Accentrust
搜尋註冊登入
研究論文預印本 · arXiv v2

Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales

面向 AI 智能體的解釋綁定工具執行：無需信任模型理由的服務端驗證行動聲明

模型給出的理由不等於授權。EBTE 將相關內容轉化為有邊界、可驗證的聲明，並在任何工具效果發生前交由服務端核驗。

Genliang Zhu, Chu Wang

黑色像素馬賽克聲明路徑經過服務端驗證邊界後，才到達受治理的工具執行效果。

研究概覽

使用工具的 AI 智能體通常會在結構化呼叫之外附上一段自由文字解釋。這段解釋可能聽起來合理，卻指向錯誤工具、遺漏外部目標、低估風險、依賴不可信內容，或引用已經過期的證據。

解釋綁定工具執行把解釋視為一組不可信聲明。服務端會將其中的型別化聲明與目前意圖憑證、規範工具中繼資料、請求酬載、策略、授權路由、情境風險狀態和證據摘要進行比較。存在矛盾則拒絕；證據不完整或不確定則進入不執行的審查；只有完全相符的聲明才有資格繼續進入下游執行效果控制。

英文摘要

Tool-using agents expose structured calls but commonly attach free-form rationales. Such rationales are neither authorization nor reliable introspection. We present Explanation-Bound Tool Execution (EBTE), a claim-carrying mediation layer that converts decision-relevant rationale content into typed action claims and checks them against server-held intent, policy, payload, tool, risk, provenance, and freshness facts. EBTE cannot widen baseline authority: conflicts deny, incomplete or uncertain claims review, and only matching claims remain eligible for governed execution. We formalize this composition under explicit mediation and trusted-fact assumptions and implement a versioned reference profile with minimized audit packets. Across 136 authored conformance scenarios, the full profile matches all specified dispositions, admits none of 96 designated hard contradictions, and passes 232 metamorphic checks. A draft-only reference integration forwards none of 48 authored hard cases under EBTE while preserving all 16 soft-review and 4 aligned draft paths. In a frozen 2026-07-12 exploratory 224-attempt hosted-model record, the historical generation/runner agreement counts are 71/96, 66/96, and 19/32; a zero-call revalidation of the preserved minimized claims under the current pipeline yields 70/96, 65/96, and 17/32. In an AgentDojo-derived semantic check, existing high-risk controls make all 12 attack proposals non-allow, while EBTE resolves the task–proposal contradictions as deny. Together, these studies establish profile conformance and demonstrate the feasibility of server-checked action claims within the evaluated settings.

核心貢獻

  1. 01

    行動聲明抽象

    將具有說服力的理由文字與有邊界的 ToolInvocationExplanation 分離，並依據應用系統的權威狀態獨立檢查其中具有執行約束力的欄位。

  2. 02

    不可擴權的組合規則

    定義「允許、審查、拒絕」三結果決策格，使基礎授權、EBTE 與執行效果控制始終採用最嚴格的組合結果。

  3. 03

    可執行參考設定

    提供嚴格 Schema、穩定原因分類、參考驗證器、最小化稽核投影、一致性設定及跨成果完整性檢查。

  4. 04

    分層機制證據

    評估人工編寫的一致性與變形檢查、僅產生草稿的執行環境整合、凍結的託管模型記錄，以及基於 AgentDojo 的語義調適。

EBTE 如何擴展治理技術棧

意圖治理授權先依據使用者目前請求收窄可用工具與執行效果。EBTE 隨後檢查擬執行動作的型別化解釋聲明，是否與這些上游記錄及實際酬載一致。

EBTE 不能授予權限。它在 OpenPort 下游的草稿、preflight、確認、冪等性與 State Witness 控制之前增加驗證層；基礎授權或執行效果控制中任何更嚴格的結果仍然優先。

  1. 01使用者意圖
  2. 02符合條件的工具
  3. 03經過驗證的行動聲明
  4. 04受治理的執行效果

證據與適用範圍

本文目前是 arXiv v2 預印本。現有證據證明了人工編寫參考設定的一致性，並展示了該機制在所評估草稿邊界情境中的可行性，但不構成生產安全證明。僅產生草稿的整合沒有涵蓋後續「核准到執行」的狀態轉換；託管模型記錄屬於凍結的探索性資料；AgentDojo 調適僅用於診斷；相關保證仍依賴正確的服務端事實與完整中介。內部評估成果未隨論文公開散布。

引用本文

建議使用 DOI 作為穩定引用。下方 BibTeX 記錄對應本頁面標示的 arXiv 版本。

Zhu, G., & Wang, C. (2026). Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales [Preprint]. arXiv. https://doi.org/10.48550/arXiv.2607.25364

@misc{zhu2026ebte,
  title         = {{Explanation-Bound Tool Execution for AI Agents: Server-Verified Action Claims Without Trusting Model Rationales}},
  author        = {Zhu, Genliang and Wang, Chu},
  year          = {2026},
  month         = jul,
  eprint        = {2607.25364},
  archivePrefix = {arXiv},
  primaryClass  = {cs.AI},
  doi           = {10.48550/arXiv.2607.25364},
  url           = {https://arxiv.org/abs/2607.25364},
  note          = {arXiv:2607.25364v2}
}