2026.09.02

单纯的基准表现并不是本文建议用来设定代理可达工作流地平线（horizon）的量度。作者反而建议在相关任务上测量逐步可靠性并保守地在几何估计之下进行预算，因为测得的风险率（hazard）可能加速而非保持平坦（Section 4.7）。

研究在四个为可由oracle验证而选择的合成任务族中孤立了依赖步数——Ledger、Refchain、Cipher，以及 ToolQA 的工具使用循环。它在五个地平线和三种上下文机制下评估了九个经指令微调的模型，总计分析了 10,664 条轨迹。为刻画退化形状而不是报告单一汇总分数，作者对每个模型-任务单元使用 AIC 在几何型、阈值型和线性成功率-地平线形式之间进行选择（Section 4.1）。

主要结果是有条件但具体的：在 36 个被测试的单元中，几何型胜出 28 个。按该描述，代理的端到端成功率通过每步可靠性参数在依赖步间乘性复合。具代理性的 ToolQA 结果将这一运作后果可视化：到地平线 16 时，所有被测试模型的表现都已降至其起始表现的小部分。然而，这一发现并非对更长 ToolQA 链段的测量：API 预算在最长期条件之前终止，因此所报告的地平线-16 崩溃是对更长地平线严重性的下界。

上下文消融使对被测试的流式任务族的诊断更为明确。在保持任务实例在各机制间配对的条件下，约束上下文窗口使衰减斜率变陡而非缓和：在压缩（compressed）机制中，按地平线倍增的合并 logits 斜率为 -0.69，而在自然（natural）机制中为 -0.44，p = 3×10⁻⁶。由此，在这些合成多步设置中，简单地修剪历史并非有证据支持的地平线退化补救措施。作者还报告不可解析的输出格式或工具调用影响了 21% 的轨迹且随地平线增长，因此接口有效性是可以与最终成功率并行跟踪的可测量组成部分。

一个可迁移的研究操作是为单个代理工作流构建一个经 oracle 验证的地平线扫描：独立地改变依赖步数而不改变保留上下文长度，运行配对的自然/压缩/填充条件，拟合竞争的衰减形式，并记录任务成功率与无效动作率。由此产生的实际问题是：为了到达预期地平线，需要怎样的每步可靠性，并且拟议的记忆干预是否改善该参数而不是仅仅提高短地平线的通过率？本文并未建立普适定律：其任务族为合成，样本包含九个模型，且解码敏感性仅在固定的中等温度下测试。

本文针对仿真驱动代理设计中的一特定缺口。推理阶段，代理可在行动前用世界模型模拟候选操作，但作者认为在部分可观测情形下该接口不完整，因为仿真并未充分表示对当前状态的不确定性。因此相关问题不仅是代理能否预测行动后果，还包括其能否在选择行动前检查世界模型所“知道”的与仍然不确定的内容。

所提出的基于信念的世界模型（Belief-Based World Model，BB-WM）为该接口增加了直接访问。按作者描述，BB-WM “对当前状态建模并维护一个信念（belief）”，供 LLM 查询已知与不确定的状态方面信息。该信念访问被设计为与基于行动条件的仿真并行而非替代。论文的聚焦实证问题是：直接向 LLM 策略暴露世界模型的信念是否能改善决策。

报告的证据是对 ALFWorld 和 ScienceWorld 的接口消融实验。在 ALFWorld 上，作者总结表 1 为：“BB-WM 在效率和表现上均优于基线代理。”在 ScienceWorld 上，表 2 对 Llama 与 Qwen 给出相同结论：“BB-WM 在效率和表现上均优于基线代理（针对 Llama 和 Qwen）。 ”论文更宽泛的解释是：在部分可观测下，对世界模型信念的访问会改善任务表现，并且与基于仿真的世界模型互为补充。这是对所报告基准设置中组合接口的证据，而非已获得完整可学的世界模型的证据。

一个有用的实验操作很直接：将信念暴露与仿真暴露视为独立因子。比较基线策略、仅信念访问、仅仿真访问、以及两者结合；然后检查增益是否来自避免无效动作、解析状态不确定性，或两者兼而有之。还应改变信念更新的质量，因为论文的仿真组件存在实质性边界：“WALL-E 是不完全的下态预测器（incomplete next-state predictor）。”最后在分析中保留模型能力维度：作者报告“Sonnet 在两个基准上饱和（saturates）”，因此用该模型在这些任务上衡量接口增益的空间有限。

对研究者而言，可迁移的观点是将世界模型评估为一个可检查的状态不确定性服务，而不仅仅是一个 rollout 引擎。

现有代理基准大多将 LLM 代理作为固定策略来评估。这留下了一个问题：代理能否主动测试其行为、评判所获经验，并用这些经验改进后续决策。

S3Gym 改变了评估协议，而不是假定交互累积本身即为改进。"S3Gym 将宽松探索与严格的留出评估分离，并在七个带可执行环境验证器的文本游戏中实现该协议。"在探索阶段，验证器计算的即时奖励对代理隐藏，同时记录其自我评判；评估则使用更严格的、互不相交的随机种子。作者比较了三种将自评交互纳入的方法：直接的历史 ICL、基于得分的汇总记忆（Summary Memory），以及参数训练。

核心结果是有条件的，而非对某一机制的单一排序。论文报告称：“当经验能被压缩为可重用的策略性规则时，摘要是有益的；但当成功依赖精确的、状态相关的信息时，摘要常常不如原始历史。”参数训练也“在若干任务上产生显著增益，但在其他任务上表现出不稳定的改进和严重的负迁移。”在 Qwen3-8B 的微调研究中，“Training 在 Trust Evolution 上产生了显著的自我提升。得分从 0 上升到最高 30，并在 19 个更新检查点中的 18 个保持高于初始基线。”在相同研究条件下，Plants-vs-Zombies 表现出相反模式：“初始得分为 23，而每个更新后的检查点得分均为 6。”这些均为严格模式评估下的逐任务观测结果，而非证明参数更新能在所有游戏中可靠改进代理。

作者对记忆压缩给出直接边界：“因此，Summary Memory 是一种选择性改进机制：当经验允许紧致的因果抽象时它有效，但它不能普遍替代对富状态交互历史的直接访问。”自我评判也并非一致可靠；Chess 与 Trust 被标识为明显失效的案例。

研究操作 在后续工作中，保持探索与评估随机种子分离；记录代理的自评分与隐藏的验证器结果；然后在相同交互预算下比较原始轨迹与摘要。具体问题是：成功的行动在决策时是否需要可重用的策略性规则，还是需要精确的状态相关信息。此为作者基于任务依赖性提出的编辑式实验设计，而非一条普适配方。

当代理能将凭证传递给另一个代理时，多代理委托成为一个安全边界。本文在明确的不可信模型假设下评估该边界：被完全注入提示的代理不得超出明确委托给它的权限。先验的具体局限是运行时仅给主代理一个广泛的承载（bearer）凭证，将其不变地传给子代理和工具，并让模型决定授权。在作者的测试中，“被劫持的代理在所有四种”研究的攻击——误导副手（confused deputy）、重放（replay）、权限升级（privilege escalation）、以及过度广泛的子代理（over-broad sub-agent）——中均能成功，因为运行时未提供 R1–R8。

该方法改变了执行点，而不是试图让模型推理更可靠。论文从四种对手推导出八项需求，然后实现了一个授权代理（authorization broker）。其统御规则为：“授权决策由基础设施的 PEP 做出，绝不由不可信模型做出。”该代理将发送者约束、衰减（attenuation）、短生命周期委托令牌与外部验证组合，旨在使每次委托跳转都缩小权限。作者将此表述为一个组合缺口：“没有单一标准覆盖该需求集”，其中溯源、衰减、发送者约束、轮换与与模型无关的执行分散在不同原语中。

在受控测试平台中，作者报告该代理阻止了所有四种研究到的威胁，经受住了 11 次直接设计攻击，接受了 0 个伪造令牌（共 200,000 个尝试），并将受损子代理在 2,000 个随机化场景中的可达动作均值限制为 1.5 个，而在承载式委托下为所有 8,100 个。报告的执行成本约为每次决策 2.6 microseconds。上述结果是在论文所述对手与测试平台下对该代理设计的有界证据；它们并不表明每个框架或部署会呈现相同行为。

一个有用的研究操作是将比较复现为权限预算实验：在固定任务与对手输出的情况下，分别在广泛承载式委托与发送者绑定、衰减令牌下测量可达动作。分别记录重放、升级与跨代理可达性，而不是将其压缩为一个攻击成功率。论文的明确边界对解释该实验至关重要：该代理“尚未将其集成到被评估的框架中”，且实时模型端到端评估为后续工作。因此框架集成与模型在环的测试仍为下一步验证，而非已确立的结果。

缺失的控制单位

局部授权对每笔购买都可能是正确的，但对拥有舰队的租户仍可能失败。在作者的受控采购仿真中，在所述计费模型下，局部门禁批准了每笔购买却在所有 300 次预置运行中都使租户容忍度透支；预算则没有透支。 [arxiv:2609.00275v1, §5.1] 主要配置使用了 50 个代理、1,000 个时钟刻（tick）窗口、$250k 的容忍度、每代理调用上限 $50k，以及收费为 $c_{0.95}(e)=0.52·v$。 [arxiv:2609.00275v1, §5.1]

改变记账边界

所提控制将不可逆性视为按主体累计的账户：一个受信任的运行时记账每个效果的剩余损失并拒绝会使预算透支的边际效果。 [arxiv:2609.00275v1, Abstract] 在被评估的设计中，运行时沿 agent→workflow→tenant 的账本路径以原子方式预留收费；这使得租户预算而非单个调用上限成为准入边界。 [arxiv:2609.00275v1, §5.1]

规模扫描是决定性结果。在固定容忍度与相同计费模型下，局部门禁在十个代理时是安全的，但在 50 个代理时达到 2.4× 容忍度，200 个时为 9.7×，1,000 个时为 48×；而共享预算在每个被测试规模下都维持在约 0.48×。 [arxiv:2609.00275v1, §5.2] 作者还报告了来自 τ-bench 与 AgentDojo 的 38,452 条轨迹的跟踪分析：外部效果占工具调用的 22%，任务决定的效果在独立代理空模型下有 z 值高达 198，且一个植入指令平均将相同的外部效果传播到异构舰队的 84%（最低 48%）。 [arxiv:2609.00275v1, §5.5] 这些证据用于测试对跨代理相关性的累计控制，而不仅仅是针对单代理突发。

一个单主机、内存中账本微基准报告了 2.6 μs 的中位预留-确认延迟、每个活跃预留 240 bytes，以及在 32 线程的共享租户根下每秒几×10^5 次预留循环。 [arxiv:2609.00275v1, §5, Ledger overhead]

尚未被证明的内容

这些性能测量并未评估持久化、复制或崩溃恢复。更根本地，账本仅在被验证的主体、强一致性权限、幂等的预留生命周期与受信任的效果说明下为声明的计费单元给出界限；它并不对陈旧价格、未建模的相关性、恶意声明或错误归因的工作流下的实际损失给出保证。 [arxiv:2609.00275v1, §4] 该研究是可行性评估而非部署系统，且依赖感知定价、早期共享触发检测与跨主机协调仍未解决。 [arxiv:2609.00275v1, §6]

研究操作：通过测量在相关触发下的局部批准与共享主体透支来评估拟议的代理控制，然后用计费错误校准、延迟的依赖检测、取消/退款路径与分布式双重支付场景对结果施压。