Context Is Not Authority: Structured Runtime Governance for Financial Market Agents
金融市场 Agent 的上下文≠权威：运行时结构化治理合约 SAGE-Fin
🧭 金融 Agent 运行时治理 · 权威边界合约
OpenAsk · Binance · New York University · Xiamen University · Bank of Hebei
为金融 Agent 提供类型化收据与动态权威控制器，防止正确的上下文被越权执行
📌 工作参考价值
- 将模型输出与执行授权解耦：为 Agent 输出创建类型化候选（candidate），显式声明所需证据和禁止效果；缺失证据则转化为“覆盖债务”并降级或阻止行动，防止检索到的上下文被直接当作指令。
- 引入严格收据类型（commit/execAuth/deploy）与适配器绑定：只有指定类型的收据才能通过相应的执行、响应或策略门，进度收据、临时凭证不能替代最终授权，避免类似“预算预留”变成“下单权限”的误解。
- 每次消费时重新检查状态：消费时重新编译候选类型、评估覆盖债务、检查收据绑定和当前状态，防止对话上下文漂移导致同一段文本在不同轮次被错误授权（如重复发射同一 SOP 响应）。
- 策略从自然语言到部署的硬边界：对话中松散的风险控制意图（如“放宽回撤限制”）必须经过确定性 IR 验证、影子测试和部署收据才能上线，不能直接将对话内容编译为可执行策略，这个模式可迁移到推荐系统的配置调整或风控策略上线流程。
动机
金融 Agent 中频繁出现一种隐蔽失败：检索到的上下文（市场信号、存量文档、模型分析）本身正确且流畅，却因越界执行而被不当承诺、交易或部署为策略。例如，SOP 文档在第一轮可以合规引用，但用户反复追问时，重复发射该文档可能不符合最新语境；过时的报价、诊断笔记被作为个性化建议，或对话中的模糊指令直接被编译为可执行的风控策略。这类失败的根源是将上下文误认为运行时权威。
方法
SAGE-Fin 提出一套金融领域的效果边界授权合约，核心包括：
- 类型化候选：将任何自然语言输入（信号、对话、分析）经编译器 Γ 转化为结构化候选，记录类型（如
sop_response、live_trade）、请求效力、所需证据和禁止效果。 - 覆盖债务：若候选所需的证据缺失、过期或未晋升，这些缺失成为显式的“债务”，可降级、阻止或触发人工介入，避免被流畅文本隐藏。
- 动态权威控制器：结合市场状态、投资组合、制度环境、对话历史等，计算每个适配器允许的效力上限（如
blocked→diagnostic→paper_trade→live_small）。 - 收据与门控：可信发行方为特定候选和精确工件签发收据（
commit用于响应，execAuth用于执行，deploy用于策略）；各适配器在消费时验证收据类型、绑定哈希、作用域、状态谓词，且必须匹配当前重新编译的候选。进度凭证不能替代最终权限。 - 状态重检与回收：即使收据有效，消费时也会重新检查状态，若制度熵值过高、证据过期等，执行权可被撤回。
定理证明权威不会因非消费事件放大，收据不可跨类型替代。
实验与结果
- 编写一个包含 616 个案例的目录，生成 3080 个诊断输出，原型在与参考实现对比中获得 616/616 完全一致，包括 3 个命名响应门场景和 22 个路径测试，证明机制行为的确定性。
- 独立的生产前故障回顾中，三名历史失败案例均未被前代系统拦截（3/3，经由第二位分析师独立确认），验证了上下文越权问题的真实存在。
- 后续实际部署中，一个客户响应大门在真实生产请求中运行，独立运营团队的正式审核给出“强烈正面”结论，终端用户反馈同样正面；但这属于定性现场佐证，未报告聚合效果。
最值得记住的一句话：“上下文可以告知权威，但上下文本身不是权威”——一个正确的检索结果，并不能替代对效果边界的结构化验证。