本文提出了一种名为 AID-Guard 的状态化授权闭合协议，用于解决工具型 AI 代理在委派任务时出现的授权与效果不一致问题。传统授权机制通常在请求准入时一次性完成，但代理在执行过程中，提供方状态、投递、重试和恢复等阶段会不断变化，导致已批准的请求可能在提交前被修改，或因响应丢失而触发重复效果。AID-Guard 的核心思路是建立从授权到效果的闭环：在提交时重新验证已批准的请求和提供方状态，在歧义情况下仅保留一个预留（reservation），并且在获得最终结果或经过递送围栏（delivery fence）认证无效果之前，不允许释放或产生后继效果。对于受支持的提供方合约，该协议保证在重试和恢复场景下，一个预留最多产生一个效果。研究者使用 Python/SQLite 实现了原型，并在声明的回环 MCP 域上进行了实验：13 次实时变更未产生未授权效果，三个并发历史满足线性一致性，证据包支持公开验证和重放。在 Stripe 提供方合约的 210 次试验中，结果均与预先声明一致；在 Stripe 和 Resend 上，40 个终止-后继调度、30 个重叠竞争和 10 个崩溃恢复调度均未出现重复效果。在完全提案者失陷的情况下，AID-Guard 阻止了 44/44 的攻击，并接纳了 44/44 匹配的合法提案。其严格精确清单（exact-manifest）模式将良性效用降低了 35.4 至 43.8 个百分点，而引入类型化边界（typed frontier）后恢复了 9-10 次完成且未观察到不安全效果。组合研究阻止了 20/20 的准入后生命周期攻击，并保留了 8/8 的合法或精确重试执行。结果表明，在所评估的效果路径清单、提供方合约和故障调度范围内，授权到效果的绑定是可行的。该工作适合关注 AI 代理安全、授权系统设计和形式化方法的蓝队安全研究人员阅读。

本论文针对协议实现这类反应式系统中的状态相关（stateful）缺陷的模糊测试难题，提出了一种无需协议形式化规范即可自动识别状态变量并引导状态空间覆盖的灰盒模糊测试方法。作者观察到，在Top-50最广泛使用的开源协议实现中，所有实现都使用枚举类型的状态变量，其取值来自命名常量（如INIT、READY），从而可以用程序化方式自动识别这些状态变量，而无需人工标注。基于这一洞察，论文设计了一个有状态灰盒模糊器：在模糊测试过程中，自动跟踪状态变量被赋予的常量值序列，构建被探索状态空间的地图，并优先选择能够到达新状态或新状态序列的输入。实验表明，从初始状态出发，该模糊器比基线灰盒模糊器（即被扩展的模糊器）在相同时间内覆盖了多一个数量级的状态/状态转移序列，代码覆盖速度快一倍，且发现状态相关缺陷的速度是基线的两倍。此外，该模糊器在多个知名协议实现中发现了若干零日漏洞，并已获得8个CVE编号。该研究的核心贡献在于证明了状态识别可以完全自动化，显著提升了对无规范协议的模糊测试效率，为协议实现的安全测试提供了实用工具和方法论。