CAVA：为智能体行动建立可验证的“统一账本”

导语

随着智能体 AI 从聊天界面走向真实工具链，它们不再只是生成文本，而是在本地代码钩子、SDK 工具、浏览器自动化、API 网关、工作流引擎和托管代理平台中发起实际操作。问题也随之变得棘手：同一个“发布代码”“修改身份状态”“转移资金”或“导出数据”的动作，在不同系统里可能留下完全不同的记录。治理者要追问的不是日志里写了什么，而是：到底批准了哪个动作？执行时是否仍是同一个动作？第三方事后能否复现同样的行动身份？

arXiv 论文《CAVA: Canonical Action Verification and Attestation for Runtime Governance of Agentic AI Systems》试图回答这一问题。作者提出 Canonical Action Verification and Attestation，即 CAVA，把异构运行时中的智能体活动转换为规范化的运行时行动对象，作为上层治理流程可以审查、批准和验证的稳定对象。

核心要点

• 解决运行时记录不兼容问题：智能体的行动可能穿过浏览器、API、工作流和本地工具。CAVA 的目标不是替代这些系统，而是在其下方建立一层统一语义表示，让同一类实际操作拥有可比较的行动身份。
• 位于 PCAA 之下：论文将 CAVA 定位为 Proof-Carrying Agent Actions（PCAA）的底层语义基础。PCAA 关注部署方如何路由、审查和证明；CAVA 则定义被治理的“动作对象”究竟是什么。
• 强调审批与执行绑定：如果审批只绑定到一段自然语言说明或某个脆弱日志字段，就容易被包装器、参数变形或运行时差异绕过。CAVA 试图把审批、执行证据和收据完整性绑定到规范化行动身份上。
• 支持语义模式检测：论文讨论了对策略可寻址的语义模式进行识别，例如把看似不同的调用归并为相同风险类别，或把语义不同的操作区分开来。
• 提供参考实现评估：作者报告了一个包含 96 个 seed、384 个变体的基准，覆盖语义等价、语义分离、包装绕过、误报控制、审批绑定、收据可复现、证明篡改检测、运行时可移植性、策略降级和 Azure 部署演练等场景。

意义与影响

CAVA 的价值在于把智能体治理从“看日志”推进到“核验行动身份”。在企业场景中，智能体可能跨越多个平台完成一项高风险操作。如果每个平台都只保留自己的局部记录，审计系统很难确认审批对象与执行对象是否一致。CAVA 试图给这些操作建立可移植、可复现、可证明的语义层。

这也提示了智能体安全治理的一个方向：仅靠权限开关或人工审批并不够，关键是审批对象必须稳定。如果动作在进入不同运行时后失去统一身份，任何治理流程都会变得脆弱。CAVA 并非一个面向终端用户的产品，而更像是部署方、平台方和审计系统可以采用的基础设施抽象。随着智能体开始处理代码发布、身份管理、资金流转和数据导出等敏感任务，这类“行动级规范化”可能会成为运行时治理的重要组成部分。

来源：arXiv