该论文关注一个审计与验证中的根本性难题:验证者可能已经对每一条可获得的记录完成认证,却仍然没有依据宣称某次执行的账目是「完整」的。要做出完整性断言,必须先有理由说明:针对被评估的这次执行,究竟哪些记录是「本应产生」的。作者提出了一个分析模型,用于对「已声明的执行证据义务」做追溯式覆盖度评估。模型的作用范围(scope)由九个要素共同绑定:结构化 Intent、精确 Candidate、被选定的分析尝试(attempt)、执行与证据边界、阶段视界(stage horizon)、固定的记录义务档案(record-obligation profile)、具名验证者(verifier)、以及评估截止点(cutoff)。义务实例由分支前提与触发前提决定;某条记录是否可被采信(admissibility),则由来源能力、内容、完整性,以及对象与阶段的绑定关系共同决定。作者刻意区分了两个容易混淆的概念:义务清单的闭合(closure of the obligation inventory)与相关验证者视图的闭合(closure of the relevant verifier view),并据此定义三种报告结果——COMPLETE_WITHIN_SCOPE、INCOMPLETE 与 UNKNOWN。这三种结果仅描述「在截止点已到期义务」的当前覆盖状态;执行进度、外部结果知识、历史交付及时性则作为独立维度单独报告。论文用构造的服务主体禁用(service-principal-disablement)案例进行演示,覆盖了完整的分发与拒绝分支、应履行但缺失的最终结果记录、延迟交付之后的后续覆盖变化,以及把单次尝试的覆盖结论外推到全部尝试时的局限。其核心贡献在于把范围、分支、视界、义务、可采性、视图与截止点组合成一种「面向具体执行」的完整性判定框架,并强调完整性结论始终以所声明的义务档案与评估前提为条件。
💡 推荐理由: 蓝队/SOC 常把「日志齐全」等同于「过程可证」,该工作指出二者并不等价:完整性与否取决于事先声明的义务范围与评估截止点。它为 AI 代理与自动化执行的审计取证提供了可落地的结构化判定语言(三种结果 + 独立维度)。
🎯 建议动作: 研究跟进