Delegation Without Trust

作者假设模型本身不可信，围绕 confused deputy、token replay、prompt-injection 越权和 compromised sub-agent 推导八项要求，并实测四个常用框架的默认隔离。授权 broker 抵住 11 种直接攻击，200,000 个伪造 token 全部拒绝；随机 2,000 个场景里受损子 agent 平均只能触达 1.5 个动作（bearer delegation 可触达全部 8,100 个），决策开销约 2.6 微秒。