Persona-Execution Separation: An Architecture Pattern for Evolving LLM Agents under Execution Audit

📄 arXiv: 2608.27427v1 📥 PDF

作者: Yisen Xi

分类: cs.SE, cs.AI

发布日期: 2026-08-27

备注: 36 pages

💡 一句话要点

提出Persona-Execution Separation以解决LLM代理执行审计问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 个性化 执行审计 大型语言模型 智能代理 数据安全

📋 核心要点

  1. 现有方法无法在保证个性自由演变的同时，确保执行过程的可追溯性和审计合规性。
  2. 论文提出个性-执行分离（PES）架构，将个性和执行分开管理，通过合同桥连接，确保两者的独立性和审计性。
  3. 在一个受管的数字员工平台上进行的开发案例中，记录了五个决策，验证了PES的有效性，未发现个性对执行的干扰。

📝 摘要（中文）

在受管组织中，大型语言模型（LLM）代理必须允许个性（指令、语气、自我表现）自由演变，同时保持执行（有状态、可审计的工作）可追溯。单一信任域无法便宜地满足这两者。本文提出了个性-执行分离（PES）：个性和执行分别位于不同的信任域，通过受管合同桥连接。个性是单一归属的，可能会漂移；执行是无面孔的且经过审计。状态摘要可能返回；数据主体保持在限制域内，除非有分级数据丢失预防（DLP）例外；身份保持连续。一个审批矩阵、DLP和审计强制执行交叉。PES源于三个目标——自由漂移、执行可追溯性和解耦。

🔬 方法详解

问题定义：本文旨在解决在受管组织中，如何在保证个性自由演变的同时，确保执行过程的可追溯性和审计合规性。现有方法在这两者之间存在矛盾，难以实现有效管理。

核心思路：论文提出的个性-执行分离（PES）架构，通过将个性和执行分置于不同的信任域，利用合同桥连接，确保个性可以自由漂移而不影响执行的可审计性。

技术框架：PES架构包括三个主要模块：个性模块、执行模块和合同桥。个性模块负责管理个性信息，执行模块负责处理状态和审计，合同桥则确保两者之间的安全交互。

关键创新：PES的核心创新在于将个性和执行解耦，允许个性在不影响执行审计的情况下自由演变。这一设计与现有方法的本质区别在于，避免了在单一信任域内的复杂性和潜在风险。

关键设计：在PES中，个性模块是单一归属的，执行模块则是无面孔的，且经过审计。数据主体在限制域内，只有在特定条件下（如DLP例外）才能跨域传输。审批矩阵和审计机制确保了跨域交互的合规性。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

在一个受管的数字员工平台上进行的开发案例中，记录了五个决策，每个决策都有被拒绝的替代方案。机制检查发现，在个性扰动下，执行侧没有重新验证，且在硬性断言字段上没有个性指纹，验证了PES的有效性。

🎯 应用场景

该研究的潜在应用领域包括受管组织中的智能代理系统、数字员工平台及其他需要个性化与审计合规性的场景。PES架构的实施可以提高组织在使用大型语言模型时的灵活性和安全性，促进智能代理的广泛应用。

📄 摘要（原文）

Large language model (LLM) agents in governed organizations must let the persona (instructions, tone, self-presentation) evolve freely, while keeping execution (stateful, audited work) traceable. A single trust domain does not satisfy both cheaply. We present Persona-Execution Separation (PES): persona and execution reside in different trust domains, connected by a governed contract bridge. The persona is singly-homed and may drift; execution is faceless and audited. Status summaries may return; data bodies remain in the restrictive domain except a graded data-loss-prevention (DLP) exception; identity stays continuous. An approval matrix, DLP, and audit enforce the crossing. PES follows from three goals---free drift, execution traceability, and decoupling. Under LLM representational indistinguishability, any single-domain mechanism that meets all three must re-introduce typed change objects, an external gate, and a stable audit anchor: PES rebuilt at higher coupling cost. A development/pilot case in a regulated digital-employee platform records five decisions over one month, each with a rejected alternative. A mechanism check on the shipped implementation found no execution-side re-validation under persona perturbation (five model configurations) and no persona fingerprint on hard-asserted fields. A probe of a recovered pre-separation build found the governed execution path decoupled from the persona by omission, not by construction; a later wiring change could reverse that isolation, which PES makes an audited architectural rule. The pattern applies when multi-user deployment, execution audit, and expected persona churn hold jointly.