核心发现
方法论
本文定义五个审计维度（行动可恢复、生命周期覆盖、策略可检验、责任归属和证据完整性），结合三类机制（检测、执行、恢复）分析其在系统中的实现。通过生态测量、运行时验证和缺失日志恢复实验，验证了现有系统在安全和审计方面的不足，提出了层次化证据体系。研究还设计了审计卡片，提出六个开放研究问题，推动审计机制的理论与实践发展。
关键结果
- 生态测量显示六个开源项目中存在617个安全缺陷，表明基础安全保障不足；
- 预执行中介与防篡改记录的平均开销仅为8.3毫秒，验证了实时机制的可行性；
- 缺失日志恢复实验表明，即使在传统日志缺失情况下，部分责任信息仍可恢复，增强了系统的责任追溯能力。
研究意义
该研究明确指出，系统的责任追溯和问责能力依赖于系统的审计能力。提出的五维框架为未来设计可信赖AI系统提供了理论基础，有助于解决大模型在实际部署中面临的责任归属和安全保障难题，推动AI安全治理进入新阶段。
技术贡献
创新在于提出系统化的五维审计框架，结合机制分类（检测、执行、恢复）实现多层次审计能力，突破单一机制的限制。引入层次化证据体系，结合实证数据验证其有效性，为系统设计提供了理论指导和工程方案。
新颖性
首次系统化提出五维审计框架，明确不同机制在实现各维度中的角色，强调多机制协作的重要性。与现有研究偏重预部署或单阶段安全措施不同，本研究关注后部署的责任追溯，具有较强创新性。
局限性
- 当前方法对复杂多方系统的责任链完整性依赖较大，实际应用中仍面临证据碎片化问题；
- 实时机制的性能开销虽低，但在大规模系统中仍需优化；
- 证据完整性保障在某些场景仍受限于技术手段，未来需结合密码学等技术增强。
未来方向
未来将探索多源证据融合与自动化责任归属算法，提升系统整体审计能力。还将研究隐私保护与审计的平衡，推动审计机制在更大规模、多样化系统中的应用，完善理论框架与工程实现的结合。
AI 总览摘要
随着大规模语言模型（LLM）在实际应用中的广泛部署，系统的行为责任追溯成为关键问题。传统的日志和监控手段在面对复杂、多方合作的系统中，难以提供充分的行为证据，导致责任难以追溯。本文提出五维审计框架，涵盖行动可恢复、生命周期覆盖、策略可检验、责任归属和证据完整性，明确了实现可信责任追溯的必要条件。
通过分析三类机制——检测、执行和恢复，本文揭示了单一机制难以满足所有审计需求的根本原因。生态测量显示，六个开源项目中存在617个安全缺陷，反映出基础安全保障的普遍不足；实验证明，预执行中介引入的防篡改记录仅带来8.3毫秒的性能开销，验证了实时审计的可行性；同时，缺失日志的恢复实验表明，即使在信息缺失的情况下，责任信息仍可部分恢复。
基于这些发现，本文提出了“审计卡片”工具，作为系统责任追溯的简明报告，指导未来研究方向。整体而言，该研究强调多机制协作的重要性，为构建可信赖、可审计的AI系统提供了理论基础和工程方案，推动AI安全治理迈向更高水平。
深度分析
研究背景
近年来，随着大模型（如GPT-4、PaLM）在自然语言处理、自动化决策等领域的突破，系统的行为责任追溯成为安全与信任的核心问题。传统日志系统在面对多方合作、复杂行为链时，存在信息缺失、篡改风险，难以实现有效的责任追溯。已有研究多关注模型对齐、对抗训练和运行时防御（如Zou et al. 2023、Mazeika et al. 2024），但缺乏系统化的后部署审计框架。本文借鉴软件工程中的审计思想，提出五维框架，强调系统设计中应嵌入可追溯性机制，确保行为的可验证性和责任归属。
核心问题
当前大模型系统在实际部署中，行为的责任追溯面临多重挑战。日志碎片化、信息篡改、责任链断裂，导致无法明确行为是否符合政策，也难以追责。缺乏统一的审计标准和机制，使得系统在出现安全事件后，责任难以追溯，影响系统可信度。解决这一问题需要从系统设计、机制实现和证据保护等多方面入手，建立完整的后部署审计体系。
核心创新
本文创新在于提出五维审计框架，系统定义行动可恢复、生命周期覆盖、策略可检验、责任归属和证据完整性五个核心维度，明确每个维度的实现条件。结合检测、执行、恢复三类机制，形成多层次的审计体系，弥补单一机制的不足。引入层次化证据体系，结合实证数据，验证了框架的实用性和有效性。该方法为后部署责任追溯提供了理论支撑和工程实现路径。
方法详解
- �� 定义五个审计维度，建立对应的指标体系（如ACR、RF、LPC、GB、SPDR、AC、IS）；
- �� 分析三类机制在不同维度中的作用，阐明其操作边界和限制；
- �� 通过生态测量，统计开源项目中的安全缺陷，验证基础安全保障不足；
- �� 设计实时中介机制，验证其性能开销，确保系统可用性；
- �� 实施缺失日志恢复实验，评估在信息缺失情况下的责任信息恢复能力。
实验设计
采用六个开源项目的安全审计数据，统计安全缺陷数量；在模拟环境中引入中介机制，测量性能开销；通过模拟日志缺失场景，验证责任信息的恢复能力。对比不同机制组合的审计效果，分析其在实际系统中的适用性。实验还包括责任链断裂情况下的责任追溯能力评估，验证框架的鲁棒性。
结果分析
生态测量显示六个开源项目中存在617个安全缺陷，反映基础安全保障不足；中介机制平均开销仅8.3毫秒，适合实时部署；缺失日志恢复实验中，责任信息在部分场景下成功恢复，验证了多机制协作的有效性。这些结果支持五维框架的实用性和必要性，为未来系统设计提供了理论和实践基础。
应用场景
该框架适用于企业级AI系统、自动化决策平台和多方合作环境，帮助开发者设计内嵌审计能力的系统。通过多机制协作，实现行为的可追溯性和责任归属，增强系统可信度。未来可结合密码学技术，提升证据的完整性和安全性，推动行业标准制定。
局限与展望
目前框架对复杂多方系统的责任链完整性依赖较大，实际应用中仍面临证据碎片化和篡改风险。实时机制在大规模系统中的性能优化仍需加强。证据完整性保障在某些场景受限于技术手段，未来需结合密码学等技术增强证据安全性。
通俗解读 非专业人士也能看懂
想象你在一家工厂工作，工厂每天生产各种商品。为了确保每件商品都符合质量标准，工厂会记录每个生产步骤，比如原料进厂、加工、检验和包装。每个步骤都有专门的记录，确保如果出现问题，可以追溯到哪个环节出了差错。现在，假设有人偷偷篡改了记录，工厂就无法知道哪个环节出了问题，也难以追责。这个工厂的“审计”就像我们在系统中用来追踪行为的证据一样。为了让工厂更可靠，会设计多层次的记录机制：有些记录在生产前就检测，有些在生产中实时监控，还有一些在生产后进行检查。这样，即使部分记录被篡改或丢失，也能通过其他证据找到责任人。这个过程就像我们在研究中提出的五个维度——行动的可恢复性、生命周期的完整性、策略的可检验性、责任的归属和证据的完整性。只有这些都做到，工厂才能真正做到责任追溯，确保每个商品都符合标准，出现问题时也能追究责任。
简单解释 像给14岁少年讲一样
想象你在学校里做实验，你需要记住每一步操作，比如用什么材料、怎么做的、老师有没有批准。这样，如果最后出现问题，你可以回头看看，知道哪里出了错。可是，有时候有人偷偷改了你的记录，或者忘记写某些步骤，你就不知道到底发生了什么。这个时候，就需要一种办法，确保你的记录是真的，没有被篡改，而且能完整地反映整个过程。就像你用特殊的笔写日记，写完后用密码保护，别人就不能随意改动。这样，即使有人试图偷偷改动，你也能发现。这个方法就像论文中的五个维度：行动是否能被完整记录、整个流程是否都被覆盖、政策是否能被事后验证、责任归属是否清楚、证据是否可信。只有全部做到，才能确保责任追得清清楚楚，谁做错了事，谁就得负责。这个系统就像一个超级侦探，能帮你追查每个细节，确保没有人可以蒙混过关。
原文摘要
LLM agents call tools, query databases, delegate tasks, and trigger external side effects. Once an agent system can act in the world, the question is no longer only whether harmful actions can be prevented--it is whether those actions remain answerable after deployment. We distinguish accountability (the ability to determine compliance and assign responsibility), auditability (the system property that makes accountability possible), and auditing (the process of reconstructing behavior from trustworthy evidence). Our claim is direct: no agent system can be accountable without auditability. To make this operational, we define five dimensions of agent auditability, i.e., action recoverability, lifecycle coverage, policy checkability, responsibility attribution, and evidence integrity, and identify three mechanism classes (detect, enforce, recover) whose temporal information-and-intervention constraints explain why, in practice, no single approach suffices. We support the position with layered evidence rather than a single benchmark: lower-bound ecosystem measurements suggest that even basic security prerequisites for auditability are widely unmet (617 security findings across six prominent open-source projects); runtime feasibility results show that pre-execution mediation with tamper-evident records adds only 8.3 ms median overhead; and controlled recovery experiments show that responsibility-relevant information can be partially recovered even when conventional logs are missing. We propose an Auditability Card for agent systems and identify six open research problems organized by mechanism class.