Accentrust
搜索注册登录
研究论文预印本 · arXiv v2

Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales

面向 AI 智能体的解释绑定工具执行：无需信任模型理由的服务端验证动作声明

模型给出的理由不等于授权。EBTE 将相关内容转化为有边界、可验证的声明，并在任何工具效果发生前交由服务端核验。

Genliang Zhu, Chu Wang

黑色像素马赛克声明路径经过服务端验证边界后，才到达受治理的工具执行效果。

研究概览

使用工具的 AI 智能体通常会在结构化调用之外附上一段自由文本解释。这段解释可能听起来合理，却指向错误工具、遗漏外部目标、低估风险、依赖不可信内容，或引用已经过期的证据。

解释绑定工具执行把解释视为一组不可信声明。服务端会将其中的类型化声明与当前意图证书、规范工具元数据、请求载荷、策略、授权路由、上下文风险状态和证据摘要进行比较。存在矛盾则拒绝；证据不完整或不确定则进入不执行的审查；只有完全匹配的声明才有资格继续进入下游执行效果控制。

英文摘要

Tool-using agents expose structured calls but commonly attach free-form rationales. Such rationales are neither authorization nor reliable introspection. We present Explanation-Bound Tool Execution (EBTE), a claim-carrying mediation layer that converts decision-relevant rationale content into typed action claims and checks them against server-held intent, policy, payload, tool, risk, provenance, and freshness facts. EBTE cannot widen baseline authority: conflicts deny, incomplete or uncertain claims review, and only matching claims remain eligible for governed execution. We formalize this composition under explicit mediation and trusted-fact assumptions and implement a versioned reference profile with minimized audit packets. Across 136 authored conformance scenarios, the full profile matches all specified dispositions, admits none of 96 designated hard contradictions, and passes 232 metamorphic checks. A draft-only reference integration forwards none of 48 authored hard cases under EBTE while preserving all 16 soft-review and 4 aligned draft paths. In a frozen 2026-07-12 exploratory 224-attempt hosted-model record, the historical generation/runner agreement counts are 71/96, 66/96, and 19/32; a zero-call revalidation of the preserved minimized claims under the current pipeline yields 70/96, 65/96, and 17/32. In an AgentDojo-derived semantic check, existing high-risk controls make all 12 attack proposals non-allow, while EBTE resolves the task–proposal contradictions as deny. Together, these studies establish profile conformance and demonstrate the feasibility of server-checked action claims within the evaluated settings.

核心贡献

  1. 01

    动作声明抽象

    将具有说服力的理由文本与有边界的 ToolInvocationExplanation 分离，并依据应用系统的权威状态独立检查其中具有执行约束力的字段。

  2. 02

    不可扩权的组合规则

    定义“允许、审查、拒绝”三结果决策格，使基础授权、EBTE 与执行效果控制始终采用最严格的组合结果。

  3. 03

    可执行参考配置

    提供严格 Schema、稳定原因分类、参考验证器、最小化审计投影、一致性配置和跨成果完整性检查。

  4. 04

    分层机制证据

    评估人工编写的一致性与变形检查、仅生成草稿的运行时集成、冻结的托管模型记录，以及基于 AgentDojo 的语义适配。

EBTE 如何扩展治理技术栈

意图治理授权先依据用户当前请求收窄可用工具与执行效果。EBTE 随后检查拟执行动作的类型化解释声明，是否与这些上游记录及实际载荷一致。

EBTE 不能授予权限。它在 OpenPort 下游的草稿、preflight、确认、幂等性与 State Witness 控制之前增加验证层；基础授权或执行效果控制中任何更严格的结果仍然优先。

  1. 01用户意图
  2. 02符合条件的工具
  3. 03经过验证的动作声明
  4. 04受治理的执行效果

证据与适用范围

本文目前是 arXiv v2 预印本。现有证据证明了人工编写参考配置的一致性，并展示了该机制在所评估草稿边界场景中的可行性，但不构成生产安全证明。仅生成草稿的集成没有覆盖后续“批准到执行”的状态转换；托管模型记录属于冻结的探索性数据；AgentDojo 适配仅用于诊断；相关保证还依赖正确的服务端事实与完整中介。内部评估成果未随论文公开分发。

引用本文

建议使用 DOI 作为稳定引用。下方 BibTeX 记录对应本页面标注的 arXiv 版本。

Zhu, G., & Wang, C. (2026). Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales [Preprint]. arXiv. https://doi.org/10.48550/arXiv.2607.25364

@misc{zhu2026ebte,
  title         = {{Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales}},
  author        = {Zhu, Genliang and Wang, Chu},
  year          = {2026},
  month         = jul,
  eprint        = {2607.25364},
  archivePrefix = {arXiv},
  primaryClass  = {cs.AI},
  doi           = {10.48550/arXiv.2607.25364},
  url           = {https://arxiv.org/abs/2607.25364},
  note          = {arXiv:2607.25364v2}
}