Blindfold: Keeping the Audit Coin Secret from LLM Agents

📄 arXiv: 2610.37055v1 📥 PDF

作者: Wei Zhu, Meiyun Zuo, Huiping Sun

分类: cs.CR, cs.AI, cs.LG

发布日期: 2026-10-27

💡 一句话要点

提出Blindfold以解决LLM代理审计隐私问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: LLM代理 审计隐私 预提交非干扰性 信息泄漏 动态生成机制 安全认证 自动化决策

📋 核心要点

  1. 现有的审计方法在保证LLM代理行为的隐私性方面存在挑战，审计币的泄漏可能影响代理的决策过程。
  2. 论文提出了一种新的保密性属性——预提交非干扰性（PNI），确保审计币在代理行动前不干扰其视图，从而提高审计的有效性。
  3. 通过构建监控工具，实验表明静默审计能够在不改变输出的情况下恢复证书的有效性，且每次审计调用使用新币可有效关闭时间通道。

📝 摘要（中文）

基于审计的认证通过审计随机比例$ ext{ε}$的动作并重新加权审计标签来限制LLM代理的违规率。本文指出，审计的有效性不仅依赖于防御者的审计币，还依赖于一种保密性属性：在代理选择的时间点，审计币不得干扰代理的视图。我们称之为预提交非干扰性（PNI），并通过$D_{ ext{A}}$来衡量其违反程度。PNI是针对自适应代理的无偏证书的必要和充分条件，最坏情况下的偏差为$(1- ext{ε})D_{ ext{A}}$。此外，泄漏在步骤间累积，资源共享会打开可计算大小的通道，提高审计率无法恢复有效性。实验结果表明，静默审计可以恢复证书的有效性。每次审计调用使用新币可以关闭时间通道。

🔬 方法详解

问题定义：本文解决的问题是如何在审计过程中保护LLM代理的隐私，现有方法在审计币的使用上可能导致信息泄漏，从而影响代理的决策。

核心思路：论文提出的核心思路是引入预提交非干扰性（PNI），确保审计币在代理选择行动之前不干扰其视图，以实现无偏证书的有效性。

技术框架：整体架构包括审计过程的设计，主要模块包括审计币生成、代理视图监控和结果验证。通过对审计币的管理和使用，确保其在审计过程中的保密性。

关键创新：最重要的技术创新在于定义了PNI这一概念，并证明其是实现无偏证书的必要和充分条件，解决了现有方法在信息泄漏方面的不足。

关键设计：关键设计包括审计币的动态生成机制、静默审计的实现方式，以及在每次审计调用中使用新币的策略，以有效关闭时间通道。

📊 实验亮点

实验结果显示，静默审计在不改变输出的情况下，能够有效恢复证书的有效性。通过对比实验，使用新币的审计调用显著减少了信息泄漏，提升了系统的安全性和可靠性。

🎯 应用场景

该研究的潜在应用领域包括安全敏感的LLM代理系统，如金融、医疗和法律领域的自动化决策系统。通过提高审计过程的隐私性，可以增强用户对这些系统的信任，促进其广泛应用。未来，该方法可能影响审计和认证领域的标准实践。

📄 摘要（原文）

Audit-based certification bounds the violation rate of an LLM agent by auditing a random fraction $\varepsilon$ of actions and reweighting the audited labels; its validity is meant to rest only on the defender's audit coin. We show that it also rests on a confidentiality property: the coin must not interfere with the agent's view before the action commits, at a time the agent chooses. We call this pre-commit noninterference (PNI) and measure its violation by $D_{\mathrm{A}}$, the total-variation distance between the agent's views under the two coin values. PNI is necessary and sufficient for an unbiased certificate against adaptive agents, the worst-case bias is $(1-\varepsilon)D_{\mathrm{A}}$, and no procedure that sees only audited labels can pay less. Leakage composes across steps, a resource shared across episodes opens a channel of computable size, and raising the audit rate cannot restore validity. On a monitor we built, a silent audit changes no output but adds latency that tool timestamps expose, and the agent can enlarge it. A real LLM agent follows an injection that names a visible audit notice (generic, tool, and timing clauses have no effect); over that channel the plain certificate fails on measured labels and, by a post-hoc analysis, in a live run on a pre-registered schedule, while a silent audit restores it. A fresh coin per audited call closes the timing channel; padding only narrows it.