本文研究如何为防御者设定可量化的信息泄露速率上限，以限制智能体在多轮交互中逐步拼接敏感信息。前作指出需阻断的量有单位——每周期比特数，本文设定该速率。核心机制为“临时可达性”：把每次跨边界访问暂存一个周期，对暂存项以概率 r 独立审计，任一审计命中即撤销整个窗口。对抗者 k 次跨越、每次 c 比特，期望泄露 kc(1-r)^k，在 k*=1/ln(1/(1-r)) 最大，得每窗口界 L(r)~c/(er)；该界对对抗者策略取上确界，因此方案可公开，仿真与理论吻合到 7.7 个标准误。作者强调这只是速率而非总量：仅暂存仍会让秘密在每次运行中成功组装。若秘密每周期以比例 μ 衰减，持有量收敛到 g/μ，L 比特秘密在 μ>g/L 时不可达——Eigen 式误差阈值，闭式预测位置精确 (20,000 窗口：0.9μ* 时 100% 组装，2μ* 时 0%)。依赖对抗者推理失败的欺骗无效：命名撒谎的表面准确率仍为 18/18，三种 reader 强度下 100%。扣留引用有效但机制不同：没有 reader 会提交。键控入口仅隐藏模块行为的 0.10 比特；键控指称在随机准确率下隐藏 2.64/3.00 比特，且 100% 的 reader 仍视其为普通 Python。方差须从审计率移除 (收益对 r 凸)，加入激活预算 (生存乘法：固定均值下灭绝 70%→100%)。端到端栈将泄漏从 100,000 比特降至 59 比特 (1,704 倍)，保留 12% 合法工作；将窗口密钥绑定到调用者可无泄漏代价恢复至 100%，代价是界按主体计算。对 65 个只读工具，暂存后每次调用仍留 2,400 比特，因子 10 而非无穷。
💡 推荐理由: 为 agent 安全提供首个带单位的信息泄露速率边界与误差阈值，说明单靠暂存/审计不足以阻止长期秘密组装，必须引入衰减或调用者绑定密钥；对设计 LLM agent 沙箱、工具调用权限与代码访问控制有直接参考价值。
🎯 建议动作: 研究跟进