Harness 时代的三重监督：Cadence、E-Ledger 与 EBG 精读

论文一：Cadence: Strategic Guidance for Coding Agents 发表时间：2026年10月8日 机构：新加坡管理大学（一作 Minxing Wang、通讯 Yintong Huo）；伦敦大学学院 UCL（He Ye、Earl T. Barr）。纯高校合作，无企业参与 领域标签：软件工程 / 智能体运行时监控

论文二：Safe, Persistent, and Evolving Agent Harness for Understanding Partially Observable Worlds（E-Ledger + WorldAbduct） 发表时间：2026年10月8日 机构：香港科技大学 HKUST（一作 Yisen Gao、通讯 Yangqiu Song，主导方法与实验）；LIGHTSPEED（Yue Guo，企业提供场景与合著）；独立研究者（Yiwen Guo，通讯作者之一）。高校主导 + 企业参与的合作模式 领域标签：企业智能体 / 安全对齐 / 世界模型

论文三：What Did the Agent Actually Do? Evidence-Grounded Oversight for Long-Horizon Agents（AgentMonBench + EBG） 发表时间：2026年10月5日 机构：中国人民大学高瓴人工智能学院（第一单位，三位共同一作 Sun Zhongxiang、Yan Jiahao、Zhao Hongkang 均为该校学生，通讯 Xiao Zhang）；快手科技（4 位作者：Ding Haojie、Zhang Boheng、Yang Fan，企业方参与研究）。高校主导基准与方法设计，企业提供合著支持 领域标签：AI 安全 / 人机监督 / 软件工程

一、论文背景

要理解这三篇论文，先要理解一个更大的趋势：LLM Agent 正在从「聊天工具」变成「干活的系统」。

Agent 是什么？ 简单说，就是让大模型不只回答一次，而是循环地「思考 → 调用工具 → 看结果 → 再思考」。比如一个编码智能体接到「修复这个 bug」的任务后，会自己打开文件、搜索代码、修改代码、跑测试，整个过程可能长达几十步，没有人参与。

Harness 是什么？ Harness 直译是「马具/缰绳」，在 Agent 语境下指包裹在基础模型外层的整个控制系统——上下文怎么组织、工具怎么暴露、中间结果怎么记、流程怎么编排。近期的 Harness-Bench 等研究（E-Ledger 论文引用的 Yao et al. 2026、Lee et al. 2026 等）发现：同一个模型换不同的 harness，表现差距可以大过换一个更大的模型。于是「优化 harness」成了不训权重就能提升 Agent 的捷径，其中代码化的 harness（把约束写成可执行代码而非提示词）让控制更严格。

但 Agent 干的活越多、越自主，一个老问题就越尖锐：谁来监督它？ 传统软件有测试和代码审查，人类员工有绩效评估，而长程 Agent 的行为细节分散在海量消息、工具调用和代码改动里，人类根本看不过来。三篇论文分别瞄准了监督问题的三个时间切片：

1. 事中（Cadence）：Agent 正在跑，监控器要不要打断它？何时打断？打断后是「提个建议」还是「推倒重来」？
2. 事前知识（E-Ledger）：企业环境里有大量「工具反馈里不写的隐藏规则」——比如资产价值超过 1 万美元会自动升级优先级，导致后续转移需要经理审批。Agent 不知道这些规则就会在不知情中违规。怎么把这些规则学进 harness？
3. 事后（EBG）：任务跑完了，用户想知道「Agent 到底做了什么决定、哪些决定值得我亲自核查」，证据在哪？

一个具体的例子可以把三个切片串起来：Agent 在企业系统里给资产转移操作——事前，它不知道「资产升值会自动升级优先级、优先级 1 的转移需要经理审批」这条隐藏规则（E-Ledger 的世界账本该记的）；事中，它开始反复提交一个注定失败的转移请求（Cadence 的 replacement 干预该拦的）；事后，用户发现它悄悄把「精确匹配」换成了「语义相似度」做评估指标（EBG 的证据视图该揪出来的）。

三篇论文的共同出发点是：监督不能只靠人肉，也不能只靠模型自觉，必须把监督机制做成 harness 的一部分。

二、论文定位和关联工作

Cadence：从静态触发到自适应调度

运行时监控的已有工作分两派。周期派（如 Wink, Nanda et al.）：每 k 步停下来调一次 LLM 检查轨迹，问题是「一刀切」——健康执行查太频浪费 token，严重失灵查太疏错过抢救窗口。规则派（如 LivePlan, Liu et al.）：预定义错误模式（如动作循环、阶段停滞）触发干预，问题是只能抓表面模式、抓不住自然语言里的推理错误。Cadence 的定位是第一个统一「检查时机」与「干预方式」的自适应框架：用 LLM 语义判定健康度，再用干预级别本身作为调度信号形成闭环。

E-Ledger：从被动记录到主动实验

企业 Agent 的已有工作（WorkArena、WOW 基准）揭示了部分可观测环境的安全差距。Harness 进化方向有两条线：一条改 harness 组件（MemoHarness 用案例诊断更新六个组件；TextGrad 用文本反馈优化复合系统）；另一条把 harness 当世界模型（WorldEvolver 从可见轨迹构建动作级状态变化库）。E-Ledger/WorldAbduct 的定位是连接两条线：四视角诊断既产出组件修改也产出隐藏规则假设，而专门的 abduction 智能体会在新环境中设计实验验证假设——先验证再入账本，区别于 WorldEvolver 只记录可见变化、也区别于直写假设不验证的做法。

EBG：从轨迹质量到证据定位

人机监督方向已有工作考察轨迹质量（AgentLens 的「lucky pass」问题）、问题发现与证据检索（TIDE）、澄清式交互（Ambig-SWE、Ask-or-Assume、π-Bench、KnowU-Bench）。但这些都用模拟或构造的用户反馈；AgentMonBench 的 FeedbackTrace 子集首次用真实用户反馈（SWE-chat）反推核查点。EBG 方法上对标 RepoGraph（代码符号图检索），关键区别是 RepoGraph 只组织代码结构，EBG 以「行为」为中心组织证据并做任务文档对齐，且能同时处理代码库与交互轨迹两种输入。

三篇的互补定位

值得注意的巧合：三篇论文都不约而同选择了免训练路线——不改模型权重、不微调监控器，全部靠外层机制设计获得提升。这与同期「harness 进化 vs 权重训练」的路线之争（如 arXiv 2610.11655 的实证研究）相呼应：在监督场景，机制设计的性价比目前高于训练。

三、问题定义

三篇论文面对的具体场景不同，但抽象后指向同一个本质结构：在信息不完全的条件下，用最小的监督成本换取最大的行为可信度。

Cadence 的形式化：编码 Agent 的轨迹为 τ = ⟨(t₁,a₁,o₁),…,(tₙ,aₙ,oₙ)⟩（思考、动作、观察三元组）。监控器在第 k 步检查前缀轨迹，生成指导 gₖ 注入。目标是检测并缓解失灵行为、引导任务成功——但「何时检查」与「如何干预」被定义为联合决策而非两个独立问题。精妙之处在于：Cadence 发现干预级别本身就是执行健康度的免费信号，不需要额外的健康评估器。

E-Ledger 的形式化：环境建模为 POMDP：M = (U,P,S,A,T,O,Ω)——用户查询、约束策略、完整数据库状态、动作空间、转移函数、工具响应空间、反馈函数。安全任务完成的目标是 J(τ) = C_U(τ)·∏P(sₜ,aₜ)，即同时要求任务完成 C_U 且每步动作满足策略。深层结构相似性在于：隐藏规则学习 ≈ 科学发现——从观察到的反常现象提出假设，再设计受控实验验证。规则表示为 r : (a,s,c) → Δs（动作+状态+适用条件 → 状态变化）。

EBG 的形式化：给定可见 Agent 上下文 X 和任务需求 Q，图构建器 F 把 X 变成 G = (E,B,S,R)（证据、行为、作用域、关系），呈现器 P 把 G 渲染成证据视图 V，监控模型 M 基于 (Q,V) 产出发现 Ŷ。本质抽象是：把「Agent 做了什么」从线性日志重组为以行为为中心的图结构，让「哪些决定重要」变得可检索。

抽象要素对照：

三个抽象各自的精妙之处：Cadence 把「何时查」与「怎么办」的联合决策压缩成单一信号流（干预级别既是对当前步的处置、又是下一步调度的依据），问题维度塌缩了；E-Ledger 把「安全」从结果约束（trajectory 级）分解为过程约束（step 级策略合规 × 任务完成），使得安全可以逐动作保障而非事后追认；EBG 把「值得核查」从主观判断转化为可检索结构（图上可定位的行为+可引用的证据 ID），让监督有了可操作的接口。

四、问题解法

Cadence：双模块闭环

类比：像一位带新人的资深工程师导师。徒弟（Agent）干活时，导师不会每分钟都盯着（太累），也不会完全撒手（会出事），而是「越干越顺就越多放手，一出问题就立刻凑近」。

模块一：两级干预。每次检查点，监控 LLM 读任务描述、近期指导历史、近期轨迹和尚未执行的建议动作，输出二选一裁决：

• advisory（咨询级）：执行正常或只有小瑕疵，放行当前步，指导文本附加到轨迹供后续步骤参考；
• replacement（替换级）：Agent 卡死、重复失败、或建议动作会把事情搞砸，丢弃该步，注入指导并让 Agent 重新生成。

关键设计是刻意用高层概念定义健康度（「稳步推进」vs「持续无进展」）而非枚举错误类型——不同 Agent 能力不同，同样的错误对一个 Agent 是致命的对另一个只是小插曲，概念化定义让框架可跨 Agent 泛化。论文还借用任务分解思想：把开放式编码任务转化为「执行健康度审查」这种预训练语料（如 StackOverflow 调试帖）中高频出现的结构化问题，让监控模型工作在其表征能力强的子空间。

模块二：检查调度器。干预级别直接驱动间隔更新：advisory 后 I ← min(I+δ, I_max)（逐步放松监督），replacement 后 I ← I_base（重置收紧）。整个算法只有一个循环加两个分支，极简但形成负反馈闭环。

参考配置为基线间隔 5、增长步 δ=2、最大间隔 20。参数敏感性实验显示：即使最差配置（base=5, δ=6，34.00%）也追平最强基线 Fixed-Interval(k=5)，同时每任务 token 只有其一半（0.96M vs 1.75M）；全部实验中仅 1.7% 的检查步触顶 I_max，说明最大间隔主要起保险作用。

调度与干预的分工证据（消融实验，SWE-bench Lite + mini-swe-agent）：

E-Ledger：账本 + 门控 + 溯因进化

类比：像一家管理规范的公司的「制度 + 台账 + 审计」体系。制度（策略代码）是硬约束，台账（世界账本）记着「这家公司实际怎么运转」，审计（WorldAbduct）负责从事故里挖出没人写进制度的老规矩。

论文开篇的图 1 给出了动机场景：任务要求把 Alice 的资产（8000 美元、优先级 2）增值到 12000 再转给 Bob。模型检查了策略「优先级 1 的资产转移需要经理审批」，看到当前是优先级 2，判断可转——但工具反馈不会告诉它：资产价值超过 10000 时系统自动把优先级从 2 升到 1。等它发起转移，策略违规已经发生。每一步局部看都合理，失败藏在不可见的转移里。

运行时（E-Ledger）四角色协作：

1. 任务 Agent：从查询、策略、工具、静态规则、动态账本、历史中选动作，并预测动作会引起的状态变化（这个预测留作后续比对的种子）；
2. 策略上下文 Agent：为审批抽取并绑定策略相关字段（如目标用户的活跃事件数、资产价值），只能引用账本实际记录的值；
3. 代码审批层：把文本策略编译成确定性 Python 程序，对每个动作返回 {execute, query, probe, block} 四种裁决之一，不可绕过——这是「已知约束变成强制约束」的关键；
4. 状态跟踪 Agent：从工具反馈中提取任务相关更新写入动态账本，可用静态规则解释间接效应，冲突和未决字段记录在案。

世界账本分两层：静态层 W_S 存验证过的隐藏规则 r:(a,s,c)→Δs（初始化为空）；动态层 W_D 存证据支撑的任务状态（标识符、属性、关系），逐步增量更新。

进化（WorldAbduct）四视角诊断：

• 状态一致性：每步检查「预测的状态变化 vs 工具反馈 vs 账本记录」是否一致（拟合可观测世界）；
• 世界-观测差：聚焦工具反馈里永远不会出现的部分——找出可能改变策略敏感字段的可疑动作，提出隐藏规则假设（这是提出假设的主力视角）；
• 策略门正确性：审计没通过审批的动作，找出失败原因、改进证据绑定；
• 目标判断：全任务复盘，诊断过早终止、未达目标、审批层漏掉的违规。

诊断产出两类：直接的 harness 组件修改，或隐藏规则假设。后者交给专门的溯因 Agent：在全新环境中设计靶向交互序列（如创建不同价值的资产再读回成本），根据证据接受、修订或悬置假设——只有验证通过的规则才进 W_S。论文的案例研究极佳地展示了这个过程：评估器反馈「资产成本 10500 被存成 12575」，溯因 Agent 先假设「1 万美元以上触发重估」，测试 9000/10000 的资产发现同样被改写，于是修订假设，最终通过 5000–20000 全区间测试归纳出公式 cost_stored = 1.15×cost_submitted + 500，还发现事后显式 update 豁免于此规则。

这套设计有一个容易忽略的细节：溯因 Agent 被要求只用本轮实验实际返回过的表和字段来表述规则、不许把规则限定在特定主机名上、且假设最多修订三次——这些约束保证写入账本的规则是可泛化的企业行为描述而非单次事件的复述。统计上，四骨干共启动 64 次验证检查（每次平均 13.3–19.1 次环境交互），50 次直接通过、8 次修订后通过、6 次悬置——悬置的假设不会拿到规则身份。

运行时与进化的协作全景：运行时靠账本+门控保安全，进化靠四视角+溯因补知识，验证集任务负责筛选每轮进化产物，测试任务完全 held-out。科学环境（ScienceWorld/DiscoveryWorld）没有组织策略，就去掉代码审批和策略门视角、用剩余三视角进化——框架是可裁剪的。

EBG：确定性图组织 + 任务导向视图

类比：像给一栋大楼建立「消防设施分布图」——原始上下文是整栋楼的所有房间（大部分与消防无关），EBG 把「行为」当作消防栓，每个消防栓标注位置（证据来源），相关消防栓归区（作用域），区与区之间画连接线（关系），查案的人拿着「本次任务清单」按图索骥。

为什么强调免训练和确定性：图构建三个阶段全部是确定性程序、零 LLM 调用、只用可见上下文。这意味着同一输入永远得到同一张图——证据组织本身不引入幻觉，语义判断的风险被完全隔离到监控模型那一层。这也是 EBG 与「让 LLM 总结轨迹再做监控」这类方案的机制区别。

第一步：结构化行为图（全确定性，零 LLM 调用）：

• 证据提取：每个证据单元保留 ID、原文、位置。代码库按语法单元切分（定义头、控制结构头、语句），轨迹按「Agent 回复段落（代码块完整保留）+ 工具调用-结果对」切分；
• 行为形成：代码库行为遵循「条件-操作-结果」三元组（锚定返回值/异常/状态更新，分支结构供条件，变量定义使用供操作）；轨迹行为遵循「需求-动作-响应」三元组（用对象标识符、工具调用链接等结构线索关联）；
• 图组织：行为按共享上下文分组为作用域（代码库按符号如函数/方法，轨迹按任务标识符），作用域间用有向类型化边连接（代码库的 calls/feeds，轨迹的 references/Precedes），每条边保留支撑证据。

第二步：任务导向呈现：

• 代码库输入：任务需求引导目录排序 → 与任务文档直接匹配的作用域成为种子 → 一跳扩展（保留所有邻边和对端）→ 连通分量划分并选阅读根（连接数最多、任务中最早提及者优先）→ 渲染证据视图（局部子图 + 对应文档段落 + 原始源码，保留路径/符号/行号）；
• 轨迹输入：行为按任务作用域分组、保持原始顺序，最后一个可见行为所在的 Scope 标记为 Current，其余为 History——让监控模型一眼看出「当前正在做什么、之前做过什么」。

监控 LLM 拿着视图做语义判断，判断必须落到可溯源的证据 ID 上。

EBG 三组件的消融（三个监控模型，差异 = 消融版 − 完整版，负数为退化）：

三个组件各自独立贡献增益，图组织在仓库任务上贡献最大。超参敏感性：扩展深度从 1 跳到 3 跳、交互轮数从 4 到 8，SF1/LS 的波动不超过 0.03——增益对超参不敏感，说明价值在组织范式本身而非调参技巧。

五、评估指标与实验证据

Cadence：效率与效果双维

数据集：SWE-bench Lite（300 个真实 GitHub Python issue，FAIL_TO_PASS 测试须由修复转为通过且 PASS_TO_PASS 不回归）。两个工作 Agent：mini-swe-agent（只有 bash 命令）与 Moatless（11 个结构化工具）。指标：Resolve Rate（解决率）、Token Leverage（每百万 token 解决任务数）、Tokens/Task、Invocations/Task。

主结果（agent 为 Gemini-2.5-Flash，监控为 GPT-5.2）：

token leverage 上 Cadence 在 mini-swe-agent 达 0.41（+243.3% vs Vanilla），token 消耗全场最低。McNemar 显著性检验（Holm 校正）显示除 Moatless 上的 LivePlan（调整后 p=0.1175）外全部显著。实验设计的证明力在于消融：固定间隔 k=7 在几乎同等 token 预算（1.025M vs 1.028M）和检查频次（5.07 vs 5.90 次/任务）下掉 9.00pt——证明是「检查时机」而非资源量在起作用；仅 advisory 或仅 replacement 分别掉 7.33/4.33pt；换骨干（Qwen3-Coder-480B +15.00pt、GPT-5-mini +4.67pt、Claude Sonnet 4.6 做监控 +20.33pt）增益稳定。定性分析：112 个关键干预案例中 90 个（80.4%）在 Vanilla 下失败；replacement 是 88 例（78.6%）中的决定性干预。

E-Ledger：安全与完成的乘积

主基准 WOW（World of Workflows，50 任务/10 类型，ServiceNow 环境，2:1:2 训练/验证/测试切分）；指标：STCR（安全任务完成率 = 完成且全程合规）、TCR（完成率，含正确拒绝不可行任务）、PSR（策略安全率）、步数、成本。四骨干：GPT-5.6-Terra / Kimi-K3 / GLM-5.3-Flash / DeepSeek-V4-Pro。

四骨干全部最高，超最强基线 MemoHarness 5–15pt。注意 MemoHarness 在 Kimi/DeepSeek 上 TCR 略高（85/90）但 PSR 仅 80/85——完成但不安全；WorldAbduct 靠验证过的规则守住 95–100% PSR。这个「完成率与安全率的张力」正是 STCR 作为主指标的设计意图：只看完成会奖励冒险的 Agent。

组件消融（GLM-5.3-Flash，完整版 STCR 75.0 / TCR 80.0 / PSR 95.0）：

去掉静态世界层掉 35pt 是全场最大幅度消融——账本承载核心增益；去掉验证（假设直写 W_S）PSR 95→85。规则质量审计：54 条冻结事实中 49 条完全正确、5 条部分正确、0 条错误；Kimi-K3 的 20 条全部正确，而 DeepSeek-V4-Pro 仅 10 条规则就拿到最高 STCR——规则数量不决定执行质量，骨干如何用好账本同样重要。隐藏规则还让「策略违规定位任务」的准确率在每个骨干上提升 0.10–0.22。额外对照：给两个基线多一轮进化机会，GLM 上结果不变（MemoHarness 65.0 / WorldEvolver 45.0），证明差距不是进化轮数问题。泛化：ScienceWorld 成功率 71.7（ReAct 25.0）、DiscoveryWorld 93.8（ReAct 43.8）且步数约为 ReAct 的三分之一。

EBG：跨 8 模型的定位提升

基准 AgentMonBench 三子集各 100 例：SpecGAP（从任务文档删关键条件，484 条被删条件）、SilentSwap（每任务 5 处语义替换但原有测试全过，500 处替换）、FeedbackTrace（从 SWE-chat 真实用户反馈反推核查点，100 个验证点）。双判分器（GLM-5.2、Qwen3.7-Max）取均值，规则指标（LF1/LS/EHR）+ 语义指标（SF1/QQ/LC/CC/VPA/ESS）。

主结果（8 模型 × 9 指标，绝大多数 EBG > Base > RepoGraph）：

输入规模分组是关键证据：Base 的三个定位指标随输入增大单调下降（FeedbackTrace EHR 0.667→0.422），而 EBG 在全部 9 个平均对比中胜出，High 组（长上下文）绝对增益最大（+0.078/+0.115/+0.108）——原始上下文越长，证据组织越有价值。消融：去行为组织、去图组织、去任务引导，三个监控模型的代表指标全部下降（如 Luna 去 Graph 后 SpecGAP QQ 掉 0.412）。误报测试：9 组 TPR 对比 EBG 全升、8 组 FPR 下降。诚实报告：绝对分数仍低（多数 <0.7），作者明确指出「当前 LLM 在关键决策监测上仍有很大提升空间」。真实应用：EBG 集成进 Codex Harness 的 5 个案例（指标优先级缺失、随机化协议变更、验证集泄漏、缓存结果冒充 API 验证、搜索预算不均）中，无 harness 时 Codex 均不披露关键问题。

六、效果优势的根源解释

Cadence：为什么自适应调度结构性优于静态触发

因果链（各环节均有论文实验支持）：

1. 动机实验确立瓶颈：健康执行组（n=145）在间隔 3→15 下解决率始终 ≥88.28%，失灵组（n=155）从 23.87% 跌到 14.19%（-9.68pt）——最优间隔依赖执行健康度，单一间隔必然顾此失彼【论文实验已支持】；
2. 规则监控的盲区：LivePlan 漏检的 35/152 失败任务全是「错误修复目标/错误修复逻辑/不完整修复」这类推理缺陷，无模式可匹配【论文实验已支持】；
3. 方法差异→机制变化：LLM 语义判定能抓推理缺陷（72.3% 被纠正的失灵是推理错误）；干预级别反馈驱动调度让监督资源从「均匀洒」变成「按需集中」——健康时段间隔拉长省下 token，失灵时段重置间隔密集抢救【论文实验已支持】；
4. 机制变化→指标提升：同等 token 预算下动态调度比固定 k=7 高 9.00pt，直接证明「时机」的贡献；token leverage +243.3% 来自「省下的无效检查 + 多救回的任务」两端【论文实验已支持】。

外部证据交叉验证：Cadence 的调度器机制显式引用了 Jacobson 1988 年 TCP 拥塞控制的 AIMD 思想（advisory 加性增、replacement 乘性减回基线）——网络领域数十年实践证明这种反馈结构能在「探测效率」与「防止崩溃」间取得结构性平衡，这是跨领域同构支持。「 Lost in the Middle」（Liu et al. 2024，Cadence 引用）证明长上下文中间信息利用率低，支持其用任务分解收窄监控上下文窗口的设计。失败归因分析显示 39.4% 的失败来自「指导未被完整执行」——说明瓶颈已部分转移到 Agent 侧，反向印证监控调度本身不再是主要短板【阅读者综合】。需要注意的边界：动机实验只用了一个 Agent 一个骨干，健康/失灵二分是事后统计分组而非运行时可观测属性——Cadence 用干预级别代理健康度正是对此的回应，但代理的准确性未被独立验证【阅读者推测】。

E-Ledger：为什么「验证后入账」结构性优于「记录可见」或「直写假设」

因果链：

1. 企业失败的根源定位：局部合理的动作实际违反策略，根源是工具反馈隐藏转移（资产升级、级联清理等 6 类 gold 隐藏工作流）——模型看得见的反馈里结构性地不包含决策所需信息【论文动机+基准设计支持】；
2. 代码门改变约束性质：已知策略从「提示词里的一句话」变成「不可绕过的执行前检查」——去门后 TCR 不变但 PSR 下降，证明模型明知策略仍会为完成任务越界，软约束不够【论文消融支持】；
3. 验证过的规则改变状态预测：W_S 让任务 Agent 的预测覆盖不可见副作用——去 W_S 后 STCR 崩塌 35pt 是全场最大幅度消融，账本承载核心增益【论文消融支持】；
4. 溯因验证区分规则与巧合：不验证的直写变体 PSR 95→85，因为过窄或过宽的假设导致不安全动作；成本重估案例中「1 万阈值」初始假设被 9000/10000 探针推翻、经三次修订才收敛到正确公式——验证不是走流程而是真正修正知识【论文案例研究支持】；
5. WorldEvolver 对照的意义：其效应库只记录可见变化，STCR 增益明显更小——可见轨迹证据在隐藏规则问题上存在信息上界，必须靠主动实验突破【论文对比实验支持】。

外部证据交叉验证：溯因推理验证科学假设的范式与科学发现文献一致（论文在 ScienceWorld/DiscoveryWorld 的泛化成功——隐藏动力学是物理而非组织性时同样有效——提供了同方法不同场景的内部交叉验证）。与「Harness 自进化天花板」类研究（同周 arXiv 2610.11655，非本文引用）的发现对照有启发：仅基于可见轨迹指标的自进化循环「只优化它能看见的」，而 WorldAbduct 用主动实验扩展了可见性边界——两项独立工作从不同角度收敛到「进化信号的可观测性决定进化上限」这一结论【阅读者综合】。MemoHarness 多一轮进化不变结果的对照，排除了「进化量不足」的替代解释【论文实验支持】。另一个值得注意的机制对照：直写变体（不验证）完成率不降但安全率降——说明未验证的规则不一定会让任务失败，而是会在关键安全决策上给出错误预测，这种「平时看不出、出事要人命」的失败模式正是企业场景最需要防的【论文实验支持，解读为阅读者综合】。局限：单次运行结果（论文 G 节自述）、STCR 绝对值受骨干能力制约（GPT-5.6-Terra 因保守策略 TCR 上限受限）【论文自述】。

EBG：为什么行为中心重组优于原始上下文直读

因果链：

1. 瓶颈定位：Base 三指标随输入增大单调下降（EHR 0.667→0.422）——竞争性信息淹没决策相关证据是结构性瓶颈，不是模型能力问题【论文实验支持】；
2. 重组改变信息可达性：证据按「行为」聚合（需求-动作-响应同框呈现）+ 保留来源链接 + 任务导向视图过滤——监控模型不再需要在 3 万 token 里大海捞针，而是按图索骥【机制分析，论文设计支持】；
3. 可达性提升→定位提升：9/9 输入规模平均对比 EBG 胜出且 High 组增益最大（+0.108 EHR）——输入越长淹没越严重、重组价值越大，这个梯度模式与「淹没机制」预言一致【论文实验支持】；
4. 失败归因反向验证：74–81% 的失败发生在「参考证据已可见」之后（判断阶段），仅 6–15% 是文件选择或视图呈现遗漏——证据组织已把可达性瓶颈压到次要位置，剩余瓶颈在模型语义判断【论文附录 G 实验】。

外部证据交叉验证：RepoGraph 对照很关键——同为图组织，RepoGraph 在多数仓库场景反而低于 Base（如 Terra SpecGAP SF1 0.215 vs Base 0.275），说明「组织」本身不必然有效，以行为为中心且与任务文档对齐的组织才有效，这构成了机制层面的受控对比【论文实验支持】。「Lost in the Middle」现象再次作为外部机制解释被引用支持。消融中任务引导（文档对齐）移除后 SpecGAP LF1 平均掉 0.127–0.135，证明对齐层的独立贡献【论文消融支持】。需要标注的推测：CC（变更理解）指标在部分超参设置下 EBG 反而低于 Base（Luna 三跳时），作者如实报告——证据组织对「定位」的贡献明确，对「语义理解」的贡献不稳定，两者是不同能力（论文自己也强调「证据检索与决策理解仍然分离」）【论文实验+自述】。

综合判断

三篇论文共同的、被多项实验支持的机制是：监督信号的结构化供给——Cadence 把健康度信号结构化为两级裁决、E-Ledger 把环境知识结构化为可执行规则、EBG 把证据结构化为行为图，三者都在「模型判断之前」先改造了信息形态。仍是推测的部分：Cadence 的健康度代理精度、E-Ledger 规则在更开放环境的可迁移性、EBG 对语义理解（而非定位）的增益。三者的优势条件分别是：轨迹足够长（ Cadence 的调度有发挥空间）、环境规则足够稳定可复现（E-Ledger 的溯因验证才可行）、证据确实分散且量大（EBG 的重组才有必要）。

七、必要知识反推

假设让一个完全没背景的人重做这三项工作，最少需要哪些知识？

领域知识层：

• Agent 运行机制：ReAct 式轨迹结构（思考-动作-观察）、工具调用、上下文管理——不理解「Agent 怎么干活」就无法定义监控什么。三篇作者都必须先吃透 SWE-bench 的评测协议（FAIL_TO_PASS/PASS_TO_PASS）或 ServiceNow 的企业工作流；
• 软件工程经验：Cadence 的两级干预设计来自「导师带新人」的工程直觉（小错提示、大错打回）；EBG 的「条件-操作-结果」三元组是程序分析的骨架（分支供条件、数据流供操作、返回值供结果锚点）；
• 企业系统运作：E-Ledger 需要理解 ServiceNow 式工单/资产/审批流的实际形态，知道「工具反馈成功 ≠ 状态符合预期」这一企业集成的老坑；
• 人因工程：EBG 引用了 Endsley 的态势感知理论和 Bainbridge 的「自动化讽刺」——理解「人类监督者的认知瓶颈」才知道要把哪些信息加工好递到人面前。

方法论知识层：

• 控制论/反馈系统：Cadence 的调度器直接移植 TCP 拥塞控制的 AIMD——不知道这个思想谱系，很难想到「用干预级别当调度信号」如此简洁的闭环；
• POMDP 与部分可观测性：E-Ledger 的形式化基础——把「工具反馈不含隐藏转移」翻译成数学语言才知道要求解什么；
• 溯因推理与实验设计：WorldAbduct 的核心方法是「假设 → 受控实验 → 修订」的科学方法循环，案例中阈值假设被区间测试推翻的过程就是标准的对照实验思维；
• 程序分析与图论：EBG 的确定性构建需要 AST 解析、连通分量、一跳邻域这些图算法基础——免训练的可靠性来自确定性。

工程知识层：

• 评测设计：三个团队都花了大量精力构造「能区分方法优劣」的评测——Cadence 的动机实验分组、AgentMonBench 的三子集构造（尤其 SilentSwap 要求替换通过原有测试但被语义测试抓住，这个双向验证设计精妙）、WOW 的不可行任务协议（正确拒绝也算完成）；
• LLM 工程：提示词设计（E-Ledger 的角色 prompt 极其详细地规定了每个 Agent 能做什么不能做什么）、双判分器均值降低单模型偏好（EBG）、统计显著性检验（Cadence 的 McNemar+Holm）；
• 可复现性工程：Cadence 把所有温度设为 0 并公开全部基线实现；EBG 公开数据集与代码；E-Ledger 公开仓库——三篇都把「别人能验证」当作默认要求。

知识融合的关键节点：最有化学反应的三个瞬间——(1) Cadence 意识到「干预级别是免费的健康信号」，把两个独立决策（何时查/怎么办）熔成一个闭环；(2) WorldAbduct 意识到「假设不能直写账本」，把科学实验方法论嫁接进 harness 进化；(3) EBG 意识到「组织证据不需要 LLM」，用确定性程序完成图构建、把语义判断留给模型——三处融合都不是知识的叠加而是范式的转译。

八、通用性灵感

灵感一：反馈信号复用——决策的副产品可以驱动调度。Cadence 证明「必须做的决策」（干预级别）本身携带状态信息（健康度），无需额外探测。论文证据：调度器仅靠干预级别更新间隔就比固定调度高 9pt。推广场景：运维系统用「告警处置级别」驱动巡检频率、教学系统用「答题提示级别」调整练习间隔、代码审查用「评审结论严重度」决定复审密度、机器人用「纠偏力度」调整感知频率。

灵感二：先验证再入库——知识库的准入门槛决定下游安全性。WorldAbduct 的规则必须通过新环境中的靶向实验才能写入账本，54 条规则 0 错误。论文证据：直写假设变体 PSR 95→85，验证步骤单独守住 10pt 安全差距。推广场景：企业知识管理要求经验教训经过复现才能进 SOP、RAG 系统对抓取的事实做落地页验证、医疗指南更新要求证据分级、自动化策略回测须样本外验证后才上生产。

灵感三：证据组织先于模型判断——把「大海捞针」变成「按图索骥」。EBG 免训练、确定性、却在 8 个模型上全面提升定位，且输入越长增益越大。论文证据：Base 的 EHR 随输入从 0.667 跌到 0.422，EBG 的 High 组增益 +0.108。推广场景：法律文书审查按「主张-证据-依据」重组案卷、财务审计按业务行为聚合凭证、客服质检按「承诺-操作-结果」组织对话记录、科研复现按实验行为图组织实验记录。

灵感四：软约束硬化——重要约束必须从提示词升级为不可绕过的代码。E-Ledger 的代码审批层让「模型明知故犯」失去可能。论文证据：去掉代码门 TCR 不变但 PSR 下降——模型会为了完成任务越过分寸。推广场景：API 网关的权限校验不依赖客户端自觉、财务系统的额度控制写进交易内核、合规件的强制检查点在 CI 里不可跳过、自动驾驶的安全边界在控制层而非规划层强制。

灵感五：监督成本要按需分配——「越顺越放手、出事就凑近」的 AIMD 节奏。Cadence 的 token leverage +243.3% 证明监督不是越密越好。推广场景：安全审计对低风险账户降频抽查、新人管理在信任建立后扩大授权、模型推理的早停与密集验证交替、测试策略对稳定模块降频对热区模块加密。

灵感六：评测要用「对手思维」构造——好的基准让敷衍的方案无处藏身。AgentMonBench 的 SilentSwap 要求语义替换「通过原有测试但被语义测试抓住」，这个双向约束逼着监控方案真正理解行为而非只看测试结果；FeedbackTrace 用真实用户反馈做验证点、且明确排除在监控输入之外，防止「事后诸葛亮」式的虚高。Cadence 的动机实验先把 300 条轨迹按 Vanilla 成败分组再测间隔效应，也是同样的「先分离变量再测差异」思想。推广场景：安全演练引入「通过合规检查但违反真实意图」的红队剧本、模型评测加入「通过表面指标但语义错误」的陷阱题、内部审计设计「账面合规但实质违规」的测试案例。

灵感七：诚实的失败归因比漂亮的胜率更有信息量。Cadence 把 284 个失败案例归因到监控侧（误诊 26.8%、指导不准 22.9%、时机不当 8.1%）和 Agent 侧（未完整执行 39.4%）；EBG 把失败按「文件未选/证据未呈现/判断错误」三阶段归因，发现 74–81% 的失败发生在证据已可见之后——两者的归因都直接指出了下一个研究瓶颈在哪。推广场景：任何自动化系统的失败复盘都应该按「信息不可得 / 信息可得未注意 / 注意到但判断错」分层归因，不同层次的修法完全不同。

这三篇论文放在一起读，最大的启发或许是：Agent 时代的监督正在重演软件工程的历史——从人肉审查（人读轨迹）到工具辅助（规则/周期监控）再到系统化工程（自适应调度、验证准入、证据组织）。监督不再是一个动作，而是一套会被设计、会进化、会被评测的基础设施。