DualTrust把智能体工具授权压到47微秒：用贝叶斯信誉加密码学门控替代LLM裁判

智能体调用外部API、预留小额资金或驱动物理执行器时，授权判定可以在几十微秒内完成，而不必在关键路径上放一个LLM分类器。 此前的安全护栏依赖二级LLM-as-a-judge分类器，带来400至850毫秒的运行延迟和持续的token开销，静态角色访问控制又无法应对持续的行为漂移与切片式违规。 在内存核心层，DualTrust的中位判定延迟为47.10微秒、均值63.16微秒、p99为287.10微秒；对照的NeMo Guardrails与Llama Guard 3（8B）中位数分别为390毫秒和810毫秒，取自已发表文献与厂商数据，未在同一硬件上重测。

系统把人类委托人的可问责信用与软件智能体的行为信誉拆成两套状态，智能体被劫持时只隔离其执行权限。 现有框架要么检测不到累积越权，要么惩罚人类委托人的身份而不是约束出问题的软件实体。 智能体信誉用Beta分布的期望值表示，初始中性值为0.50，按0.70、0.40、0.20三个阈值划分为已验证、观察期、受限和隔离四档；违规惩罚为$\Delta\beta = k_p (sev \cdot c^2)(\max(1,v_a))^{1.8}$，任一次违规都把连续合规计数清零。

切片式攻击在给定参数下会在有限轮次内被隔离，而共谋的低信誉账号无法靠差评拉垮已验证智能体。 线性信誉系统下，交替执行合规任务与轻度违规的攻击者平均信誉可长期维持在0.82以上。 在$sev=2.0$的模拟中，切片攻击者第一次违规后信誉从0.9153降到0.5745，第二次降到0.2638，第三次降到0.1300并跌破0.20隔离线；50个观察期机器人对信誉0.98的已验证智能体提交最高严重度报告，惩罚恰为0.0。

评测在单台Windows 11工作站上完成，使用确定性攻击算法与蒙特卡洛循环，本地测量静态RBAC与AST校验基线，神经护栏数字取自已发表文献；尚未在真实LLM智能体上验证，作者把多轮智能体环境列为后续工作。

作者说明惩罚只与违规检测预言机一样可靠，未被检测到的违规不会受罚；由于负向证据不随时间衰减，持续低于归因阈值的构陷仍会累积惩罚；当攻击周期不短于20次合规动作的恢复窗口时，惩罚退化为近似线性，完整分析留待后续；审计账本与签名密钥同处一台主机，只能提供防篡改证据而非抗抵赖。