Structured Authority Injection: 透過類型化 MCP 覆寫實現 LLM Agent 的持久人類控制

解決自主規劃中的人類控制斷層

大型語言模型（LLM）正從被動的對話工具，變成分散式系統中的自主協調者，負責資源分配與多代理任務執行。但現有架構在協議層缺少機制，讓人類操作員無法注入有約束力、且能跨規劃週期持續生效的指令。傳統上靠自由文本覆寫的做法有兩個問題：一是沒有 Schema 驗證，語意模糊，模型可能忽略或誤解指令；二是上下文不斷累積後，早期的操作員指令與非約束性的對話內容平起平坐，而 Transformer 注意力的位置偏差使位於上下文後段的指令權重系統性偏低，人類的權威也跟著流失。

為了處理這個問題，研究團隊提出「結構化權威注入」（Structured Authority Injection, SAI）協議。這個方法把 Model Context Protocol (MCP) 從雙向工具總線改成單向權威通道，透過有類型、經 Schema 驗證的 MCP 工具呼叫，把操作員的修正指令以明確的優先級注入提示，確保人類控制權不會被模型生成的內容稀釋。

SAI 協議的核心機制與分類

SAI 協議不需要微調模型或修改權重，只在監督層與 LLM 提示介面之間運作。核心是定義三種語意不同的覆寫類別，每一類有各自的持久性語意與衝突解決規則：

1. 約束（Constraint, C）：編碼世界狀態快照裡缺少的物理或操作限制，分為硬性約束（絕對不可違反）與軟性約束（只有在沒有合規分配時才可繞過）。這類覆寫會持續存在，直到操作員明確解除或任務完成。 2. 優先級（Priority, P）：編碼來自模擬外部的緊急資訊，例如現場無線電或醫療狀態更新。這類覆寫會提高單一任務或某類任務的緊急程度，並在受影響的任務標記為完成後自動過期。 3. 策略（Strategy, S）：編碼指導機器人行為的協調啟發式規則，例如區域分佈或並行限制。這是最抽象的一類，可設定在特定規劃週期數（next_N）之後自動過期，也可持續到任務結束。

三種類別依嚴格的衝突解決順序 C≻P≻S 處理。這個優先級在提示構建時由系統確定性地評估，不依賴 LLM 推論。MCP 伺服器端的 Schema 驗證確保只有格式正確、參數完整的指令能進入權威上下文，無效提交會被直接拒絕，從源頭消除語意歧義。此外，透過角色檢查中間件，只有監督介面能呼叫覆寫工具，規劃代理只能讀取、不能修改，因此權威上下文無法被竄改。

實驗評估與模型表現差異

研究在 MuJoCo 網格世界模擬器中，針對八種不同的代理失敗模式進行評估，測試涵蓋 GPT-4o、DeepSeek-R1、Qwen3-32B、Claude-Haiku、Gemini-2.0-Flash、LLaMA-3.3-70B、Gemma-4-26B、GPT-OSS-20B 及 ASI1 等九款 LLM。

結果顯示，SAI 的效果高度取決於模型能力，而不只是參數量： * Tier 1 模型（GPT-4o, DeepSeek-R1）：能有效利用權威上下文修剪規劃搜索，任務成功率提升，token 消耗也明顯下降。例如 GPT-4o 在 S7 場景中的 token 使用量從 15,141 降到 9,328（減少 38%），DeepSeek-R1 在 S6 場景中從 25,487 降到 17,467（減少 31%）。 * Tier 2 模型（GPT-OSS-20B）：在先前失敗的場景中恢復了高完成率（如 S2、S3 從 0.00 提升到 1.00），但在複雜情境下對上下文敏感。 * Tier 3 模型（LLaMA-3.3-70B, Claude-Haiku, Qwen3-32B）：表現參差不齊，部分場景 token 消耗增加，卻沒有換到相應的規劃收益。例如 Qwen3-32B 在 S7 中 token 從 3,345 暴增到 9,778。

值得注意的是，SAI 並非對所有模型都有益。Gemini-2.0-Flash 在 S2 場景中從 1.00 降到 0.50，GPT-4o 與 LLaMA-3.3-70B 在 S7 中也出現明顯的性能下降。這表示結構化注入可能干擾原本預設行為就不錯的模型，或超出某些模型的生成預算（如 DeepSeek-R1 在 S7 中因上下文過長觸發 4,096-token 限制而失敗）。

規劃品質診斷與安全意義

研究提出「卡住時間比例」（Stuck-tick rate）作為評估規劃品質的新指標，指的是代理已被分配任務、卻因碰撞或障礙而無法移動的時間比例。LLaMA-3.3-70B 在 SAI 輔助下，卡住比例從 24% 降到 14%；GPT-4o 則從 11% 升到 16%。這顯示任務完成率可能掩蓋潛在的規劃問題。

SAI 的架構設計把 MCP 的 Schema 驗證機制反過來用作人類權威層，提供協議級的安全保證。由於覆寫工具只由受信任的監督介面呼叫，且驗證發生在 LLM 推論之前，提示注入攻擊就無法移除約束覆寫。這種確定性的衝突解決，加上完整的審計軌跡，使它適用於網路管理、雲端資源調度等需要嚴格合規與可驗證控制的領域。不過，部署前仍需針對特定模型驗證生成預算，在結構化注入帶來的提示開銷與控制收益之間取得平衡。