AI 智能体的运行时治理：五平面参考架构

这是什么？

2026 年 6 月 10 日，一篇题为 A Five-Plane Reference Architecture for Runtime Governance of Production AI Agents（arXiv:2606.12320）的论文提出了一套用于控制智能体”做什么”而非”说什么”的设计。其出发点是：企业安全是为治理数据边界而建立的——访问控制、DLP 和边界检查都在监视跨越某条界线的数据。而生产环境中的智能体消解了这一假设。它读取上下文、调用工具、唤起连接器，并代表企业修改记录系统，于是风险转移到了工作流内部，进入一连串各自被允许、却可能改变无人授权的业务流程的动作。

这篇论文明确属于系统安全的贡献，并清楚界定了范围：它治理的是被委派的动作，而非模型行为。幻觉、对齐和文本级越狱都不在讨论之列。它契合 2026 年年中智能体安全的主流主题，也与 Adversa 2026 年 7 月综述 一致：把智能体视为内部威胁，并以可加密验证、在运行时执行的护栏来约束其权限。

工作原理

该架构由四个可组合的原语构成。

第一个是五平面分解。唯一的推理平面是唯一对决策上下文具有完整可见性、也是唯一被授权作出裁决的层；它评估执行主体、当前计划、会话状态和决策历史，随后发出一个决策投影。四个执行平面并行地落实这一单一决策：网络（哪些端点可以通信、采用何种加密态势、以何种速率）、身份（谁在行动、拥有何种范围，通过反映被削减权限的短时凭证实现）、端点（动作执行所处的运行态势）以及数据（动作可触及哪些记录——将控制从事后过滤转变为检索前的闸门）。策略只组合一次，然后处处执行，而非在互相矛盾的引擎间联邦化。

第二个原语是**“随处可停”的中介**。治理器出现在智能体循环的七个点上——计划形成、上下文检索、工具选择、参数生成、动作提交、输出返回和审计发出。其输出词汇由六个中断原语组成，泛化了允许/拒绝：暂停、升级、收窄、修改、延迟、回滚（Rollback）。允许与拒绝成为两种退化情形。

第三个是带能力削减的复合主体：主体是一条委派链，而非一条记录。有效权限是链上各能力集合的交集，仅限未过期的能力，并以加密方式绑定到该链。每一次委派跳转只能减少权限，且生存时间（TTL）是一等公民。

第四个是作为结构化证据基底的审计——每次决策都产生防篡改、可重建的记录，区别于”日志即审计”，并接入既有的 SIEM/OpenTelemetry 管道。

为什么重要

论文最锋利的一点在于为什么当今的策略引擎无法延伸到智能体：它们按请求而非按计划决策，假定原子主体而非委派链，表达绝对而非削减后的权限，无状态，且返回布尔值。智能体工作流一次性打破了这五个假设。

在此基础上，作者列举了该架构意在封堵的七类生产智能体威胁：经工具输出到来的间接提示注入、“读取再外泄”式的工具链滥用（即”致命三要素”）、因粗粒度 OAuth 或 MCP 范围导致的连接器越权、审批规避、委派链利用、审计不透明，以及工作流完整性丧失。每一类都对应到具体的中介点和原语，而非笼统的”加个护栏”。

防御

论文本身就是一份防御蓝图；即使从不采用完整栈，其启示也可推广。

• 把决策移到意图，并在乏味之处执行。 针对完整上下文对一个计划仅裁决一次，然后让你已经运行的网络、身份、端点和数据控制去落实该裁决。五个平面中你多半已拥有其中四个。
• 让数据成为检索前的闸门，而非事后过滤。 在检索之前约束智能体可检索的候选集，使不可信内容从一开始就无法进入上下文。
• 将主体建模为逐步削减的链。 为每一次委派跳转签发短时、缩小范围的凭证；权限只应递减，并按计时器过期。粗粒度的连接器范围正是越权藏身之处。
• 给自己多于允许/拒绝的动词。 在硬性拦截会破坏任务、硬性放行又不安全之处，收窄、修改、延迟和回滚可以保住可用性。
• 把审计当作证据，而非日志。 一条防篡改、可重建的决策记录，才能在事后回答”谁授权了这个动作，且是在何种被削减的权限下”。

状态

项目	值
来源	arXiv:2606.12320v1，2026 年 6 月 10 日发布
类型	参考架构（防御性），单一作者
范围	治理被委派的动作；不含模型行为、硬件证明、侧信道、拒绝服务
已验证	参考策略引擎核心：每次试验中削减正确性与证据可重建性均成立；裁决在个位数微秒内完成；防篡改行为符合设计
未验证	不变式为结构化论证，非形式化证明；尚无针对真实智能体基准的完整系统评估
基准锚点	采用 AgentDojo 作为所提评估框架的攻击语料库

关键日期：2026 年 6 月 10 日——论文发布于 arXiv。作者将针对真实智能体基准的完整系统评估列为受邀的下一步；因此，请将微秒级延迟与正确性数字视为对该架构内部主张的验证，而非端到端的生产结果。