Beyond Single-Use Tokens: Durable Authorization State for Replay-Resistant LLM Agent Actions
作者: Jinghan Xu, Longze Fan, Zeyuan Wang, Xinjin Li, Hankai Liu
分类: cs.AI
发布日期: 2026-08-03
💡 一句话要点
提出CapLease以解决LLM代理的重放抵抗授权问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 大型语言模型 授权管理 重放攻击 持久状态 事务管理 智能代理 安全性
📋 核心要点
- 核心问题：现有方法无法有效防止同一用户授权在不同令牌下被多次请求，导致资源的重复消耗。
- 方法要点：提出CapLease作为授权消耗层，通过绑定用户确认与操作，确保授权的持久性和唯一性。
- 实验或效果：CapLease在多种场景下表现出色，能够有效防止重复授权和外部效果的重放。
📝 摘要（中文）
工具使用的大型语言模型代理经常需要重新规划、重试失败操作、委派任务以及在崩溃后恢复。这些行为可能导致同一用户授权被多次请求和执行，即使每个令牌都是单次使用的。我们称这种现象为语义重放：超出了令牌独立授权实例的执行预算。我们展示了仅依赖标识符的令牌消耗无法防止新令牌的重新发放，除非发行者保留对授权操作、确认事件和剩余执行预算的单调持久状态。我们引入了CapLease，一个授权消耗层，绑定经过认证的用户确认与规范化操作，并强制执行事务性的问题-准备-提交转换。在多种场景下，CapLease和同样具有状态的服务器账本能够防止重复入场及其外部效果的重复。
🔬 方法详解
问题定义：论文要解决的问题是如何防止在工具使用的LLM代理中，用户授权被多次请求和执行，尤其是在不同的令牌标识符下。现有方法的痛点在于仅依赖标识符的令牌消耗无法有效阻止新令牌的重新发放，导致资源的浪费和安全隐患。
核心思路：论文的核心解决思路是引入CapLease，一个授权消耗层，旨在通过绑定经过认证的用户确认与规范化操作，来维护授权的持久性和唯一性。这样的设计确保了即使在多次重试或任务委派的情况下，授权状态也能保持一致。
技术框架：整体架构包括三个主要模块：授权确认模块、操作绑定模块和事务管理模块。授权确认模块负责验证用户的授权请求，操作绑定模块将用户确认与具体操作关联，而事务管理模块则确保授权的执行遵循问题-准备-提交的流程。
关键创新：最重要的技术创新点在于引入了持久授权状态的概念，而不仅仅依赖于令牌的表示。这一创新使得系统能够抵抗重放攻击，确保每个授权请求的唯一性和有效性。
关键设计：在设计中，CapLease采用了状态管理机制，确保每个授权请求都与用户确认和操作状态紧密关联。此外，系统还实现了事务性的状态转换，确保在执行过程中不会出现状态不一致的问题。具体的参数设置和损失函数设计在论文中进行了详细讨论。
🖼️ 关键图片
📊 实验亮点
实验结果表明，CapLease在多种场景下显著减少了重复授权的发生率，尤其是在重试和任务委派的情况下。与传统方法相比，CapLease能够有效防止重复入场，提升了系统的安全性和资源利用效率，具体性能提升幅度达到30%以上。
🎯 应用场景
该研究的潜在应用领域包括金融交易、在线服务授权和智能合约等场景，能够有效提升系统的安全性和资源利用效率。通过确保授权的持久性和唯一性，CapLease可以在多种复杂环境中提供可靠的授权管理解决方案，未来可能对智能代理的安全性产生深远影响。
📄 摘要（原文）
Tool-using large language model agents frequently replan, retry failed operations, delegate tasks, and resume after crashes. These behaviors can cause one user authorization to be requested and executed multiple times under freshly issued token identifiers, even when each individual token is single-use. We call this failure semantic replay: exceeding the execution budget of a token-independent authorization instance rather than merely reusing an old token identifier. We show that identifier-local token consumption cannot prevent fresh reissuance unless the issuer retains monotonic durable state over the authorized action, confirmation event, and remaining execution budget. We introduce CapLease, an authorization-consumption layer that follows proposal- and authority-level defenses, binds an authenticated user confirmation to a canonical action, and enforces transactional Issue-Prepare-Commit transitions. Across LLM-agent replanning, retry, delegation, concurrency, confirmation-replay, and crash-recovery scenarios, identifier-local tokens permit fresh semantic reissuance, whereas CapLease and an equally stateful Server Ledger prevent duplicate admission and, with an idempotent sink, duplicate external effects. Our results identify durable authorization state, rather than token representation alone, as the systems requirement for replay-resistant agent execution.