[论文解读] Faramesh: A Protocol-Agnostic Execution Control Plane for Autonomous Agent Systems

Amjad Fatmi|arXiv (Cornell University)|Jan 25, 2026

Scientific Computing and Data Management被引用 0

一句话总结

本文介绍 Action Authorization Boundary (AAB)，一个在代理推理与现实世界执行之间的强制执行层，确保不可绕过、确定性以及可重放的动作授权。它还定义 Canonical Action Representation (CAR) 及相关架构，以安全地支配自治动作。

ABSTRACT

Autonomous agent systems increasingly trigger real-world side effects: deploying infrastructure, modifying databases, moving money, and executing workflows. Yet most agent stacks provide no mandatory execution checkpoint where organizations can deterministically permit, deny, or defer an action before it changes reality. This paper introduces Faramesh, a protocol-agnostic execution control plane that enforces execution-time authorization for agent-driven actions via a non-bypassable Action Authorization Boundary (AAB). Faramesh canonicalizes agent intent into a Canonical Action Representation (CAR), evaluates actions deterministically against policy and state, and issues a decision artifact (PERMIT/DEFER/DENY) that executors must validate prior to execution. The system is designed to be framework- and model-agnostic, supports multi-agent and multi-tenant deployments, and remains independent of transport protocols (e.g., MCP). Faramesh further provides decision-centric, append-only provenance logging keyed by canonical action hashes, enabling auditability, verification, and deterministic replay without re-running agent reasoning. We show how these primitives yield enforceable, predictable governance for autonomous execution while avoiding hidden coupling to orchestration layers or observability-only approaches.

研究动机与目标

• 论证执行时授权是现有代理栈中缺失的体系化原语。
• 提出 Action Authorization Boundary (AAB) 作为执行边界上的不可绕过的强制执行层。
• 定义 Canonical Action Representation (CAR)，以规范化不同框架的等效提案实现确定性授权。
• 确保故障封闭语义并提供可溯源、不可篡改的决策记录。
• 展示单代理、多代理与多租户部署的体系结构变体，并保持一致的授权语义。

提出的方法

• 将 AAB 作为一个确定性函数 B(A, P, S) -> {PERMIT, DEFER, DENY}，位于推理与执行之间。
• 定义 Canonical Action Representation (CAR)，在各框架间实现语义等效动作的规范化。
• 确立确定性授权语义，使相同输入产生相同输出。
• 执行故障封闭行为，使故障导致 DENY 或 DEFER，而非沉默执行。
• 提供与 (A, P, S) 绑定的可溯源、完整的决策记录，便于重放和审计。
• 给出单代理、多代理与多租户部署的参考体系结构。

实验结果

研究问题

• RQ1 执行时授权是否可以在异构代理框架中实现不可绕过且确定性？
• RQ2 规范动作表示是否能够在协议与接口之间实现一致的授权？
• RQ3 体系结构边界是否能够保证故障封闭行为与可重放的自主动作决策记录？
• RQ4 在不同部署模型下实施 AAB 时，哪些验证与审计保障是可用的？

主要发现

• 基线微基准中端到端决策延迟在单位毫秒数量级的顶端：T_canon, T_eval, T_record 组合约为 ~2.24 ms p50 / 9.61 ms p95。
• 单工作节点的持续吞吐量达到每分钟 7,800 个动作。
• 执行器对绕过尝试的覆盖率接近 1.0（正常操作中观测到 0.9993）。
• 在多种攻击向量中，带证据阻断的绕过尝试因实施边界而失败。
• 精确的一次性执行与原子账本迁移确保在并发的相同请求下的一致性（1,000,000 次尝试未出现双重执行）。
• 延迟审批路径在多个等待者场景下保持一致的最终产物（p50=2.1 ms，p95=8.4 ms）。