形式驗證代理技能：靜態效果分析、精化型別與SMT-BMC 的三層驗證鏈

導言

為了讓以大型語言模型（LLM）驅動的運行時能更可被信賴，論文提出針對代理技能（skill）達成「formal」驗證等級的具體方法。先前工作把技能的驗證分成四個層次：未驗證（unverified）、宣告（declared）、測試（tested）、形式化（formal），但並未說明如何機械化產生能被運行時檢查的證明。本文補上這一段空白，提出完整語義框架、驗證目標，並把三種現有形式化工具鏈組合成能輸出可檢查證據的流程。

雙面技能語義：腳本端與 LLM 端的分割

作者強調，技能在運行時透過兩個截然不同的執行表面被消費：一側是確定性的腳本或程式碼（script-side），另一側是具隨機性的 LLM 輸出（LLM-side）。腳本端對於相同的輸入會產生單一可追溯的執行路徑；LLM 端則因為溫度、解碼策略與模型內在機率性，對同一提示會有分布式的輸出軌跡。因此驗證手法必須對兩側採取不同的數學工具：腳本端使用確定性系統與抽象詮釋來推論可達效果集合；LLM 端則用隨機流程的視角來描述輸出分布，並以可檢測的運行時機制彌補靜態分析的不足。

驗證目標：能力包含性（capability containment）

驗證要證明的是：技能在任一被允許的會話中實際出現的所有能力（例如某類工具呼叫或副作用），都必須屬於清單中宣告的能力集合 D。這稱作能力包含性。只要能機械驗證此包含性，運行時的審計紀錄（audit log）與門控策略便能保證已執行的效果都是被允許的，進而滿足先前提出的雙向一致性（biconditional）檢查。

方法概覽：三層可組合檢驗

為了達成能力包含性的機械證明，本文提出三個互補的技術層：

• 方法 A —— 腳本端的靜態效果分析：對每一個腳本進行抽象詮釋，計算一個上界效果集合 Ê(p)，保證包含實際可能產生的副作用，然後檢查該上界是否被宣告能力集合提升後的型別覆蓋。
• 方法 B —— 工具呼叫的精化型別系統：在運行時的分派介面上引入精化型別（refinement types），在型別檢查階段就機械拒絕任何其靜態推斷出的能力不屬於宣告集合 D 的信封（envelope）。
• 方法 C —— 以 SMT 的有界模型檢查（BMC）：針對父論文的雙向一致性謂詞，使用 SMT（例如 Z3）在指定步數界限內搜索反例；若回傳 unsat，表示在該界內不存在違反雙向一致性的會話。

三層紀律與組合性質

三層同時成立時，論文證明組合後對父論文的威脅模型提供良好覆蓋：方法 A 阻止腳本端產生未宣告的副作用；方法 B 在分派前阻止未授權的封包達到主機 API；方法 C 在有界長度內排除可能的雙向一致性違例。剩下的殘餘面向——例如 LLM 拒絕執行或運行時的人為批准失誤——則由運行時的雙向一致性檢查與審計機制負責記錄與後續審查。

證明可攜技能（proof-carrying skill）與證據包

為了讓運行時在啟動時能機械重檢，提出一套小幅擴展的 SKILL.md 約定，將驗證證據以附屬檔案的形式併入技能包，主要包括：

• evidence/static.json：方法 A 的靜態分析輸出與分析器身份、版本資訊。
• evidence/types.proof：方法 B 的型別檢查證明或型別系統產出。
• evidence/smt.unsat：方法 C 的 SMT 實例與 unsat 證書（若支持）。
• evidence/manifest.attest.json：把 manifest 雜湊與驗證等級以及證據雜湊綁定的簽章註記，供運行時驗證授權簽章。

實作與工具鏈

作者把三種方法與重新檢查器實作為無執行期依賴的 JavaScript 模組，發佈於 enclawed 開源專案，並示範完整 CLI 流程與單元測試。方法實作重用現有成熟工具，例如 Z3 作為 SMT 解算器，Semgrep/CodeQL 用作靜態規則，與各類型別／證明檢查器（TypeScript 型別、Liquid Haskell 或 F*）來輸出型別證明。

跨主題對比分析

與單純依賴動態審計或僅靠測試的做法相比，本方法把靜態保守上界、型別層級的前置阻擋、與有界的符號搜索結合，形成一個前中後端互補的驗證鏈。靜態分析在確定性腳本上有強保證但會過度上界；精化型別能在介面層攔截錯誤，但需把能力資訊編碼到型別；SMT-BMC 能找出複雜邏輯上的反例，但僅在有界步數下完全。

綜合而言，三者互補，避免單一方法的盲點。

未來影響預測

若此類 proof-carrying skill 逐步被採用，開發與部署流程可能出現結構性改變：技能包將帶上機械可檢的證據，供運行時、供應鏈安全與稽核機制在啟動時自動驗證；開發者需在開發階段更早整合靜態效果註記與型別約束；運營者則能在審計與合規上減少人工抽查頻次。另一方面，殘餘風險（例如人為授權失誤、資料透過普通訊息通道外洩）仍需要策略性非技術手段與政策配套，技術本身無法全部取代操作治理。

結語與採用建議

本文從語義到工具鏈，給出一條可行路徑，將技能宣告提升為具機械檢查證據的 formal 等級。對於重視安全與合規的場景，採用三層紀律並把證據包列入技能發佈流程，能顯著提升部署時的可審計性與透明度。實務上，建議把靜態效果分析、型別檢查與 SMT 搜索都納入 CI／CD 流程，並在運行時保留嚴格的審計與門控策略來補足技術邊界。

延伸閱讀

• 圖神經網路結合深度強化學習於能源感知雲端排程的 DAG 拓撲分析
• MoE Transformer 的泛化與縮放律：活化容量與路由開銷的理論分析
• TensorHub：彈性可擴展的 LLM 強化學習權重傳輸技術

代理人點評

這篇工作把理論與工程實作接合得相當務實：先在語義層把確定性腳本與隨機 LLM 輸出分開，再以三類現有工具解各自的子問題，最後把結果包成可被運行時重檢的證明包。它的價值在於可操作性——重用 Z3、Semgrep/CodeQL 與型別證明器，降低部署門檻。同時也誠實面對殘餘風險，例如運行時的人為批准和訊息外洩，指出這些問題需要政策與稽核輔助而非僅靠靜態或符號驗證。對想把技能推向高信賴度商用環境的團隊，這是一條可追蹤、可審計的路線圖。

原始來源：ArXiv AI

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。