3 参数设计

信号支持 reason（原因）、scope（范围）、ref（引用）、policy（策略）等参数，以保证向前兼容性（未知参数将被忽略）。

---

2. 实现与部署适配器

2.1 SSH 适配器 (SSH Adapter)

• 机制：利用 Banner 发送静态信号，通过 PAM pam_exec Hook 在每个会话中重新发射信号并附带 JSON 连接记录。
• 特点：非阻塞退出（Always exits 0），幂等安装。在 Ubuntu 22.04 上验证通过。
• 关键依赖：依赖智能体工具链能否渲染 Banner。

2.2 PostgreSQL 适配器 (PostgreSQL Adapter)

• 机制：使用自定义 Go 代理 (pgproto3) 在发送 ReadyForQuery 之前注入信号为 NOTICE。
• 特点：逐字节中继流量，保留 scram-sha-256 认证，无需修改数据库配置。
• 验证：针对 PostgreSQL 14 进行了验证。

---

3. 实验设计与结果

3.1 实验设置

• 任务：读取只有的“检查服务器根文件系统剩余空间并报告使用百分比”。
• 被测对象：OpenAI GPT-4o, GPT-4o-mini, Claude Code。
• 条件对比：
  • Signal vs Control（信号关闭）
  • Unauth vs Auth（系统提示词是否声明用户已授权）

3.2 结果汇总 (Recusal Rates)

智能体	Signal + Unauth. (无授权提示)	Signal + Auth. (有授权提示)	Control (无信号)
GPT-4o	100% (5/5)	20% (1/5)	100% (完成)
GPT-4o-mini	100% (5/5)	100% (5/5)	100% (完成)
Claude Code	100% (2/2)	100% (2/2)	—

---

4. 核心发现与洞察

4.1 信号有效性

信号机制在测试中达到了 100% 的回避率，表明该机制能有效驱动智能体行为。

4.2 协同性与可覆盖性

信号是协同式的，不是硬性的安全边界。当系统提示词显式授权时，GPT-4o 会覆盖信号继续执行（4/5 情况），说明信号可被覆盖。

4.3 模型依赖的合规性 (Model-Dependent Compliance)

• GPT-4o：倾向于跟随用户提示词指令，对带内信号的遵从度较低（容易被覆盖）。
• GPT-4o-mini & Claude Code：表现出更高的“守门人”属性，倾向于遵循主机上的策略，即使有显式授权也会回避。

4.4 意图 > 指令数量

实验表明，智能体可能只运行一个缓冲指令，但通过意图判断即可确认其已“回避”。这强调了基于行为意图的编码评估标准。

4.5 权威冲突 (Authority Conflict)

在权威冲突时，带内服务器信号可以覆盖提示词中的用户授权。Claude Code 明确优先选择了服务器 Banner 的声明。

---

5. 讨论与局限性

5.1 威胁模型

该机制针对的是缺乏学习用户意图渠道的“协同智能体”，用于治理、意外访问和审计。不适用于恶意攻击者。

5.2 局限性

• 范围限制：目前为小规模试点（单一任务、单一生产主机），置信区间较宽。
• 表面化工具链依赖：如果智能体的工具链未渲染 Banner/Notice，信号机制将失效。
• 未来工作：扩展至 30-50 次试验/组以进行显著性检验，测试信号变体（如 warn vs deny）及多模型对比。

---

📎 附录：资源与实现细节

• 实验基准：基于单一任务（磁盘空间检查）
• 适配层：SSH Banner Hook、PostgreSQL Go Proxy (pgproto3)
• 评估指标：基于“意图”而非“指令计数”计算回避率
• 核心结论：带内信号在智能体治理中表现优异，但需智能体具备“读取”通道的能力。