EvoUndo: Recoverability-Constrained Self-Evolution for LLM Agent Harnesses —— 精读

论文链接：https://arxiv.org/abs/2608.28363

发表时间：2026 年 8 月 28 日（arXiv:2608.28363v1，cs.AI）

发表机构：独立研究者团队（Tanmay Sah、Dolly Sah、Harshul Jain、Tanya Sah，均无机构附属）

领域标签：cs.AI；AI安全、自进化智能体、程序合成、可逆计算

四位作者全部以 Independent Researcher 身份发表，没有高校或企业背书，但论文的实验纪律（协议锁定、McNemar 检验、Holm 校正、跨模型复现、新鲜保留集）达到了顶会水准。作者声明生成式 AI 仅用于编程辅助与草稿编辑。

一、论文背景

1.1 Agent 正在变成『可变的系统』

LLM agent 早就不只是选动作了：它们能在运行时改自己的 prompt、装卸工具、改中间件、改配置、分配资源、注册事件监听器、重构自己的执行 harness。这条路的终点是自进化 agent harness——系统自主把执行环境改造成适配新任务与新失败模式的形态。相关生态在 2026 年已经爆发：Self-Harness 挖弱点提修改、Darwin Gödel Machine 维护自改造种群、Harness-R1 学习把失败轨迹转成运行时补丁、Zombie Agents 甚至演示了攻击者内容可以持久驻留进 agent 的演化记忆。

1.2 被忽视的另一半：改得动，改得回去吗

现有自进化流程几乎都在优化前向效果：变异 m 只要提升任务目标 J(m(H)) > J(H) 就被采纳。但论文指出一个被普遍忽略的事实：前向改进对长期自治系统是不充分的。一个成功的变异可能覆写配置值、重排中间件链、遮蔽已有工具、建临时文件、泄漏后台资源。等它过时、引发回归、或与后续更新冲突时，简单执行一个静态逆操作可能无法恢复原状——因为正确的恢复程序往往是依赖状态的：恢复到观测等价的状态需要变异前状态里才有的信息。

一个最小例子：变异是 set_config『timeout_sec』→60，原值 30。变异后的状态里只有 60，想恢复 30 必须有人在变异前把 30 记下来。再如往中间件链头部插一个限流器：标量逆不够，必须记录变异前的序列位置并按序恢复。

1.3 核心概念：可恢复性是一个关系性质

论文最重要的概念升级是：可恢复性不是变异自身的属性，而是联合依赖于状态分布、见证捕获语义、观测契约与恢复语言表达力的关系性质。同一个变异在某个状态下可恢复、换个反事实状态可能不可恢复；在 L0 语言下不可恢复、换个更丰富的语言可能就恢复了。这个视角直接决定了后文实验设计的形状——必须分维度拆解。

1.4 从安全视角看为什么必须现在做

持久化的自修改是新型攻击面（Zombie Agents 已示警）；一旦变异不可逆，系统就进入『回不去』的状态，轻则资源泄漏、配置漂移，重则被注入的行为永久驻留。可恢复性是自进化安全的地基性不变量——这正是本文要立起来的约束。

二、论文定位和关联工作

2.1 谱系一：自改进与自进化 agent

从 Schmidhuber 2003 的 Gödel machine 到 Gödel Agent（递归自改逻辑）、Darwin Gödel Machine（种群式自改代码 agent）、Self-Harness / Agentic Harness Engineering / RHO / Co-Harness / Harness-R1（harness 级演化）、符号学习与 EvoTool、Tool-R0（组件级演化）。这一整条线的共同点：优化前向效用或策略能力。EvoUndo 补的是正交问题——模型生成的持久编辑是否保有独立验证过的恢复语义。

2.2 谱系二：可逆 agent 执行与运行时效果

GoEX 给自主 LLM 动作提供事后验证与撤销机制、损害 confinement；Shepherd 把 agent-环境交互表示为类型化效果，支持作用域 fork/replay/discard/rollback；时空可组合性演算形式化了可撤销的动态组件。这些系统假设逆语义由组件作者或运行时提供；EvoUndo 研究的恰恰是修改本身由 LLM 合成时逆语义未知、依赖状态、或在现有语言中不可表达的情形——见证捕获与恢复合成本身成为被验证的对象。

2.3 谱系三：可逆计算与双向编程

可逆效应系统（逆箭头）、透镜（lens）等双向变换形式化了保留重建先态信息的一致性定律。EvoUndo 的差异：前向编辑与恢复程序都是模型生成的，且恢复正确性在反事实状态上经验评估——因此非单射的前向变异不必被拒绝，只要依赖状态的见证保住了恢复所需信息。

2.4 谱系四：修改的验证与运行时安全

SEVerA 用形式守护的生成加程序验证保证合成 agent 满足契约（演绎保证，强于本文的经验验证）；AARM / AgentSpec / VIGIL 做动作级运行时策略执行，与『持久变异能否事后移除』是不同的时间维度属性，可以组合。普通基准/回归测试能验证能力提升，但无法验证效果可移除——一个变异可以同时通过全部回归测试并销毁信息。

2.5 定位总结

定位结论：首次把『可恢复性约束』引入 LLM agent 自进化搜索空间，并给出 grounding / expressivity 双瓶颈的机制分解。与最近热的自进化安全方向（2602-2608 的多篇）相比，它是开创性问题定义而非增量改进。

三、问题定义

3.1 从工程困扰到抽象结构

具体问题：自进化 agent 生成的变异如何保证能撤销？直接的思路是给每个变异配一个撤销程序，但两个困难立即使问题变形：

1. 信息论困难：前向变异可能破坏状态信息（覆写、替换），变异后状态不足以重建前态——所以必须在变异前捕获见证（witness）；
2. 泛化困难：变异是在某个状态下起草的，但它可能被应用到反事实状态上，恢复程序必须在状态分布上稳健。

于是问题重述为：如何表示、合成、诊断并独立验证模型生成自修改的可恢复性？

3.2 形式化

• harness：H = (S, Π)，S 是持久状态（配置、prompt 模板、路由状态、工具注册表、中间件序列、监听器绑定、沙箱文件、受管资源），Π 是执行策略；
• 自进化步：施加变异 m : S → S′，能力改进当 ΔJ(m; S) > 0；
• 见证与恢复：见证捕获函数 w : S → W 记录恢复相关的前态；恢复程序 u : S×W → S，恢复结果 ŝ = u(m(s), w(s))；
• 类型化观测等价：ŝ ≃_{C_e} s，由效果契约 C_e 决定哪些类型化状态目标必须恢复（字典键排序、易变标识规范化、文件用 SHA-256、排除时间戳/inode）——不要求全字节相等；
• 反事实可恢复性：R_{L,Q,C_e}(m) = 1 当且仅当存在 (w,u) ∈ L 使 Pr_{s~Q}[u(m(s),w(s)) ≃_{C_e} s] ≥ τ_R。

3.3 约束优化目标

在 ΔJ > 0、(w,u) ∈ L、C_e 有效、E(m,s) ⊆ C_e 的约束下最大化 J(m(S))，并满足反事实恢复概率 ≥ τ_R。注意实验中前向变异 m = m₀ 冻结不变，只搜 (w, u, C_e)——作者明说不评估联合优化。

3.4 这个抽象的精妙之处

可恢复性定义里 L、Q、C_e、w 语义全部作为参数出现——『可恢复』不是布尔事实而是四元关系。这为后文的因子实验铺路：S0/S1 分层按 L 的表达能力划分、grounding 按 w 与诊断的地址精度变化、观测等价按 C_e 的类型化范围界定。抽象直接生成了实验设计，这是好形式化的标志。

四、问题解法

4.1 候选表示与防作弊设计

候选是四元组 ξ = (m, w, u, C_e)。恢复修复阶段 m 严格不可变（m_repaired ≡ m₀，第 0 轮锁定、逐字执行），只有 w、u、C_e 可跨轮修改。两条防逃逸设计值得注意：

• m 不可变 → 不能把前向变异弱化成 no-op 来『通过』验证；
• 运行时独立计算 E(m,s) = SnapshotDiff ∪ ExecutionTraceEffects，要求 E(m,s) ⊆ C_e → 不能靠缩小声明的恢复范围作弊。漏报观测到的效果直接拒绝；过度声明则扩大等价性核查范围，自己给自己加难度。

4.2 反事实往返验证

对每个反事实状态 s ∈ Q = Q_dev ∪ Q_hid 执行 s →w→ z →m→ s′ →u(·,z)→ ŝ，检查 ŝ ≃_{C_e} s。开发态产生状态级诊断反馈；隐藏态内容与逐态结果扣留（主因子实验中修复期间只返回聚合 IID/OOD 恢复 LCB 摘要；新鲜保留集研究则完全反馈隔离）。反事实状态本身有系统化分类学：IID 扰动包括边界极端值、先在性分支（工具缺失/先存/签名冲突）、组合指派、依赖敏感、对抗噪声；OOD 扰动包括陌生嵌套键、冲突 socket 绑定、高优先级中间件前置、深目录结构、反转路由默认。

4.3 两级诊断反馈

往返失败时验证器计算状态残差 Δ_res = Diff_{C_e}(s, ŝ)：

• D0 粗诊断：只给受影响子系统与缺陷分类，不给精确残差位置；
• D1 精确地址诊断：额外给规范化的验证器观测状态地址与顺序迹（如 tools『tool_id』、middleware『middleware_id』）。

4.4 两级恢复语言

运行时强制语言分级：L0 条件下发出 L1 专属原语直接拒绝并消耗该次合成尝试（691 条模型响应中 290 条因此被拒，其中 S1 层任务 48.4% 会自发尝试 L1 原语——模型其实『知道』需要什么，只是语言不许）。

4.5 闭环合成与准入

能力正向但恢复验证失败的变异触发有界合成：预算 B ∈ {1,2,3,4} 轮内修 (w, u, C_e)，早停。过 Q_dev 的提案再上 Q_hid。防小样本经验方差放进坏变异：准入要求 95% Wilson 分数下置信界 LCB₀.₉₅(k,n) ≥ τ_R = 0.85（k 个通过 / n 个隐藏反事实）。整体 fail-closed：语法错误、未处理异常、越语言原语立即拒绝。

4.6 oracle 审计：失败分层的钥匙

零生成的确定性构造 oracle（无 LLM、无搜索、无重试，纯结构化编译）对每个失败变异按前向操作逐个构造见证与逆原语，LIFO 逆序执行。它能看到完整前态、变异 AST 与双评估套件（特权信息，仅供回顾性分层，不给模型）。审计结果：L0 下 48/197 可被 oracle 恢复，L1 下 191/197。据此把失败库切成两个机理层：

• S0（48 个）：L0 语言足够，败在合成（grounding 瓶颈层）；
• S1（143 个）：L0 连 oracle 都写不出来，必须 L1（expressivity 瓶颈层）；

6 个连 L1 oracle 都救不回，排除在层对比之外。10 次独立重采样（种子 1000-10000）分层成员零迁移（Jaccard = 1.0），分层在实现生成器下稳定。

五、评估指标与实验证据

5.1 基准与模型

自然失败库来自 600 个未见一次性自进化任务（六个百任务家族：Configuration、Tools、Middleware、Listeners、Resources、Multi-Surface）：每任务无重跑采样一个候选变异，281 个直接可准入、122 个能力不足、197 个能力正向但恢复失败——冻结为主评估队列。主模型 gpt-oss-120b（MXFP4、温度 0.2、medium reasoning、8×H200）；跨模型复现 Qwen3.8-27B（约束结构化解码）。每候选在 10 个开发态 + 40 个隐藏态（20 IID + 20 OOD）上评估。主指标 Rescue@B（预算 B 内修复比例），配对风险差 + 95% bootstrap CI + 精确 McNemar + Holm 校正——协议在三对比前锁定。

5.2 两个先导实验定调

• 受控基准（120 个故意注入恢复缺陷的变异）：表示对齐时闭环修复高度有效——独立重生成 4/120（3.3%），泛型反馈 104/120（86.7%），原始验证迹 101/120（84.2%），类型化诊断 114/120（95.0%），处方提示 117/120（97.5%）。
• 自然失败上常规修复全线崩塌：L0 表示下四种验证器引导修复模式全部 0/197，独立重生成也只有 6/197（3.0%）。诊断发现 180/197 涉及受控缺陷分类学之外的结构性状态变换。

这组对照说明什么？问题不在『模型不会修』，而在『表示不允许修』——受控基准证明修复能力存在，自然失败证明表示是瓶颈。这正是引出 oracle 审计的完美铺垫。

5.3 主结果：2×2 因子实验

四条件在 197 个冻结自然失败上（B=4）：

三个协议锁定对比：

• C1（D1L0 vs D0L0 @S0）：+79.17pp（CI [+66.67, +89.58]，p_Holm = 1.46e-11）——L0 够用时，精确地址 grounding 解锁恢复；
• C2（D0L1 vs D0L0 @S1）：+99.30pp（CI [+97.90, +100.00]，p_Holm = 1.08e-42）——语言表达力解锁 S1 全层；
• C3（D1L1 vs D0L1 @S1）：−6.29pp（CI [−11.19, −2.10]，p_Holm = 0.0117）——反直觉：在丰富语言上加精确地址反而降效。

合成效率（模型拯救数 / oracle 可恢复数）：D0L0 0% → D1L0 79.2% → D0L1 94.2% → D1L1 87.4%。全队列交互效应 I = −25.89pp。

5.4 端到端账目

600 任务中 478 个能力正向：281 直接可准入 + 197 恢复缺陷。D0L1@B4 拯救 180/197（91.37%），最终 461/478（96.44%）可采纳、总产出 461/600（76.83%），比初始 281/600（46.83%）绝对提升 +30.00pp。由于修复逐字执行冻结的 m₀，180 个被拯救变异全部保留原前向能力，零能力回归。

5.5 跨模型复现（Qwen3.8-27B，冻结 96 任务子集）

两大瓶颈机制跨模型迁移成立；gpt-oss-120b 上的负交互（C3）在 Qwen 上不复现——被定性为模型依赖效应而非普适规律。

5.6 新鲜保留集与稳健性

300 个全新任务（与 600 零重叠）+ 100 态隐藏评估验证 L1 不过拟合：开发反事实多样性从 Q2 提到 Q20，假阳性 16.8%→0.0%（精确换覆盖：Rescue@4 从 49.7% 降到 35.0%）。阈值 τ_R 在 [0.75, 0.90] 宽域稳定（168-142 拯救），0.95 时显著压产（102）。开销：每任务 2.39-3.09 次调用、3.37k-4.3k tokens；主队列闭环修复平均 1.78（D0L1）-2.40（D1L0）次调用/任务。

5.7 与快照基线的诚实对比

不同表面选择性恢复 300 任务：效果作用域快照 300/300（100%）> EvoUndo 243/300（81%）；同表面并发时两者都退化（53.0% vs 43.7%）；全量快照两种场景都 0/300（后续变更全被冲掉）。开销上 EvoUndo 居中（393.6B / 0.050ms）。结论清晰：已知确切受影响前态且可直接序列化恢复时，快照占优；EvoUndo 面向逆语义缺失、依赖状态、结构化或需合成的场景——两者的适用域不同，混合调度器是未来工作。

六、效果优势的根源解释

6.1 常规修复 0/197 的根源：不是能力问题，是表示问题

受控基准（114/120）与自然失败（0/197）的对比排除了『模型不会修』的解释。oracle 审计进一步定位：S1 层 143 个失败连确定性程序都 无法在 L0 里写出恢复——L0 根本没有中间件序列捕获、监听器恢复、文件前态、socket 描述符、有序多表面这些原语。语言门数据佐证：D1L0 条件下 691 条响应中 290 条自发尝试 L1 原语被拒（S1 任务上比例 48.4%）——模型感知到了需要的操作，语言不允许。此时任何提示工程、任何诊断粒度都救不了：表达力是硬约束。

6.2 grounding 瓶颈的机理：搜索空间里的无地址盲走

S0 层语言够用但粗诊断全灭（0/48）。D0 只告诉模型『哪个子系统、什么缺陷类型』，不给残差的精确位置。恢复程序本质是对状态地址的写入操作集合——不知道确切地址，模型在组合爆炸的候选空间里盲搜：写错键、恢复错注册项、漏掉嵌套命名空间。D1 给出规范地址（config 的键名、middleware 的编号）后，搜索空间坍缩到近乎确定，38/48 一步到位（B=1 时已 24/197，全部属 S0）。类比：D0 是『仓库某排货架有错』，D1 是 GPS 坐标。

6.3 负交互（C3）的机理：详细反馈改变分解方式

D1L1 反而低于 D0L1（133 vs 142）。论文做了 11 个不一致任务的认证迹分析，排除了『输出更长导致截断』的解释（D1L1 失败件平均 1.90 操作 / 626.5 tokens，反而比 D0L1 成功件的 2.80 / 713.0 短）。迹分析揭示的机制：精确地址诱导模型做过细粒度的 unregister/restore 尝试（过度分解 5 例）、按前向而非逆向序发操作（顺序倒置 3 例）、捕获未变异的额外键造成反事实碰撞（过度捕获 2 例）。即详细反馈改变了语义分解与排序的选择，而在表达力充足的 L1 里，粗诊断下的默认分解恰好更对路。Qwen 复现中此效应消失（+6.25pp 不显著），作者谨慎地将其标注为模型依赖，并明确这是与迹一致的描述性机制而非因果干预。

6.4 因果链汇总

• 语言扩展 L0→L1（S1 层）→ 逆操作从『不可表达』变『可表达』→ +99.3pp（C2，p ~ 1e-42）；
• 地址精度 D0→D1（S0 层）→ 搜索空间坍缩 → +79.2pp（C1）；
• 反事实往返 + Wilson LCB 准入 → 假阳性随开发态多样性单调降到 0% → 恢复保证可审计；
• m₀ 冻结 + 独立效果审计 → 修复不碰前向能力、不能靠弱化作弊 → 180 拯救零能力回归。

6.5 无法从根源解释的部分（如实说明）

S0 层 D1L0 的 10 个未恢复与 D1L1 的 14 个未恢复、6 个连 L1 oracle 都失败的变异，论文未给出逐例根因；同表面并发场景两者的退化（53.0%/43.7%）指向作用域交叠这一开放难题；τ_R = 0.95 时产出骤降的机制（阈值严苛性 vs 隐藏态抽样方差）只有现象学描述。

七、必要知识反推

假设让一个毫无背景的人重做这项工作，最少必须掌握什么？

7.1 领域知识层

• agent harness 的持久状态构成：配置、prompt 模板、路由、工具注册表、中间件序列、监听器绑定、沙箱文件、受管资源——不知道这些就没有变异的对象模型，也设计不出六家族基准。
• 自进化 agent 的真实失败形态：180/197 自然失败落在受控分类学之外，这个事实只能从对真实自进化系统的理解中预判。
• 运行时效果追踪：SnapshotDiff 与执行迹效果的合并、类型化等价的规范化技术（键排序、易变标识替换、SHA-256、时间戳排除）——E(m,s) 独立审计与 300/300 检出率的基础。

7.2 方法论知识层

• 可逆计算与双向编程：透镜的一致性定律、逆箭头——理解『非单射前向不必拒绝，只要见证保住信息』这一设计取舍的前提。
• 数据库恢复理论：ARIES/WAL 的写前日志思想——论文坦承未实现但作为对照概念；作用域快照的强弱边界直接来自事务系统直觉。
• 受控实验设计：2×2 因子、协议锁定对比、配对 McNemar、Holm-Bonferroni、留一家族敏感性——C3 这种反直觉效应的公信力完全靠这套纪律支撑。
• 统计置信技术：Wilson 分数下界用于小样本准入，防止经验方差放进不可靠变异。

7.3 工程知识层

• 语言分级门控：越语言原语在执行前拒绝并消耗尝试——保证 L0/L1 对比干净的关键工程决策。
• 确定性 oracle 构造：无 LLM、无搜索的结构化编译 + LIFO 逆序——把『可解性审计』与『模型合成能力』分离的装置。
• 认证迹分析：加密哈希存档区分认证结果与被替换运行；不一致任务的量化迹指标（操作数、token 数）支撑机制解释。

7.4 知识融合的关键节点

• 节点一（问题翻译）：『自进化的安全性 = 可撤销性』×『依赖状态的恢复需要见证』→ 四元组候选表示 (m, w, u, C_e)。把安全约束转成可验证的程序对象。
• 节点二（诊断分层）：『失败原因可能多元』×『确定性 oracle 可判定语言内可解性』→ S0/S1 机理分层。没有这个分层，2×2 实验只会得到 91.4% 一个数字，看不到双瓶颈结构。
• 节点三（反事实泛化）：『恢复必须跨状态稳健』×『IID/OOD 扰动分类学』→ 往返验证协议。这步把『理论上可恢复』升级为『分布上经验可恢复』。
• 节点四（防作弊闭环）：『模型会走捷径』×『变异冻结+效果审计双闸』→ 可信的修复评估。每个防逃逸设计都对应一种具体的作弊路径。

八、论文中可以提取的通用性灵感

灵感一：把『能做』与『能撤销』拆成两个独立验证的属性

核心思想：对任何自主系统的自修改，前向收益与逆向可恢复性是正交维度，必须分别验证——通过回归测试不等于可以安全移除。

论文证据：478 个能力正向变异中 197 个（41.2%）恢复失败；180 个被修复的变异零能力回归（m₀ 冻结保证两维度互不污染）。

推广场景：数据库 migration 工具的回滚脚本验证；基础设施即代码的 drift 检测与回滚；组织变革前的可逆性评估；金融衍生品平仓路径的事前审计。

灵感二：失败要按瓶颈分层，而不是当一团处理

核心思想：系统性失败往往混合了『信息不足』（grounding）与『能力不存在』（expressivity）两类瓶颈，用 oracle 先判定理论上界，再把模型表现对齐到上界，才能看清真问题。

论文证据：oracle 审计切出 S0/S1；C1 与 C2 分别对应两类瓶颈、效应量 +79pp 与 +99pp；合成效率指标（模型拯救/oracle 可恢复）把『搜索失败』与『表示不足』干净分离。

推广场景：教育诊断（不会做 vs 题目超纲）；软件调试（缺日志 vs 缺 API）；供应链（信息不通 vs 产能不存在）；ML 错误分析（数据 vs 模型容量）。

灵感三：更详细的反馈不总是更好——反馈粒度是设计参数

核心思想：诊断信息的粒度会改变接收方的分解策略；在能力充足时，粗粒度反馈保留的默认结构可能优于精确指令诱导的过细分解。

论文证据：C3 的 −6.29pp（gpt-oss-120b）；迹分析显示 D1L1 失败源于过度分解/顺序倒置/过度捕获而非长度；Qwen 上效应消失 → 粒度应与模型和表示联合调参。

推广场景：代码评审意见的粒度选择；教学中的脚手架撤离时机；管理 micromanagement 的边界；自动微分系统中手动梯度 vs 自动微分的取舍。

灵感四：依赖状态的撤销需要『见证』——执行前捕获，事后才可用

核心思想：任何可能破坏信息的操作，其可撤销性必须在操作前就埋好——捕获变异前状态中恢复所需的最小信息，而不是事后想办法重建。

论文证据：set_config 例子里变异后状态不含 30，只有 w(s) 记录的 30 能救回；L1 的五类新原语本质都是结构化见证（序列索引、监听器绑定、文件前态、socket 描述符）。

推广场景：数据库 WAL 与 undo log；版本控制的前提是快照基线；合同签署前的证据保全；外科手术的术前基线记录。

灵感五：验证要在反事实分布上做，不能只看名义场景

核心思想：一个机制是否稳健，取决于它在起草场景之外的状态上是否成立；IID 与 OOD 反事实的组合是检验泛化的标准装置。

论文证据：恢复在 40 个隐藏态（含反转路由、冲突 socket、深目录等 OOD 扰动）上评估；Q2→Q20 消除假阳性 16.8%→0%；分层成员在 10 次重采样下零迁移。

推广场景：AB 测试的边缘用户群；压力测试与混沌工程；政策评估的异质性人群；模型安全评估的红队分布。

灵感六：对齐激励而不是信任善意——防逃逸结构化设计

核心思想：评估自主系统时，必须封死『降低任务难度来通过考核』的路径：核心对象冻结、独立计算考核范围、fail-closed 缺省。

论文证据：m₀ 锁定防弱化成 no-op；E(m,s) 独立审计防缩小契约范围（300/300 检出、0 假阳性）；语法错/越语言即拒。

推广场景：agent 评测的防 reward hacking 设计；安全审计的证据独立性原则；监管中的自查与他查分离；考试出题与阅卷分离。

附录：论文数据速查

自然失败库构建：600 任务 → 281 直接可准入 / 122 能力不足 / 197 恢复失败（冻结）
oracle 审计：L0 恢复 48/197，L1 恢复 191/197 → S0=48，S1=143，6 排除
主因子（B=4）：
  D0L0   0/197      D1L0  38/197（S0: 79.2%）
  D0L1 180/197(91.4%：S1 142/143=99.3%)
  D1L1 167/197（S1: 93.0% → 负交互 −6.29pp）
端到端：461/600 总产出（+30.00pp vs 初始），零前向能力回归
跨模型：C1 +47.92pp、C2 +37.50pp 迁移；C3 不迁移（模型依赖）
新鲜保留集：300 任务 ×100 态；Q2→Q20 假阳性 16.8%→0%
开销：闭环修复 1.78-2.40 次调用/任务；约 626-713 tokens/件

一篇问题定义本身就值得写进教材的工作：在所有人忙着让 agent『改得更快更准』的时候，它问的是『改得回去吗』，并且用四层验证装置（冻结变异、独立效果审计、反事实往返、oracle 分层）把这个问题变成了可以严格实验的科学问题。对 AI 安全、自进化系统、可逆计算任何一个方向的研究者，这都是必读的基准之作。