来源笔记

KAIJU: An Executive Kernel for Intent-Gated Execution of LLM Agents

LLM Agents Tool UseAgent ExecutionSecurity GatingParallel Planning

摘要

KAIJU 是一种面向 LLM 代理的执行层架构，它把规划和工具执行分开，并加入一个外部意图门控来授权工具调用。论文认为，这样可以减少上下文增长，支持并行执行，还能阻止一些 ReAct 风格代理仅靠提示词无法避免的故障和安全问题。

ReAct 风格的工具代理会在多个轮次中累积完整历史，带来二次级别的 token 增长：论文给出的总成本是 $O(n^{2}k)$ ，一个 7 工具任务大约需要 63K tokens，一个 18 工具任务大约需要 250K tokens。
模型在每一轮都保留对工具使用的控制，所以在工具失败或只拿到部分结果后，可能提前停下、回退到参数化知识，或者转而询问用户，而不是把任务做完。
安全规则通常写在提示词里，或者依赖模型侧防护；论文认为这些方式对幻觉、提示注入、上下文溢出和自适应攻击都很弱。

KAIJU 把代理拆成推理层和执行层。LLM 先一次性规划依赖图，然后由执行内核负责调度、依赖解析、工具分发、失败恢复和最终结果流转。
核心安全机制是 Intent-Gated Execution（IGX）。每次工具调用都会根据四个变量检查：范围、意图、影响，以及来自外部权限方的批准。
当依赖关系允许时，执行层会并行运行工具，并用 param_refs 把早先节点的输出注入后续工具参数，不需要完整的顺序推理循环。
系统在执行中通过三种模式自适应：在依赖波次边界使用 Reflect，每完成 N 个节点后使用 nReflect，每个节点配观察器时使用 Orchestrator。
工具调用失败后，会触发一个有范围限制的微型规划器，添加替代节点，例如用新参数重试、换用其他工具，或者跳过，同时保持失败节点不可变，便于审计。

在论文的运行示例中，带并行函数调用的 ReAct 基线用了 9 次 LLM 调用、14 次工具执行和 64.5 秒。
在同一查询上，KAIJU 的 Reflect 模式用了 4 次 LLM 调用、10 次工具执行和 41.8 秒，按墙钟时间算比 ReAct 运行快约 1.54 倍。
论文称，在简单查询上会因为规划开销带来延迟惩罚，在中等复杂度上会收敛，而在需要并行收集数据的计算型查询上有结构性优势。
论文写道，token 复杂度从 ReAct 的 $O(n^{2}k)$ 改为 Reflect 模式下的 $O(nkd)$ ，在 Orchestrator 模式下改为 $O(nk)$ ，其中 $d$ 是依赖深度。
相比先前的 DAG 执行工作，论文说 LLM Compiler 在顺序 ReAct 上报告过最高 3.7 倍加速，而作者在顺序 ReAct 对比中观察到类似收益，在复杂查询上约 7 倍，在高度复杂查询上最高 18 倍。摘录没有给出这些数字对应的基准表或数据集细节。
还有几项主张属于结构性结论，而不是基准测试结果：模型不会看到门控拒绝，被阻止的工具对模型是隐藏的，授权在编译后的代码里强制执行，而不是靠提示词指令。