# Explanation-Bound Tool Execution for AI Agents
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/explanation-bound-tool-execution-for-ai-agents
- Fuente primaria: https://arxiv.org/abs/2607.25364
- Versión leída: v2
- Fuente comprobada: 2026-08-19 · lectura primaria completa; extracción editorial automatizada, revisión humana pendiente
- Autores: Genliang Zhu, Chu Wang
- Fecha del corte: 28 JULIO 2026; REVISIÓN 29 JULIO.
- Área: AGENTES · SEGURIDAD

## Tesis y contexto

Propone ligar cada acción de herramienta a afirmaciones comprobables por el servidor. La autorización no depende de que la explicación del modelo “suene razonable”, sino de claims verificables sobre objetivo, parámetros y contexto.

- Problema: Las cadenas de pensamiento y racionales del modelo no son una base segura para autorizar transferencias, cambios de configuración o acceso a datos. Por qué puede ser importante: Se alinea con una arquitectura zero-trust: el modelo propone y el servidor valida evidencia concreta antes de ejecutar.
- Por qué importa: La relevancia práctica todavía necesita contraste editorial.

## Evidencia reportada

- **reported-result**: Free-form justification applies only the review requirement already attached to high-risk tools and has HFAR 0.6250 and SFAR 0.6250 in this snapshot. [localizador](https://arxiv.org/html/2607.25364#S9)
- **reported-result**: Strict schema validation routes malformed and extra-field disclosure fixtures non-allow, yielding SNAC 0.5313, HFAR 0.5729, and SFAR 0.1563. [localizador](https://arxiv.org/html/2607.25364#S9)
- **reported-result**: Payload binding activates the authored tool, resource, operation, and numeric predicates, yielding SNAC 0.6875 and HFAR 0.3646. [localizador](https://arxiv.org/html/2607.25364#S9)
- **reported-result**: It lacks the full profile’s authoritative intent, route, context, freshness, risk, and policy comparisons. [localizador](https://arxiv.org/html/2607.25364#S9)

## Lectura y límite

- Método: La lectura de Problem Definition and Threat Model describe la intervención y su construcción: An agent receives user request u , observes context X , selects tool t , constructs payload x , and emits explanation e . The application gateway holds independently derived facts: where C is an intent certificate, T is trusted canonical tool metadata, P is the current application policy, R is a route record or authorized candidate set, X_{s} is a current context-risk snapshot, Q is preflight or state-witness evidence, and H is integrity-protected audit state. Model-visible tool descriptions may be attacker-controlled; T denotes a separately governed registry entry. Not every deployment must implement every…
- Límite: La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Deterministic Results.
- Confianza editorial: Media
- Limitación: El cierre de la fuente señala: EBTE is most useful where an application already owns authoritative intent, policy, route, and effect facts. It does not create those facts and should not be placed inside the same untrusted planner that generated the proposal. The verifier belongs at a reference-monitor boundary, while source retrieval, human review, and effect execution remain separately governed. This placement makes the explanation useful even when it is not faithful introspection:…
- Limitación: La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Deterministic Results.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/abs/2607.25364): tipo abstract
- [HTML · lectura completa](https://arxiv.org/html/2607.25364): tipo abstract
- [Método · Problem Definition and Threat Model](https://arxiv.org/html/2607.25364#S3): tipo section
- [Evaluación · Deterministic Results](https://arxiv.org/html/2607.25364#S9): tipo section
- [Cierre · Discussion](https://arxiv.org/html/2607.25364#S13): tipo section

## Próxima prueba

- ¿La propuesta mejora pagos frente a la línea base actual?
- Métrica: Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
- Regla de parada: Parar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

## Recursos reproducibles
- [Link](https://proceedings.neurips.cc/paper_files/paper/2024/hash/97091a5177d8dc64b1da8bf3e1f6fb54-Abstract-Datasets_and_Benchmarks_Track.html)
- [the following issues](https://github.com/arXiv/html_feedback/issues)
- [list of packages that need conversion](https://github.com/brucemiller/LaTeXML/wiki/Porting-LaTeX-packages-for-LaTeXML)
- [developer contributions](https://github.com/brucemiller/LaTeXML/issues)

## Enlaces relacionados

- [VAKRA](https://luiseduardodemiguel.com/research-ia/markdown/papers/vakra)
- [The Devil Is in the Interface](https://luiseduardodemiguel.com/research-ia/markdown/papers/devil-interface)
- [SkillSentry](https://luiseduardodemiguel.com/research-ia/markdown/papers/skillsentry)