计算机使用代理通过图形界面、命令行、API、脚本以及模型上下文协议服务器与系统交互。策略决策可以在不同界面保持不变，但其可执行授权却可能因绕过中介、修改安全默认值或在授权状态改变后提交而失效。我们提出一种面向固定、版本化部署的 profile‑bounded 协议：首先枚举所有携带效果的路径（routes）和持久接收点（sinks），检查路径‑接收点的强制切割（enforcement cut），将每个具体请求归一化为规范化效果（canonical effect），发放与路径绑定的预备票据（prepare ticket），在提交阶段再次验证路径、效果、授权、追踪、配置文件、资源清单以及权威状态。提交成功必须得到一致的接收点回执（sink receipt）。在明确假设下，我们证明了 profile‑bounded 精炼、匹配效果的决策不变性、对替代路径洗白和跨表面重组的抵抗、提交时状态安全以及基于回执的结果可靠性。参考配置文件登记了 12 类效果、5 种接口和 60 条路径。两套结构不同的运行时映射产生 3,464 条追踪，覆盖 1,732 种场景：960 次提交、2,312 次拒绝、192 次重新预备后提交。独立检查器接受所有保留的追踪对并拒绝 26/26 的语义回归；覆盖与归一化套件分别拒绝 24/24 与 720/720 的突变；168/168 的提交探针与声明结果一致。冻结源代码审计在两套混合运行时和一个公共授权子系统的 12 个文件上通过 52 项检查。基于源码的适配器细化成功提交 48/48 次仪器化调用并拒绝 15/15 次未绑定案例。最终保证将声明的配置文件及其效果语义绑定在一起。\n\n点评：该工作通过严格的路径‑接收点划分和多层次验证，实现了跨界面授权的可证明安全性，为 AI 代理在复杂多模态环境中的可信计算提供了可复用的框架。