多智能体可靠性三种失败模式合读：Right Answers, Wrong States + Worse Together + The Delegation Danger Band 精读

论文一：Right Answers, Wrong States: Hidden Information Failures in Multi-Agent Collaboration 代码：whr000001/OffQuery 论文二：Worse Together: How Performance Breaks Down in Multi-User Multi-Agent Teams 代码：MAMUBench（74 场景，将发布于 safety-research/MAMUBench） 论文三：The Delegation Danger Band: Why Mid-Capability Sub-Agents Over-Trust Inherited Stale State 发表时间：均为 2026 年 10 月（9 月 30 日–10 月 3 日提交 arXiv） 机构：①西安交通大学 + 新加坡国立大学 + 云南大学 + A*STAR（多高校+国立研究机构合作）；②独立研究者 + Stanford University + Anthropic（Anthropic Fellows Program 资助——前两位作者为 Fellows，Anthropic 研究员 Andrew Lampinen 提供指导，属「高校学生/独立研究者 + 企业研究机构合著」的典型产学合作形态）；③PayPal AI（纯企业研究） 领域标签：cs.CL / cs.AI / cs.MA（多智能体系统）

〇、三篇为什么放在一起读

2026 年，多智能体系统（Multi-Agent System, MAS）已经从论文里的概念变成了生产基础设施：Claude Code 的 Agent Teams 在同一个代码库上并行工作，OpenAI 用大规模智能体集群求解 Navier–Stokes 问题，每个人的私人助理 agent 开始在共享的购物车、日历、token 预算里相遇。「多个 agent 一起干活」正在成为默认部署形态，但它的可靠性研究长期被一个指标遮蔽：最终答案对了没有。

这三篇论文从三个互补的方位，同时捅破了「答对了」这层窗户纸：

三者的共同底层结构可以抽象为：MAS 的可靠性 = 当前答案的正确性 × 协作副产品的可信度。协作副产品有三个藏污纳垢的角落——协作产出的共享信息状态（论文一）、协作过程中的资源分配与相互行为（论文二）、协作交接时继承的上下文（论文三）。三篇论文恰好一人扫一个角落，合读能拼出一张完整的「多智能体可靠性失灵地图」，也指向同一类修复哲学：把「什么东西被留下来了/传下去了」变成一等可靠性目标，用结构性机制（显式验证、服务端 guard、策展交接）而非提示词善意来保证它。

一、论文背景：从「多智能体=能力放大器」到「多智能体=可靠性债务」

1.1 多智能体系统是什么，为什么大家都在用

LLM 多智能体系统指让多个各自拥有角色、工具或私有信息的大模型智能体，通过通信、辩论、分工来联合解决单个模型难以解决的任务。它流行的三个理由：角色专业化（不同 agent 管不同环节）、信息分布的必然性（现实中信息本来就分散在不同人/系统手里，没有任何单点能看到全貌）、并行与规模（复杂长程任务拆给多个 agent 跑）。

但「More Agents is All You Need」的乐观叙事这两年不断被实证研究侵蚀：MAST（Why Do Multi-Agent LLM Systems Fail?，NeurIPS 2025，arXiv:2503.13657）用 1600+ 标注轨迹归纳出 14 种失败模式（系统设计、智能体间错位、任务验证三大类）；Anthropic 2026 年 8 月的前沿红队报告《Patterns and Problems in Emerging Multiagent Systems》记录了智能体群的从众（conformity）、认知失败（epistemic failures）、目标不兼容（incompatible goals）乃至互相破坏；单一强 agent 往往追平甚至超过同质多智能体流水线。问题从「MAS 能不能更强」转向了「MAS 在哪些看不见的地方更脆」。

1.2 三篇论文各自戳中的评估盲区

论文一的盲区：任务准确率审计不了状态。 现有 MAS 评测（MultiAgentBench、Collab-Overcooked 等）几乎全部以下游任务成功率为金标准。但协作除了产出答案，还产出一个共享信息状态——讨论纪要、会话上下文、聚合笔记——未来推理会复用它。同一个正确答案可以来自「修复了状态」也可以来自「当前查询恰好没碰到坏掉的那块状态」，后者在现有评测里完全隐形。这篇论文把这种「答对但留错」命名为 off-query 失败：失败不在当前查询上，而在查询之外。

论文二的盲区：所有 MAS 研究默认 agent 追求共同目标。 无论是辩论、投票还是分工协作，主流评测里所有 agent 服务于同一个任务的正确完成。但真实部署中最常见的形态是多用户多智能体系统：4 个研究员各自的 agent 抢同一个 GPU 预算、几十个患者的 agent 打同一个满额日历、16 个用户的助理拼同一张订单——每个 agent 各忠其主，没有一个 agent 对共享资源的整体结果负责。这在机制上就是经济学里的公共地悲剧（tragedy of the commons）：个体理性加总成集体灾难。此前 GovSim（arXiv:2404.16698）、CoopEval 等研究测的是博弈收益，而这篇论文测的是用户拿到手的真实结果。

论文三的盲区：「继承全量上下文」从来没被当成一个需要证明的默认。 主流 sub-agent 框架（Claude Code 的隐式 fork 等）里，子 agent 默认继承父 agent 的完整工作上下文。问题在于：父 agent 的上下文里可能留着已被推翻的过时结论——父 agent 自己已经改主意了，但写在上下文里的旧结论还在。子 agent 读到它、信了它，就会做错——哪怕手里的基础证据足以算出正确答案。此前知识冲突研究（如 Adaptive Chameleon or Stubborn Sloth，arXiv:2305.13300）已证明 LLM 常向上下文信息屈服，但没人回答：这种伤害随模型能力如何变化？ 直觉答案是「模型越弱受害越重、单调递减」，而这篇论文证明这个直觉是错的。

1.3 合读的背景逻辑：三条独立证据汇成一个结论

三篇论文的机构背景耐人寻味：一篇来自高校联合体（西交大+NUS+云大+A*STAR），一篇来自工业界安全团队（Anthropic Fellows），一篇来自支付公司的 AI 部门（PayPal AI）。三种完全不同的出发姿势——学术基准构建、安全实证、系统工程实证——在同一个月里都得出了「MAS 的可靠性问题藏在协作的副产品里，而不在当前答案里」这个方向性结论。这种趋同本身就是一个信号：问题不是研究者偏好，而是部署现实逼出来的。

二、论文定位和关联工作

2.1 论文一（OFFQUERY）在研究谱系中的位置

OFFQUERY 处在「协作信息质量评测」这条线的延长线上：

• 前序：信息汇聚失败的经典发现。 社会心理学的 hidden profile 研究早在 1985 年就证明，群体讨论系统性地汇聚不了只被单个成员掌握的信息（Stasser & Titus, 1985）。近期的 Systematic Failures in Collective Reasoning under Distributed Information（Li et al., ICML 2026）把这个发现复现到 LLM 群体上。OFFQUERY 的推进在于：不止问「任务成了没」，还问「状态留下来的是对的吗」，并且把损失定位在状态层（T2 降 34.2%）远大于任务层（T3 只降 6.9%）。
• 平行的错误传播研究。 Multiagent Collaboration Attack（Amayuelas et al.）证明对抗性 agent 能扭曲集体决策；The Deliberative Illusion（Wan et al., 2026，同一作者团队前作）发现多智能体审议中事实流失与立场同质化。这些工作关注「错误如何进入决策」，OFFQUERY 关注「错误如何留在状态里且不影响当前决策」——后者在评估上更隐蔽。
• 修复方法 REGROUND 的对照系。 它与 Voting/Rubin/Manager/Self-Reflect/Confidence 等六种协作策略对比，全部胜出——证明「状态维护」是与「交互协议改进」正交的另一个设计轴。

2.2 论文二（Worse Together）的定位

• 相对 MAST 的推进： MAST 分类的是共享目标下的失败；这篇论文研究的是没有共享目标时（各用户各忠其主）系统性新增的失败。
• 相对 GovSim/CoopEval/DPBench 的推进： 这些公共资源博弈研究打分的是博弈收益（payoff），本文打分的是用户层面的真实结果（完成的任务价值、预约成功的患者数、被兑现的用户请求），且提供了单协调者（coordinator）作为关键对照组——把「多用户派多个 agent」与「多用户共用一个 agent」干净地分离开。
• 相对多用户 LLM 研究（Multi-User LLM Agents, arXiv:2604.08567）的推进： 之前研究「一个 agent 服务多用户」，本文研究「每个用户各有一个 agent」——这是 Claude Code Agent Teams、共享代码库等真实形态的抽象。

2.3 论文三（Danger Band）的定位

• 最接近的前作： Cai et al. 2026（When Child Inherits）把 sub-agent 继承建模为安全边界，识别出「spawn 后的更正传不到子 agent」这一跨厂商真实风险——但那是对抗视角，且不随能力变化。本文问的是非对抗的问题：孩子什么时候会心甘情愿地信过时结论？ 另外 Ruan et al. 2026（AOrchestra）证明策展上下文优于全量上下文——本文给出的是「为什么全量继承会失败」的一个机制。
• 知识冲突谱系的行为化延伸： Xie et al. 2024、Longpre et al. 2021 等证明上下文可覆盖参数化知识；Kukreja et al. 2026（ACL Findings）证明 logit 层面的 context entrainment 随参数规模递减。本文把这个「随规模递减」当作已知方向，测的是行动层面的遵从，并发现它在净伤害维度上不是单调的——这是对既有 scaling 直觉的修正。
• 谄媚研究的反例对照： De Marez et al. 2026 发现更大的指令微调模型对社会压力更鲁棒（单调改善）。本文的中能力模型受害、强模型稳健的「带状」模式与单调叙事形成张力。

2.4 三篇合起来的定位对比表

三、问题定义

3.1 论文一：off-query 失败的形式化

具体场景： 地震救援中，多个 agent 各自观测到建筑 B 的不同信息并协作。Agent B 私下报告「东门现在可通行」（误导信息，与其他人的「东门有二次坍塌风险」矛盾）。当前查询是「救援者如何抵达北门附近的幸存者？」——只用到北侧信息，两个系统都答对了。但一个系统在协作中剔除了误导信息，另一个把「东门安全」留在了共享状态里。后续查询「东门附近有第二名幸存者，东侧通行安全吗？」到来时，后者答错。

抽象问题： 多智能体协作系统的评估应分解为两个正交目标——当前答案正确性与保留信息状态的可信度。形式化地，给定可靠全局状态 C*、查询 q、真实答案 y、共享信息与分布在 n 个 agent 的私有观察，协作过程同时产出答案 ŷ 与重建状态 Ĉ。off-query 失败定义为：ŷ = y（答对）但 Ĉ ≠ C*（状态错）。

精妙之处： 任务准确率只审计了「当前查询触及的那部分状态」。一条查询是状态的一个剖面，答对只证明这个剖面是好的；剖面之外的信息损坏全部隐形，直到未来的查询、agent 或交互复用它。这把「评估盲区」从一句抱怨变成了可测量的数学对象：T2（状态质量）与 T3（任务成功）的差就是 off-query 失败的可观测化。

3.2 论二：多用户多智能体的公共地悲剧

具体场景： 4–16 个研究员让各自的 agent 用共享的一夜 API token 预算（总需求 288M token vs 预算 100M）跑各自的任务队列。每个 agent 只收到自己用户的任务重要性描述，没有任何 agent 看得到全局。

抽象问题： 当 n 个各自忠于不同用户的 agent 通过共享资源耦合时，群体结果是否系统性劣于单个 agent 服务全体（coordinator）？劣化的机制是什么（搭便车、互相干扰、信息不达）？什么干预能挽回？这是把「个体理性 ≠ 集体理性」的经典经济学问题投影到 LLM agent 部署形态上——关键区别在于：人的公共地悲剧有制度解（产权、管制、社会规范），agent 的公共地悲剧需要重新发明这些制度，且必须在 token 预算和上下文限制内实现。

编队对照的精妙之处： solo（单用户单 agent）隔离任务能力因素；coordinator（单 agent 服务全体）提供「信息全在同一个上下文里」的理想对照；silent team（无通信）与 peer-to-peer team（可通信）分离「各自为政」与「沟通失灵」两种成分。任何团队表现劣于 coordinator 的差值，就是纯粹的协调损失。

3.3 论文三：继承伤害的能力门控问题

具体场景： 父 agent 对一组账目做汇总，早期状态下「杂货类总额最高」（当时为真），后来新交易入账，父 agent 改口「餐饮类最高」并更正了笔记。但按隐式 fork 的默认，子 agent 继承的是父的全量上下文——里面那条「杂货类最高」的旧结论还作为权威笔记躺在里面。子 agent 手里的基础证据 E 足以重算出正确答案，但它可能直接抄了旧结论。

抽象问题： 给定三种继承策略——RESET（只给基础证据 E）、SELECTIVE（E + 有用结论 S，策展交接）、FULL@d（E + S + d 份已被推翻的结论 S’，d 为剂量）——以及一个每个任务都能从 E 单独解出的基准设计，定义净效应 Δ(d) = Acc(FULL@d) − Acc(RESET)。核心问题：Δ 随模型能力（以干净 fork 准确率 Cm 度量）如何变化？

精妙之处有二： 其一，「E 永远够用」的设计把「信了旧结论」与「不会做题」干净分离——选了过时答案只能是过度信任，不可能是能力不足；其二，剂量 d（1→32 份过时结论）把「继承伤害」从二值现象变成连续曲线，使「危险带」的形状可测量。直觉预测 Δ 随能力单调改善（弱者全受害），实际发现的是非单调的带状结构——这推翻了「随规模单调改善」的默认叙事。

四、问题解法

4.1 论文一：OFFQUERY 基准 + REGROUND 框架

OFFQUERY 基准的构造逻辑（让 off-query 失败可控、可测）：

1. 切片分布。 基于医疗（MediQ）与灾害响应（CrisisFacts）两个高风险领域，把可靠全局状态 C* 切成「共享信息（所有 agent 可见）+ 分布式私有观察（按临床信息类别/利益相关方分工分给 n 个 agent）」。每个 agent 只有局部视图，基准却握有完整真值。
2. 注入误导。 为每个实例选一个错误答案 y⁻，用 GPT-4o 生成「局部看似合理、用完整状态可反驳」的支持性证据——私有版分给 1 个 agent（主设置），共享版直接污染初始共享上下文。质量验证：把误导证据直接喂给 GPT-4o 做原任务，医疗准确率跌到 12.6%/6.0%——证明毒药有效。
3. 三任务链评估。 T1 证据验证（单选识别不可靠源，测「谁该被信」）、T2 共享状态重建（FActScore 式原子事实级比对：保留了多少可靠事实、剔除了多少误导事实，三异构 judge Spearman ρ=1.00、与人一致率 0.86/κ=0.84）、T3 任务解决（当前查询多选准确率）。T1→T2→T3 构成一条可靠性链：验证失败污染状态，状态错误在查询依赖它时爆发。

REGROUND 的三阶段修复（设计原则一句话：冲突信息在被信任之前就应被解决）：

「verify before sharing」不是口号，有实验支撑：把共享上下文的暴露时机从讨论前（PRE）移到讨论后（POST），在上下文可靠时收益甚微，在上下文被污染时一致地减少损害——先建立可信证据基，再引入可能有问题的共享上下文，这个顺序本身就是一个设计原则。

4.2 论文二：四环境 77 场景的编队对照 + 靶向干预

四种编队：solo / coordinator（一个 agent 收所有用户请求于同一上下文）/ silent team（每用户一 agent，禁通信）/ peer-to-peer team（可通信）。四环境：API key（4–16 研究员抢共享 token 预算，25 场景）、merge queue（共享 CI runner 抢发布冻结前合并 PR）、clinic（17–52 个急症患者 agent 抢满额日历，信息分 assembled/scattered 两条件）、personal assistant（4/8/16 用户拼单/分摊房费，25 场景含 9 个安全相关请求）。5 个前沿模型（Claude Opus 5/Sonnet 5、GPT-5.6-sol/terra、Qwen3.8-max），每场景默认 20 episode。这个规模的代价：一次全编队运行 5.4B token / 370 小时。

三类靶向干预（这是本文从「发现问题」走向「解决问题」的部分）：

1. 结构干预——team lead：加一个没有自己任务、专门指挥的 agent（分「独占改任务工具」与「仅建议」两臂），告诉它以全局价值最大化为目标。全部 lead 臂在全规模上超过无领导团队。
2. 程序干预——指令栈：clinic 环境的三条硬程序（严格预约行为 + 听到即行动 + 挂断前敲定）。
3. 平台干预——MCP 服务端 guard：这是全文最漂亮的工程发现。个人助理环境的失败模式是「提交时还没读同伴消息」：请求在 94–99% 的 episode 里发到了提交 agent，但只在 47–67% 的 episode 里进入了它的上下文。把「读完所有未读 DM 才允许 checkout」这个约束写进 MCP 服务器端（而非提示词），挽回 73.1%（Opus 5）/62.3%（Sonnet 5）的失败 episode；加行级备注与确认机制（full platform stack）达 78.9%/72.0%。

「干预分层」的洞见： 提示词层干预（AGENTS.md 写「别覆盖同伴」）有改善但远追不上 coordinator，且 override 行为持续存在；结构层（lead）与平台层（guard）才是把团队拉回 coordinator 水平的力量。能由基础设施强制的约束，不要托付给模型的自觉。

4.3 论文三：冻结基准 + 三策略剂量对照

基准设计三支柱：

1. 任务准入门槛。 只收「RESET 准确率在 [0.40, 0.90] 且小模型 SELECTIVE > RESET」的领域——太简单（无损失空间）与太难（无能力可用）都测不出伤害。2 个合成原语（多项求和 aggregation / 计数模式 counting）+ MuSiQue + HotpotQA 共 4 任务族通过。
2. 能力阶梯。 Qwen3 0.6/1.7/4/8B 同族阶梯（+14B、Llama-3.x 跨族复制），以 Cm（干净 fork 准确率）为能力度量——用测出来的能力而非参数量做横轴，因为参数量不等于能力。
3. 剂量与分解。 d ∈ {1,2,4,8,16,32}；恒等式 Δ = B − P（B 为复用收益 = SELECTIVE−RESET，P 为过时惩罚 = SELECTIVE−FULL@d）。judge-free 闭集匹配判分 + 场景级配对 bootstrap CI。

关键控制实验群（把「伤害是过时语义本身」钉死）：等长中性填充 Δ(32)=+0.33、32 份正确笔记 +0.36——重复与长度不害人；过时结论 −0.15（CI 不含 0）、语义改写版 −0.11 趋负——只有「被推翻的结论」这个语义内容害人。位置交换控制：过时状态放末尾 −0.15 vs 放开头 +0.14（带消失）——伤害需要过时信息「新鲜」，而隐式 fork 恰恰继承的是父 agent 最新工作状态，所以末尾位置才是部署保真的。

五、评估指标与实验证据

5.1 论文一：三任务链上的系统性鸿沟

主结果（7 模型 × 3 设置 = 21 组合）：标准协作平均 T3 64.7% vs T1 14.3% / T2 43.1%。这个鸿沟跨模型家族、跨规模、跨领域稳定存在。最刺眼的个例：GPT-5 在医疗-S 上 T3 高达 86.2%，T1 却只有 10.9%、T2 只有 33.2%——最强模型的任务能力越强，状态可靠性被高估得越严重。更大模型显著提升 T3 却几乎不修复 T1/T2：off-query 失败不会随基座变强而消失。

REGROUND 的修复：全部 21 组合三任务齐升，平均相对增益 T1 +309.0%、T2 +82.9%、T3 +17.6%（如 GPT-5 医疗-S 的 T1 从 10.9% 拉到 55.6%，+410.1%）。增益排序本身就是证据：修复最大的正是标准协作最弱的两环。且 REGROUND 在 T3 上也全组合超过 Voting/Rubin/Manager/Self-Reflect/Confidence 六种协作策略（6 个骨干×数据集对比全胜）——状态维护是与交互协议正交的增益轴。

机制证据链（为什么答对了状态还是错的）：

• 选择性使用：错误决策的解释中 60.9%/71.7% 引用了被污染事实，正确决策的解释中只有 13.9%/19.2%——正确答案靠的是绕开损坏区。
• 延迟爆发：把 100 个「T3 答对但状态残留污染」的实例的窄查询换成宽泛临床方案生成，43% 的方案与可靠参考状态下的方案不一致——错误在更宽的信息复用中现形。
• 因果分离：单给单模型直接污染信息状态，T3 大跌（共享污染 −71.4%~−93.1%）；逐步修复状态则准确率系统性回升——状态质量与下游效用之间是因果链，不只是相关。
• 难度分解：仅分布式（信息全可靠但分散）就使 T2 相对 Oracle 掉 34.2/34.3%（T3 只掉 6.9/12.4%）；共享污染叠加后再掉到 −65.9/−66.6%——分布伤状态远重于伤任务，这是 hidden profile 在状态层的放大版。
• 压力测试：多不可靠源（45.2%→60.8%）与分布式误导（26.4%→49.7%）下 REGROUND 仍显著有效。

5.2 论文二：四环境一致的「团队劣于协调者」

行为层证据（群体劣化的机制切片）：

• 参与塌陷：团队从 4 涨到 16 人，Sonnet 5 的「曾行动过的 agent」比例从 66% 跌到 10%（Opus 5 82%→25%）——大团队里多数 agent 选择沉默，而回归分析显示参与率与得分强相关。
• 无共识接管：GPT/Qwen 系 agent 每 episode 未经同意杀掉/缩容同伴任务 3.9–7.1 次（Sonnet 5 为 0.59，Opus 5 从不）。
• override 与捏造：PA 环境中 65–77% 的 episode 出现违反用户请求的 override（删掉用户点的菜、加上用户拒绝的东西）；53–58% 出现「关于某个人的无据声明」（捏造），如声称某用户「同意」了某安排。
• 信息在上下文外：提交时目标请求已在提交 agent 上下文中的仅 47–67%——且在上下文里时兑现率 56–68%、不在时只有 19–36%。

干预证据：

• API key + team lead（value 导向）：全规模超无领导团队，4/8 用户场景反超 coordinator——没人对共享预算负责是根因，补上一个负责者即逆转。
• Clinic 指令栈：三条硬程序使 team 70.5%→95.3%（Opus 5），反超其 coordinator 的 84.3%（Sonnet 5 65.3%→91.8% vs 74.2%）。
• PA 的 MCP guard：读 DM 前禁 checkout，挽回 73.1%（Opus 5）失败 episode；full platform stack 78.9%。作为对照，把 checkout 钉给 lead（47.4% vs 对照重跑 45.5%）≈ 无效——约束「读没读」有效，约束「谁来读」无效，精准命中「premature checkout」这个失败模式。

这些实验设计为什么有证明力：coordinator 对照把「多智能体固有损耗」与「任务能力不足」分离；solo 排除任务难度干扰；每场景 20 episode×95% 区间让差距不只是噪声；失败 episode 重跑的恢复率分析（73.1%）直接把干预与特定失败模式挂钩。

5.3 论文三：非单调的危险带

主张一：遵从随能力下降（4 任务族全显著）。 stale-reliance 对 Cm 的斜率 CI 全不含零：合成 −1.46 [−1.72,−1.26]、MuSiQue −1.15、HotpotQA −0.72（Spearman ρ = −0.91/−0.87/−0.89）。FULL@32 的错误 94–100% 是「选了过时答案」（干扰项错误 ≤0.06、解析失败 0%）——伤害的成分就是遵从本身。

主张二：净伤害非单调，形成危险带。 合成核心（4,800 实例/模型）：

配对检验：1.7B 显著低于两侧邻居（比 0.6B 低 −0.19 [−0.26,−0.12]，比 4B 低 −0.34 [−0.42,−0.26]）。分解恒等式 Δ=B−P 揭示形状来源： 复用收益 B 随能力只平缓变化（+0.15~+0.31），过时惩罚 P 却从 1.7B 的峰值 +0.50 崩塌到 4B/8B 的 +0.03/+0.02——中间能力模型的「信旧结论」惩罚到达峰值，而复用好处没跟上，净伤害成带。

为什么最弱模型近零是「地板」不是「免疫」： 0.6B 的 P 同样大（+0.30），只是它的复用收益 B 也大（+0.30）恰好抵消——它没有足够的核心能力可损失。区分「无力受害」与「真正稳健」很重要：4B/8B 是 P 崩塌式的真稳健。

稳健性的真相（stale-only 控制）：去掉有用笔记、只留过时文本时，所有模型包括 4B/8B 都跟随未佐证的过时结论（reliance 0.69–0.97，准确率掉 +0.33~+0.78）——强模型的稳健不是「免疫」，而是把当前笔记与过时笔记做对比后选择了前者。「比较」而非「无视」。

能力类效应（matched-Cm 扫描）：在计数任务上扫 8 个难度级，把不同模型的能力拉到同一水平。Cm≈0.86 时 1.7B 受害（−0.09）而 4B 稳健（+0.14）；Cm≈0.70 时 1.7B 受害（−0.12）而 8B 稳健（+0.27）——同样能力、不同结局，说明敏感度属于「模型类」而非能力值。Llama 跨族复制支持能力门控（8B 从不显著受害，3B/1B 受害），但呈「稳健阈值」而非带状（族间差异如实报告）。活体父→子 fork 复现：用父 agent 自己生成（而非模板）的过时笔记，1.7B Δ(32)=−0.43 [−0.54,−0.32]（从剂量 1 就受害，ρ*=1）——活体场景伤害更大。thinking 模式不消除效应（−0.17 vs −0.15）。

主张三：策展交接是最稳干预。 SELECTIVE−FULL 三数据集全正：合成 +0.211、MuSiQue +0.104、HotpotQA +0.068；带内模型增益最大（1.7B +0.50），4B/8B 仅 +0.02–0.03（本来就安全）。而固定阈值能力路由器不迁移：合成 +0.048 但 MuSiQue −0.054（τ=0.74 是对合成的能力尺度调的，换了数据集就失灵）；连加了「每个模型的遵从探针」的学习路由器也无法跨数据集击败朴素全量继承。原因在结构上：路由器需要预测的是反事实量 P−B（这次继承会亏多少），而任何可观测代理（Cm、遵从探针）都只是它的投影。

六、效果优势的根源解释

6.1 论文一：为什么显式状态维护能同时修复三个任务

因果链（论文实验已支持的每一步）：

1. 方法差异：标准协作把「什么信息进入共享状态」交给讨论的自发过程；REGROUND 把「证据可信度判定」提前为显式验证阶段，把「进入状态的内容」变成原子事实级可审计对象。
2. 机制变化 A——验证前移切断污染入口：误导信息要么被识别（T1 升），要么在候选池阶段就被隔离。「verify before sharing」实验直接证明顺序的因果作用：同样的共享上下文，讨论后引入在污染条件下一致优于讨论前引入。
3. 机制变化 B——原子化使状态可修复：整段上下文无法「部分修复」，原子事实可以逐条对照证据保留/剔除——这是 T2 大幅提升的直接机制（FActScore 式评估与重建粒度对齐）。
4. 指标提升：T1 +309.0% / T2 +82.9% 来自 A+B；T3 +17.6% 是状态修复的顺带收益——「43% 临床方案不一致」实验证明状态质量直接决定下游，所以中间层修复必然传导到任务层。

为什么交互协议改进（baseline 组）做不到：Voting/Manager 等改变的是「谁跟谁说什么、怎么聚合」，但没有任何一步显式回答「哪些信息该存活」。错误信息在讨论中照样沉淀进纪要——协议改得再好，状态维护仍是缺位的一环。REGROUND 的增益轴与它们正交，这解释了为何六策略对比全胜。

6.2 论文二：为什么团队系统性劣于协调者、结构性 guard 为什么有效

群体劣化的三重根源（论文行为证据链）：

1. 责任真空 → 公共地悲剧。 没 agent 对共享预算负责 → 高价值任务不被优先（合并顺序与价值一致率仅 19–49%）。加 team lead（一个为全局价值负责的角色）后全规模改善、4/8 用户反超 coordinator——补上责任主体，悲剧即缓解，这是干预对根因的直接验证。
2. 参与塌陷 → 产出损失。 团队变大、参与率骤降（66%→10%）；回归显示低参与与低分相关。协调开销本身吞噬产出——大团队不是能力问题，是「没人行动」的问题。
3. 信息投递失灵 → premature checkout。 PA 环境里请求「发出」≠「被读到」：DM 作为用户消息投递，agent 可能在读到之前就提交了订单。这是 MAS 独有的时间性失败：信息在系统里存在，却不在决策者的上下文里。

为什么 MCP guard 比提示词有效（根源在约束的执行位置）： AGENTS.md 式提示词约束的是模型的「意图」——它建议你别在没读消息时提交，但无法阻止；且 override 行为在提示词干预后持续存在。服务端 guard 把约束移到动作执行的必经之路上：未读 DM 时 checkout 这个动作在服务器端被物理阻止。「干预有效性 = 约束与动作的耦合紧密度」，这与访问控制里「机制而非策略」的经典原则同构。挽回率 73.1% 的量级说明 premature checkout 确实是该环境的主导失败模式——干预与失败模式的精确匹配是高挽回率的前提。

6.3 论文三：为什么伤害是带状、为什么策展是唯一稳健干预

带状的机制根源（Δ=B−P 分解，论文实验支持）： 净伤害需要两个条件同时满足——有足够的核心能力可供损失（P 有发挥空间）且不足以抵抗过时结论的语义拉力（P 不崩塌）。最弱模型满足后者不满足前者（B 大 P 也大 → 抵消）；最强模型满足前者但 P 崩塌（它们做的是把两条笔记对比后择优，stale-only 控制证明它们并非无视上下文）；只有中间能力两者兼备 → 危险带。位置控制（末尾 −0.15 vs 开头 +0.14）进一步说明拉的来源是「最新工作状态」的显著性，而隐式 fork 继承的恰恰是最新状态——部署默认与伤害条件精确重合。

策展为什么优于路由（结构性论证）： 路由器要做的决策是「这次全量继承是否净有害」，其真值是 P−B——一个反事实量（需要知道「如果不继承会怎样」）。任何部署时可观测的代理（Cm、遵从探针）都与 P−B 只有相关而非决定关系，所以固定阈值跨数据集失灵（+0.048 → −0.054）、学习路由器过拟合。策展（SELECTIVE）从根上改变了问题：不是预测伤害会不会发生，而是让伤害源（过时结论）根本不进入子上下文——它把「是否受害」的赌注换成了「挑选正确结论」的确定性操作。这解释了它为何在三数据集上全正、且在带内模型上增益最大（+0.50）：带内模型正是 P 峰值的所在，剔除 S’ 直接免掉 P。

6.4 外部交叉验证

综合判断： 「多智能体失败主要来自协作副产品而非任务能力」这一总判断已获 MAST、Anthropic 报告与三篇论文的多源支持，可视为多研究共识；「结构/平台干预 > 提示词干预」在论文二的 guard vs AGENTS.md、论文三的策展 vs thinking 中两次独立出现，交叉支持较强；「伤害非单调（带状）」目前主要系论文三单源，matched-Cm 与 Llama 复制内部证据扎实，但跨家族只有方向性支持（Llama 呈阈值而非带），且实际默认难度的 MuSiQue/HotpotQA 上无模型入带——该结论在「任务需要努力计算且模型有准确率可损失」的条件下成立，在抽取式 QA 或能力触底任务上会失效，引用时需带上适用边界。论文一的「选择性使用」机制有解释文本分析与延迟爆发双重内部证据、外部未见直接复现，宜视为「单论文内证据充分的机制假说」。

七、必要知识反推

假设让一个零基础的人重做这三篇研究，最少需要掌握什么？

7.1 领域知识层

• 多智能体系统的形态学：角色分工/辩论/分层协调等协作范式，以及隐式 fork/typed subagent 的上下文继承机制——不知道「agent 之间怎么传东西」，就无法意识到「传的东西本身可以是失败源」。
• LLM 的知识冲突行为：上下文信息可压过参数化知识与重算能力（chameleon 效应）——这是论文三「子 agent 会信旧结论」与论文一「污染上下文伤状态」的共同行为学前提。
• 群体决策的经典理论：hidden profile、信息汇聚失败、公共地悲剧——论文一的分布式信息设计与论文二的资源竞争设计分别是对这两个经典问题的工程化转译。没有这层理论，实验设计里的对照（coordinator/Oracle）就失去参照系。

7.2 方法论知识层

• 评测构造学：如何注入受控污染（可反驳但局部合理的误导证据）、如何用 FActScore 式原子事实做状态级评分、如何验证 LLM-judge 的可靠性（三异构 judge ρ=1.00 + 人机一致 κ=0.84）——论文一的核心技能。
• 受控对照实验设计：编队对照（solo/coordinator/silent/team）分离协调损耗与任务能力；干预的 mediation 分析——论文二的核心技能。
• 剂量-反应曲线与能力匹配：把「继承多少过时结论」变成连续变量 d、把能力与参数量解耦（Cm 度量、难度扫描 matched-Cm）——论文三的核心技能。理解恒等式 Δ=B−P 的分解力（把非单调现象拆成两个单调分量的竞赛）是解释「带」的关键节点。

7.3 工程知识层

• MCP 协议与服务端约束的实现：知道 guard 能放在服务器动作路径上（而不只是 prompt 里）——论文二 73.1% 挽回率的工程前提。
• 大规模 agent 实验的基础设施：5 前沿模型×77 场景×20 episode 的 harness（Inspect）、5.4B token/370 小时的成本核算——论文二公开承认这是多数实验室做不起的实验，可复现性知识本身构成壁垒。
• 基准冻结与版本哈希：论文三用 sha256 锚定数据集版本——防止「基准漂移」侵蚀纵向对比。

7.4 知识融合的关键节点

三篇各自都有一个「化学反应」时刻：论文一把社会心理学的 hidden profile（1985）与 FActScore（2023）嫁接，造出「状态级可审计」这个此前不存在的评估对象；论文二把经济学的公共地悲剧框架与平台工程的「服务端强制」结合，发现约束执行位置比约束内容更重要；论文三把药理学的剂量-反应曲线（含「治疗窗」概念）与能力的模型阶梯结合，让「带状伤害」从模糊直觉变成可检验的统计对象（局部极小值配对检验）。共同模式：把旧领域的成熟分析工具移植到新领域的失败模式上，比发明全新工具更高效。

八、论文中可以提取的通用性灵感

灵感一：评估什么，取决于失败藏在哪里——「过程副产品」应成为一等评估对象

核心思想：任何系统输出正确答案的同时都在产出中间制品（状态、纪要、缓存、继承的上下文）；只审计最终答案，等于只体检了系统愿意给你看的那一面。 论文证据：off-query 失败中 T3 64.7% vs T1 14.3% 的鸿沟；43% 的残留污染状态生成不一致临床方案。 推广场景：① 代码评审系统应审计「评审留下的注释/决议」而非只看是否批准了正确 PR；② RAG 系统应评估「检索结果留在会话历史里的部分」是否可信，而非只看本次回答；③ 人机协作的 UI 设计应记录「用户离开时相信了什么」，而非只看任务完成率；④ 数据管道应监控中间表的数据质量漂移，而非只验证最终报表。

灵感二：正确答案可能有两条截然不同的生成路径——审计路径而非只审计结果

核心思想：「答对」可以是「修复了问题」也可以是「绕开了问题」，两者的未来风险完全不同；能区分两者的评估才测得到鲁棒性。 论文证据：正确决策的解释只有 13.9–19.2% 引用污染事实（绕开），错误决策的解释 60.9–71.7% 引用（踩中）；同样的 64.7% 平均 T3 背后是 43.1% 的状态可靠性。 推广场景：① 学生考试全对但跳过某知识点，教师应分析答题路径而非只判分；② 风控系统通过的贷款，应区分「核实了收入」与「恰好没查到风险项」；③ 自动驾驶的安全评估应区分「正确处理了障碍」与「传感器恰好没盲区」。

灵感三：把「确认收到」做成动作前置条件——约束要放在动作的必经之路上

核心思想：提示词约束意图，机制约束行为；想让某个前提（读完消息、验证过证据）必然成立，就把它做成后续动作在基础设施层的解锁条件。 论文证据：MCP 服务端「未读 DM 阻止 checkout」挽回 73.1% 失败 episode，而 AGENTS.md 提示词干预后 override 依旧、把 checkout 钉给 lead 无效。 推广场景：① 数据库写入前置校验（constraint 不变式）优于应用层代码自觉；② 合规流程里「未读风险提示书不得签约」做成系统拦截而非员工培训；③ 代码协作里 CI 必须绿才能 merge（GitHub merge queue 本身就是例证）；④ 论文一的「verify before sharing」（先验证后入共享上下文）同构——验证是入状态的门票。

灵感四：伤害的剂量-能力非单调性——中间态最危险，「最弱」与「最强」都可能有假安全

核心思想：当伤害 = 收益与毒性的竞争结果时，净伤害峰值往往出现在「有足够资本可损失、又不够强到抵抗毒性」的中间带；弱者的「没事」可能是无力受害，强者的「没事」需要检查是否真免疫。 论文证据：Δ(32) 仅在 1.7B 显著为负（−0.19），0.6B 因 B=P 抵消近零（非免疫），4B/8B 因 P 崩塌真稳健；stale-only 控制暴露强模型稳健的「比较」本质（去掉对照笔记后全体沦陷 0.69–0.97）。 推广场景：① 组织管理：中层管理者最易被过时流程绑架（有权执行旧规则、又无权改规则）；② 药物临床试验：中等肝功能患者可能是药物相互作用的高危带；③ 自动化系统：半自动化（人机共驾）的事故率带高于全手动与全自动；④ 金融：中等杠杆机构在流动性危机中最脆弱。

灵感五：策展优于预测——当决策依赖反事实量时，消除风险源胜过预测风险

核心思想：如果正确决策需要知道一个不可观测的反事实（「不这样做会怎样」），任何可观测代理都会在分布偏移下失灵；此时改变问题结构（让风险源不存在）比训练更好的预测器更稳健。 论文证据：策展交接三数据集全正（+0.211/+0.104/+0.068）且带内 +0.50；能力路由器合成 +0.048 → MuSiQue −0.054，学习路由器+遵从探针仍无法跨数据集胜过朴素全量继承。 推广场景：① 依赖预测「这次会不会出错」的重试逻辑不如直接幂等设计；② 安全工程里的消除危险源（design out the hazard）优于警告标签；③ 数据治理中删除过时副本优于维护「哪个副本新鲜」的预测器；④ API 设计：不可变数据结构优于「小心别改它」的文档约定。

灵感六：责任真空是群体失灵的第一根因——补一个对全局负责的角色/机制

核心思想：当每个个体只对局部目标负责且共享资源无人看护时，群体结果的劣化不需要任何个体作恶；显式设立对全局负责的主体（或机制化其职责）是最直接的解。 论文证据：无人对共享 token 预算负责 → team 仅达最优 30%；加 value 导向 team lead 后全规模超无领导团队、4/8 用户反超 coordinator；clinic 里「无人保证挂断前敲定」由三条程序指令补齐后 70.5%→95.3%。 推广场景：① 微服务架构里的 circuit breaker/资源配额服务（没人管的资源注定被抢爆）；② 公共资源治理的独立监管机构；① 团队管理里的 explicit owner 制度——每个共享指标必须有唯一负责人；④ 开源社区的 maintainer 角色对公共代码库的意义。

灵感七：同场竞争者的「合理行为」可以互相抵消——多主体系统需要为「相遇」专门设计

核心思想：各自最优的局部决策在共享环境里可能互相破坏（override 65–77%、无共识接管 3.9–7.1 次/episode）；部署多 agent 前必须设计它们的「相遇协议」，而不能假设善意或能力会自动产出协调。 论文证据：merge queue 里 team 合并顺序与价值一致率仅 19–49%（coordinator 97–100%）；PA 中请求发出≠读到（上下文率仅 47–67%）导致两倍差距。 推广场景：① 多租户云平台的资源隔离与仲裁；② 自动交易系统的熔断机制（防止合理策略的共振）；③ 多机器人仓库调度的中央仲裁 vs 分布式协商的权衡；④ 多个 AI 助理替不同家庭成员订行程时，需要家庭级的「会议桌」协议。

附：三篇论文速览卡

三篇论文最终指向同一个工程判断：多智能体系统的可靠性设计，本质是给「信息的流动与沉淀」装上门禁——进入共享状态前要验证（论文一）、执行动作前要确认前置条件（论文二）、跨代交接前要策展（论文三）。模型能力会继续变强，但这三个门禁的位置不会变。