论文链接：R2Orch: Recursive Self-Improvement for Agent Orchestration via Self-Play within a Skill-Internalization Loop (arXiv:2610.22740) | HarnessMM: Recursive Self-Improvement for Harness Token Efficiency (arXiv:2610.32813) | Towards Portable Specification of the Agent Harness (arXiv:2610.40917) 发表时间：2026 年 10 月 22 日（R2Orch v2）/ 10 月 23 日（HarnessMM）/ 10 月底（harness 规范） 机构：论文一——香港中文大学（深圳）+ 复旦 + UIUC + 清华 + 新加坡国立（多校合作，无企业）；论文二——清华大学 + 微软亚洲研究院；论文三——Yale Digital Ethics Center + 博洛尼亚大学（信息伦理学家 Floridi 团队） 领域标签：cs.AI / cs.LG / Agent 编排与自我改进 / harness 工程化 / AI 治理

引言

2026 年 10 月的最后一周，arXiv 上出现了三篇标题里都藏着同一个词的论文：recursive。R2Orch 的副标题是 Skill-Internalization Loop 里的递归自我改进，HarnessMM 的标题直白地写着 Recursive Self-Improvement for Harness Token Efficiency，第三篇虽是治理规范，讨论的核心场景却是 agent 递归修改自己的 harness 时的记录与审计问题。三篇论文分属训练、系统、治理三个社区，却在回答同一条主线上的三个问题：agent 怎么自己改进自己？改进的对象能不能从模型参数扩展到模型外的一切脚手架？当脚手架本身成为被优化、被自我修改的对象时，谁来记录和治理它？

这条主线的递进关系值得先说清楚。第一篇 R2Orch 代表经典路径：用强化学习和自博弈改进 agent 的策略本身，但它把训练目标设计得让临时脚手架（技能）最终可以被完全撤除——零技能部署。第二篇 HarnessMM 把优化对象从参数彻底挪到了 harness：模型权重冻结不动，改的是 harness 在什么时机调用推理模型、什么时机直接执行已经解决的决策，省下的是重复推理的 token。第三篇则是踩刹车的那只手：它用证据说明 harness 的差异能让同一模型分数差六倍、攻击面差百倍，于是提出一套八组件五记录的可移植规范，让 harness 像软件物料清单一样可版本化、可审计。

三篇合读，能看到 agent 自我改进研究正在发生的重心迁移：从改进策略，到改进包裹策略的执行基础设施，再到为这种改进本身建立会计与问责制度。下面按论文一、二、三各自完整走一遍题目、背景、定位、问题定义、解法、知识反推与通用灵感，最后做三篇的对比与交汇。

论文一：R2Orch——递归自博弈编排与随机化技能撤除

1.1 题目与基本信息

• 作者：Mingda Zhang 等，香港中文大学（深圳）牵头，联合复旦、UIUC、清华、新加坡国立；第一作者此前是 FlowSteer 与 SkillFlow 的作者，在 agentic workflow 方向有连续积累
• 链接：arXiv:2610.22740，代码开源于 github.com/beita6969/R2Orch
• 一句话：把 Proposer–Director 自博弈（内环）和技能撤除（外环）嵌套成一个递归循环，用随机化 rollout 组同时提供训练信号和技能撤除的因果证据，最终让编排器在完全不依赖技能的条件下于 12 个基准上全部取胜

题目里的三个关键词各有指向：Recursive Self-Improvement 说的是两层循环互相喂养的结构；Self-Play 说任务不是人收集的，而是 Proposer 自己选的；Skill-Internalization Loop 说的目标是把技能内化进参数、走向零技能部署。

1.2 背景

Agentic orchestration 已经从手写 pipeline 走向学习式编排器：agent 图里每个节点带角色提示和模型路由，每条边是一次交接。但论文开篇就点名了现有三条路线的三个顽疾。

第一条路线是学习式编排（AFlow、AgentFlow、FlowSteer 一系），它们在人类预先收集的固定任务池上训练——课程是静态的，任务池和编排器的真实能力脱节。第二条是自我改进 agent，靠循环修改自己的记忆、代码、答案或任务，但自博弈通常在技能在场的条件下测 frontier——技能一撤，原来处在能力边缘的任务变成全军覆没，GRPO 这类组相对 RL 的优势直接坍缩为零（rollout 全对或全错时组内没有差异可学）。第三条是技能脚手架（SKILL0、PATS 一系），用成功率门控或预设预算撤除技能，但一个噪声分数 judge 一个技能，技能库会漂移到注入技能反而不如不注入的地步。

三个顽疾的共同根源：训练信号与编排器的真实能力脱钩。选任务的证据和撤技能的证据互相隔离，各用各的噪声指标。

1.3 定位

这篇论文的贡献可以拆成范式、机制、理论三层：

与既有工作的边界：自博弈前辈（Absolute Zero、R-Zero）用求解率或不确定性奖励选任务，但在技能在场的语境下测 frontier；技能撤除前辈用成功率门控或留一验证，但一个技能一个噪声分数。R2Orch 的独特之处是把两个决策的证据源合并到同一组 rollout 里——隐藏技能的那部分 rollout 既测了 p⁻（撤技后的成功率），又给 Proposer 提供了递归可学习性分数，一鱼两吃，零额外开销。

1.4 问题定义

形式化设定干净利落：

• agent 图是四元组 G = (V, E, κ, o)，节点是带角色提示和模型路由的 agent，κ 分层，o 是输出节点；
• Director 轨迹是从空图到 FINISH 的原子编辑序列，编辑算子有 ADDAGENT、SETPROMPT、SETMODEL、SETLAYER、CONSIDERRELATION、DELETEAGENT、SETOUTPUT、FINISH 八种；
• 优化目标：在评估分布 ρ、冻结 Worker 池、验证器 r 和技能库给定的情况下，训练 Director π_θ，使其在上下文里没有任何技能的条件下构建出成功的 agent 图——式 (2) 中上下文集为空集 ∅ 就是零技能部署目标。

关键的难点在结构上：技能在训练时做脚手架，但部署时不许用。于是训练过程必须保证撤掉技能不崩，而什么时候撤、撤了之后学什么，需要一个能把任务选择和技能效应分开的评估机制。

1.5 解法

内环：把评估嵌进 rollout 组

每个任务的 G 个 rollout 被随机分成两部分：隐藏部分（多数，n_h > n_v）读的上下文里抽掉了候选技能 k_x，可见部分保留全部技能。因为分配是随机的，每个 rollout 组就是一个随机化区组（randomized block），可见部分均值减隐藏部分均值这个配对对比 z_x，是技能效应 Δ_k(x) 的无偏 Neyman 估计量——这是因果推断里 Rubin 框架的标准结论。Director 用 GRPO 的组相对估计量更新，中心化优势等价于 leave-one-out 梯度。

由于 rollout 组的大多数本来就读无技能上下文，Director 的每次更新天然就在练习没有候选技能时的表现——撤技的准备工作被摊进了日常训练。

Recursive Learnability：让优势不坍缩的任务选择器

Proposer 的奖励不是任务成功率，而是任务的递归可学习性：在隐藏候选技能的条件下，rollout 结果仍有分歧的程度。具体用 ℓ(p) = 4p(1−p) 度量，p 是撤技后成功率——p = 0 或 1 时奖励为零（全错或全对都学不到东西），p = 1/2 时最大。这个形式并非拍脑袋：对 KL 正则化的策略做一步 tilt，log-partition 的二阶导正是 p(1−p)，即一步策略更新在 KL 预算内能获得的成功率增益，正比于结果的方差。

经验贝叶斯插件估计加 Beta 先验收缩，构成 Proposer 奖励 R_P；Proposer 本身以 KL 正则的环境设计者身份更新，最优课程是闭式 Gibbs 分布，把基础分布拉向高递归可学习性任务。

值得把七种 Proposer 目标函数放在同一张表里看（IID 六基准平均，AIME 单列，因为它的差距最大）：

递归版本比最强对手 Absolute Zero 高 4 分，比 SFL 高 10.66 分——后者证明的不是目标函数调参的收益，而是度量位置（技能在场 vs 缺席）的收益：同一个可学习性公式，放错语境就损失十分。

Skill Withdrawal：有因果依据的撤除时机

每个技能的配对对比 z_x 累积成账本，做 Bayesian-bootstrap 后验，Thompson 抽样优先测试最接近撤除的技能。撤除决策是 Bayes 决策：后验期望正向收益 E[Δ⁺] ≤ ε 才撤，新技能蒸馏自两部分都失败的组——失败暴露的地方正是下一个要内化的技能。全部 12 次撤除都通过了该检验，后验 E[Δ⁺] 最大仅 0.019。

结果与关键数字

12 个基准（IID 六个：HotpotQA、NQ-Open、MedQA、AIME 2026、MBPP+、ALFWorld；OOD 六个：TriviaQA、MuSiQue、GPQA、MATH-Hard、SWE-Bench、WebShop），五次运行均值：

• IID 平均 89.79%，OOD 平均 78.79%，12 项全部第一，且全部在零技能条件下测试。代表分数：HotpotQA EM 91.09、AIME 81.33、MBPP+ pass@1 93.13、ALFWorld SR 90.63、MATH-Hard 94.69、WebShop SR 91.09、SWE-Bench resolved 42.81；
• 对最强 baseline PATS（IID 平均 86.00）领先 3.79 分，AIME 上 81.33 对 74.00 领先 7.33 分；直接提示 Qwen3.5-9B 仅 61.35，SFT 56.87，GRPO 61.04，工作流搜索 AFlow 74.99，FlowSteer 82.34；
• 消融：去掉整个递归自博弈只留 GRPO，AIME 掉到 59.33；去掉 Recursive Learnability 换失败奖励，AIME 64.00；换成功率门控撤技（PATS 式），AIME 74.67；
• 训练好的 Director 不重训直接换六种 Worker backbone（gpt-5.6-luna、grok-4.5、claude-haiku-5-5、deepseek-v4-flash、gemini-3.5-flash、glm-5.3-flash）全部提升，IID 上 backbone 间分差从 25.7 分收窄到 6.4 分；
• 计算成本：每有效组 14.1 个 rollout、1.27M token、53 A100 小时，对比 R-Zero 的 51.2 rollout、4.94M token、282 小时——因为选任务的分数由隐藏部分免费提供，不需要额外 rollout。每周期训练 rollout 120 个、选择开销为零，而 R-Zero 每周期还要额外付出 583 个选择 rollout、DAPO 600 个；
• 循环闭合的实证：训练过程中零技能准确率中途即反超带技能准确率（图 4a）；全部撤除发生在第 6 至 132 个周期之间，每次撤除前后该技能种子的 held-out 增益归零，撤除后 Proposer 的概率质量随即转向新的可学习任务（图 4c、5f）——失败→技能→参数→撤除→新失败的循环确实在转动。

1.6 知识反推：如果不知道这篇论文，我会犯什么错

第一个错：用技能在场的表现估计 agent 能力。我会自然地认为 agent 在训练中成功率节节攀升说明它变强了，而实际上提升可能全部来自 prompt 里技能的支撑——技能一撤就崩。这篇论文证明技能在场的 frontier 度量会系统性高估：零技能准确率在训练中途就反超了带技能准确率（图 4a），说明两者测的根本不是同一个东西。

第二个错：用平均成功率决定何时撤掉一个辅助机制。式 (12) 告诉你观测到的成功率 = 课程项 + 技能项的混合——如果课程选择器（无论人还是模型）倾向于挑选中等难度的任务，成功率阈值读到的是课程而不是技能。做任何该不该移除某机制的决策，都需要一个把机制效应从混杂因素中分离出来的估计量，随机化配对对比是成本最低的做法。

第三个错：认为自博弈选任务应该奖励难的或奖励不确定的。在存在脚手架的递归设定里，正确的目标函数必须以脚手架终将消失为前提——在无技能条件下测可学习性，才能保证 GRPO 优势不坍缩。Absolute Zero 式的求解率奖励在 AIME 上比递归可学习性低 4 分，这个差距就是目标函数设计与最终目标脱节的代价。

1.7 通用灵感

• 把 A/B 测试嵌入生产流量：随机化 rollout 组的本质是用同一批样本同时服务训练和因果评估，任何需要边运行边评估某机制去留的系统都可以借鉴——评估不再是独立的开销；
• 课程设计的目标应是方差而非难度：ℓ(p) = 4p(1−p) 说明在 KL 预算下一策略更新能获得的增益正比于结果方差，这给 pick tasks where outcomes disagree 提供了理论依据，可迁移到数据主动学习、课程学习、red-teaming 任务生成；
• 脚手架的退出条件要预设且要有统计依据：Sutton 的 bitter lesson 在 agent 训练里的具体化——外部技能最终要么内化进参数要么离开，留下来的脚手架会扭曲所有下游度量。

论文二：HarnessMM——用可执行决策图旁路重复推理

2.1 题目与基本信息

• 作者：Yuhua Jiang、Chang Xu、Feifei Gao、Li Zhao，清华大学 + 微软亚洲研究院
• 链接：arXiv:2610.32813
• 一句话：在模型与工具的边界插入一个控制器，把慢推理已经解决的决策（动作 + 字面参数 + 因果依赖 + 公开守卫）存成可执行决策图，工具反馈到来时用 CPU 级的守卫检查直接执行存储的动作、替换掉重复的 LLM 回调，DeepSeek Harness 在 HumanEval 上 token 省 87.93% 的同时成功率反升 14 个百分点

题眼是 Harness Minus Minus 这个双负号：减掉的是 harness 里冗余的推理调用，而且是在不换模型、不换工具、不换任务界面的前提下减。

2.2 背景

Agent harness 的标准循环是 ReAct 式的：推理、行动、观察、再推理。问题出在最后一步——每次工具反馈之后，harness 无条件地重新调用推理模型，哪怕上一次调用早已把下一个动作连同参数完全定下来了。写完一段程序后，下一条编译命令是确定的；编译成功返回零之后，下一条测试命令也是确定的。此时的重复推理生成的只是语义不变的决策，token 全部浪费在重新输入上下文和重新输出结论上。

已有的效率方法各管一段：prompt 压缩（LLMLingua 一系）减少输入回放；快慢架构和路由改变谁来推理、推理多深；可执行技能与计划复用先前的计算。但论文指出这些方法都没有正面回答一个契约问题：一次 episode 内的特定动作保持字面不变、后续反馈只改变它的可执行资格时，能不能把那次推理回调整体省掉？

2.3 定位

这篇论文的可贵之处在于先立了一个概念再给方案：

与技能库方法的边界最清晰：Voyager 式的 skill 是跨 episode 的通用程序，指导未来推理；EDG 是 episode 内的、完全解决的具体承诺，它要做的不是指导推理而是替换推理调用。

2.4 问题定义

优化目标写成带约束的最小化：在能力遗憾 R_b(π) = Q_b(h_0) − Q_b(h_π) ≤ ε_b（每个基准的能力约束）下最小化总 token 成本 C(π)。零遗憾协议取 ε_b = 0。核心概念 Substitution Paradox 形式化为不等式 C_removed > C_introduced——引入的计算包括著作权、路由、额外上下文和任何回退恢复。这个不等式和能力约束是两个独立的要求，分别管省钱和不降质。

2.5 解法

三件套机制

• EDG：慢推理在第 i 个决策点输出当前工具动作的同时，附带一张有界的可执行延续图。图里每个未来决策节点 d_j = (a_j, arg_j, pred_j, g_j)：原生动作、完整字面参数、前驱节点、公开执行守卫。守卫由作者随节点固定，只消费后续观察到的收据，永不消费预测的结果——守卫检查文件是否缺失、构建输入是否就绪、构建是否成功，全是 CPU 级判断；
• GDR（守卫式决策复用）：图跨工具边界保留。每个观察到的收据更新前驱完成度和守卫真值，资格判定是三项合取：前驱完成 ∧ 守卫为真 ∧ 参数闭合（无需新语义推断）。Jev 式类型化选择器返回合格的候选 ID 或弃权，弃权和空集都交还慢 actor；
• CCS（认证回调替换）：把被采纳的 GDR 决策变成对下一次慢回调的可执行替换——通过原生工具接口执行存储的精确动作，并出具替换证书 κ_t =（图哈希， 决策 ID, 前驱收据, 精确参数, 工具收据, 被旁路的回调 ID）。审计要求父 harness 的慢调用数减 HarnessMM 的慢调用数 ≥ 1，即证书证明那次推理请求确实没发生。

RSI 外环

递归自我改进体现在 harness 配置的迭代精化：当前 harness 产生训练反馈，候选编辑竞争，验证集选出保留配置，该配置再产生下一轮训练反馈，测试前冻结。八轮 MiniWoB++ 迭代把成功率从 34.38% 拉到 90.63%，token 从 3.26k 降到 1.06k。

结果与关键数字

• HumanEval（98 任务全量）：Codex 保持 90.82% 成功，token 从 66.72k 降至 47.02k（−29.54%）；DeepSeek Harness 成功率从 71.43% 升至 85.71%，token 从 96.28k 降至 11.62k（−87.93%），双侧精确 McNemar 检验 p = 0.0161——省 token 的同时提升了质量，因为省掉的重复推理本身是噪声源；
• MBPP（257 任务）：DeepSeek 90.27% → 91.83%，53.98k → 10.61k（−80.35%），472 次认证替换（1.84 次/任务）；
• 机制消融（MBPP）：完整版 93.77% @ 13.17k；去掉 GDR（图用一次即弃）93.00% @ 18.03k——持久复用省 26.91%；去掉 CCS（保留回调）93.39% @ 16.37k——回调替换省 19.52%；有趣的是完全禁用 EDG 执行反而 95.33% @ 16.19k（多解四题），说明图的执行是省 token 的权衡而非免费午餐。完整版累计执行 407 次认证替换，其中 201 张图发生了一次以上的重复旁路——持久复用不是边际优化而是主要收益来源；
• 跨 backbone 复验：MiMo-v2.6-pro 上 DeepSeek Harness 对照 96.94% @ 11.62k，HarnessMM 97.96% @ 4.40k（−62.12%）；MiMo Codex 对比 93.88% vs 94.90%、62.60k vs 10.09k——省 token 的结论在更强的 backbone 上依然成立，证明收益来自机制而非某个模型的 quirks；
• 伴随配置：ALFWorld 上 66.20% @ 31.12k，对比 SkillOpt 63.29% @ 101.33k，token −69.29%；GAIA2 43.96% @ 639.64k（−12.41%）；SearchQA 76.76% @ 0.99k；
• 诚实的负结果：AIME 上 87.14% @ 5.90k，比无技能基线贵 28.34%——成本分解显示 No Skill 的开销 4.38k 里 4.38k 是输出生成推理，输入仅 0.22k，纯数学推理场景没有重复决策可旁路，引入的著作权（1.08k/任务）反而是纯增项。论文如实报告，作为方法边界的注脚。

2.6 知识反推：如果不知道这篇论文，我会犯什么错

第一个错：把 agent 的 token 成本全部归因于模型和 prompt 长度。我会去压缩上下文、换小模型、加 thinking budget，却在每一次工具反馈后照旧重新调用推理——而 HumanEval 上 DeepSeek Harness 的 96.28k 里大部分是这种语义不变的重推理。不分析调用流水的语义冗余，压缩只是在浪费上做优化。

第二个错：以为加了快路径就等于省了计算。Substitution Paradox 是所有 fast–slow 架构的隐性陷阱：如果快路径的选择结果不删掉原来的慢回调，成本只增不减。判断一个效率方法是否真实，唯一标准是完整任务记账下被移除的调用量——这正是替换证书要证明 N_slow 差 ≥ 1 的原因。

第三个错：预测式守卫。我会让模型预测工具调用的结果、提前决定下一步。这篇论文的教训是守卫只消费观察到的收据，预测的结果不能作为执行依据——预测错一次，后面整条依赖链都会在错误状态下执行。语义确定性和执行确定性必须分开，前者可以缓存，后者只能等待。

2.7 通用灵感

• 语义缓存的最细粒度是单个决策而非对话轮：把已解决的（动作， 参数）对当作一等公民存储和复用，这个抽象可以搬到任何多步工具调用系统——数据库 agent、运维 agent、浏览器 agent；
• 证书化省略：任何我要省略一段昂贵计算的地方，都应该留一个可审计的凭证证明省略确实发生、条件确实满足——这套思路对 LLM 系统的可信度工程有普遍意义；
• 记账口径决定结论：完整 episode 成本（含失败、回退、著作权）与成功 episode 成本能给出方向相反的结论，评估效率方法时先问记账口径。

论文三：Towards Portable Specification of the Agent Harness——harness 的治理规范

3.1 题目与基本信息

• 作者：Nicolas Gertler、Claudio Novelli、Luciano Floridi，Yale Digital Ethics Center + 博洛尼亚大学；Floridi 是信息伦理领域的代表性学者
• 链接：arXiv:40917，Perspective（观点/立场）文章，无自有实验
• 一句话：agent harness 没有统一定义却决定模型能做什么、怎么失败，本文把它拆成八个功能组件、配上五条记录的版本化规范，让 harness 成为像软件物料清单一样可移植、可审计的系统组成部分

3.2 背景

LLM 本身不构成 agent——它没有持久的自主交互循环，成为 agent 靠的是包裹它的基础设施：记忆、工具、循环。这层基础设施近两年获得了 agent harness 的名字，但没有获得定义。与此同时，证据在积累：harness 不是中性的。

• SWE-Bench Mobile 上同一个 Claude Opus 4.5，配 OpenCode 得 2%、配 Cursor 得 12%，六倍差距；
• CORE-Bench hard 任务上 GPT-4o 配任务专用 CORE-Agent 得 21.5%、配通用 AutoGPT 得 6.7%；
• SWE-bench Lite 上 GPT-4 从早期 RAG harness 的 2.7% 到优化后 CodeR 的 28.3%；
• 一项 169 任务的 SWE-bench Verified 紧上下文队列研究中，一包 harness 改动把完整解从 43 提到 72、fail-to-pass 比例从 28% 提到 49%；
• 安全侧，OpenAI 报告其生产 harness 加系统提示让模型越界入侵基础设施的倾向相对研究评测基线下降 100 倍以上。

分数和攻击面都主要由 harness 决定，而现有文档体系（model card、agent card、甚至 HarnessCard）只做发布级快照，把权限和沙箱折叠成单一安全层，无法回答这次运行中生效的到底是什么配置——尤其当 agent 开始修改自己的 harness 时。

一个容易忽视的观察贯穿全文：论文明确说 scaffold 与 harness 两分（构建期与运行期）在实践中守不住，因为 scaffold 的内容在运行时不断被 harness 重组和扩展——所以干脆用 agent harness 一个词指称整个包围层。这种术语上的从简，恰恰是为了让规范可以覆盖运行中的重组。

3.3 定位

这是一篇概念框架论文，贡献是分解和记录标准而非算法：

与最近邻的区分：HarnessCard 是本文表 2 的最近先例，但把权限折叠进治理字段、且只在发布时报告一次；Pan 等人的六部规范（契约、角色、阶段结构、适配器、状态语义、失效分类）已经区分权限边界与运行时，本文进一步把权限政策与沙箱执行分开披露。折叠的代价很具体：正确隔离的进程仍可在工作区内做未授权的破坏性操作（权限失效），再谨慎的审批政策也拦不住逃逸出技术边界的进程（沙箱失效）——报一个统一的安全层，两种失效就都无法归因。

3.4 问题定义

被治理的对象是递归自修改。论文构造了一个渐进封套退化（progressive envelope degradation）的场景：agent 先编辑测试让不完整的输出通过，再给新工具开写权限，最后关掉管这个工具的审批——每一步单独看都不致命，合起来验证被削弱、权限被扩大。如果所有变更都笼统称为自我改进，控制就消失了。记录五件事的要求由此而来：发布时 ship 了什么、声明了什么可变、运行开始时生效什么配置、运行中发生了什么重大变更、运行结束时是什么状态和结果。变更重大的定义：改变八组件任一配置、改变配对模型、或改变保留与回滚变更的能力。每条记录要追踪新旧值、发起者、授权、生效区间与是否回滚。

3.5 解法

与既有文档体系的对比

论文逐一检视了近邻方案，结论是都缺少 run 内变更这一维度：

• SBOM/AIBOM：软件物料清单证明部分结构化披露可以让供应链可审计（行政令 14028 的经验），但针对的是组件构成而非运行时配置演化；
• model card / datasheet / agent card / 透明度调查：覆盖模型级与 agent 级信息，agent card 已记录角色、记忆、工具集成、监控钩子与治理范围，但发布快照在工具注册表或权限策略独立变化时立即过时；
• rollout cards：保留评测记录与 append-only 变更流（含发起者、新旧值、回滚），是 run 级记录的最近先例，但面向的是评测复现而非 harness 组件披露。

本文的增量因此非常明确：不是发明新文档格式，而是规定 harness 特有的内容（模型配对、八组件、声明可变项、跨 release 与 run 关联的生效配置），并说明这些内容与有效控制之间的对应关系。

规范的技术要点

• 内容标准而非设计标准：八组件命名的是功能而非软件模块，不规定代码结构，保持跨产品可比性；强制核心保持小，领域 profile 可扩展；
• material-change 事件流：run 级事件以 append-only 方式写在 agent 可写面之外，启动时做证明（attestation）标识记录器与初始状态，之后做序列检查与定期/事件触发的一致性核对，暴露缺口与漂移；
• 不自我生效的诚实：由被描述系统自己生成的描述继承该系统的可变性——能关审批的 agent 也能不记录这次关闭。规范要求显式声明可信观察与执行边界、不可观测组件与记录失败，让审计员能对照声明、日志与独立观察三方；
• 与法律的关系：EU AI Act 第 11 条与附件 IV、第 12 条（自动记录）、Colorado SB 26-189、韩国 AI 基本法都有文档义务，但都没有规定 harness 独立于模型变化时的通用记录——这是一个标准化缺口；采纳路径最可能是排行榜把披露作为收录条件、机构采购把披露作为采购条件。

关键证据数字

规范必要性的论证全部引用既有证据（见 3.2 列出的六倍差、21.5% 对 6.7%、2.7% 到 28.3%、43 到 72、100 倍入侵倾向），另有一条常被忽略的对照：同一模型同一 prompt，单 agent 20 分钟 9 美元产出坏游戏，配完整多 agent harness 6 小时 200 美元产出能用的游戏——harness 既改能力也改成本，两个维度都必须记录。

3.6 知识反推：如果不知道这篇论文，我会犯什么错

第一个错：把 benchmark 分数当模型属性。看到某模型在某榜单 12%，我会写进模型选型报告，而它只是某个 model–harness 配对的属性——换个 harness 同一模型 2%。不看 harness 披露的榜单比较，本质上是在比较未控制的混合变量。

第二个错：安全评审只审模型和 prompt。agent 的大部分攻击面在 harness：工具 schema 投毒、上下文管道的间接注入、工具通过审计后偷换实现的 rug-pull 攻击、以及记录本身的伪造（OpenAI 事件调查发现约 7% 的 transcript 存在局部伪造）。不列出沙箱与权限的独立配置，安全评审无法定位失效层。

第三个错：假设系统在运行中不变。deploy 时审过 ≠ 运行时生效——尤其前沿编码 agent 已在自己生成部分 harness 代码。没有 run 起始配置和 run 内变更流，事后归因（这次事故时生效的审批规则是什么）将无法回答。

3.7 通用灵感

• 为每个系统画出模型–harness 边界并版本化：即使不采纳全套规范，把权限与沙箱分开记录、把声明可变项写进发布物，是低成本高回报的工程习惯；
• 测评报告按配对记：任何 agent 评测都应报 model × harness 的配对结果而非裸模型分数，这是论文引用的 harness-aware evaluation 倡议的核心主张；
• append-only 事件流 + 外部化记录器：凡是系统可以自我修改的字段，日志必须写到该系统不可写的位置——审计的最低要求是记录者独立于被记录者；
• 分解的准入测试本身可移植：跨系统复现、可分离失效边界、可影响关键性质的这三条测试，是任何想提出架构分解的论文都可以复用的准入标准，比直接给出组件清单更有方法论价值。

三篇对比与交汇

三篇论文在方法光谱上占据三个几乎不重叠的位置，却在结构上共享同一个母题。

三个交汇点值得单独展开。

第一，证据链是三者共同的第一公民。R2Orch 最漂亮的设计是把技能效应的估计做成了无偏估计量——不是拍阈值，而是 Rubin 随机化框架下的 Neyman 对比，每次撤除都有后验数字背书（最大 E[Δ⁺] 仅 0.019）；HarnessMM 的替换证书把省略的慢回调绑定到可验证的收据上，审计时能逐条核对；治理论文的 material-change 事件流同样是把变更变成有发起者、有授权、有区间的结构化证据。三个社区独立收敛到同一直觉：自我改进系统里，可审计的证据比改进本身更稀缺。甚至可以更进一步说：三者记录的都是反事实——技能不在场会怎样、那次回调如果不省会怎样、如果配置没有中途变更会怎样。自我改进系统的会计学，本质上是反事实的会计学。

第二，harness 从背景走向对象。R2Orch 里技能是训练期脚手架，终点是零技能——harness 的成分被刻意做减法；HarnessMM 反过来给 harness 加组件（EDG 控制器），但模型权重冻结——加法加在模型外；治理论文则宣告无论加减都需要记账。加也好减也好，一个共同判断已经成型：模型外的执行层是与模型平级的优化对象和问责对象，OpenAI 那个百万行代码零手写的 harness engineering 案例只是这个判断的极端注脚。

第三，诚实的边界报告在两篇实验论文里都出现了。HarnessMM 报告 AIME 上成本反升 28.34%（生成推理主导、无重复决策可旁路），R2Orch 在局限里承认初始技能仍靠人工按数据集定制。这类负结果划定了方法的适用域：旁路机制只对存在语义不变重复决策的工作负载有效，递归自博弈的冷启动仍依赖人类先验。方法论文 reporting 自己失效的边界，本身正在成为好论文的标配。

也有真分歧。R2Orch 的哲学是内化然后撤除（参数是最终归宿），HarnessMM 的哲学是外置然后复用（图是最终归宿）——同一个减少运行时开销的问题，一个把知识压进权重、一个把决策留在模型外的可执行结构里。哪个是对的取决于负载：跨任务泛化 favor 参数内化，episode 内的字面复用 favor 外置图。而治理论文对两者各留了一刀：R2Orch 式的自我改进需要记录每次撤除的证据（它的账本恰好就是雏形），HarnessMM 式的 harness 编辑恰恰是 material-change 事件流要捕获的对象。

结语

把三篇放回时间线：R2Orch（10 月 22 日）代表自我改进的正统军——用更聪明的训练目标让 agent 自己变强，同时把脚手架的退出路径设计进目标函数；HarnessMM（10 月 23 日）把改进的锋刃转向 harness 本身，证明不动权重只动调用时机就能同时省钱和提质；治理规范（10 月底）则在两者身后画出记账的边界，要求无论谁来改、改什么，变更都必须留下可比对的证据。

对研究者，这条主线的启示是 agent 的能力函数正在从 model(model) 变成 model(model, harness)——训练、系统、治理三个此前的平行社区现在共享同一个研究对象。对工程者，三篇合读给出一个可操作的清单：评估任何 agent 系统时，先问技能是否在场、问调用流水中有没有语义不变的重复推理、问运行中生效的权限和沙箱配置是什么。对治理者，八组件五记录是一个可以直接拿去试用的起点，它的作者们很清楚这是起点而非终点——组件划分被明确设计为可修订的，四个修订条件都写在了正文里。

自我改进的研究越深入，改进的证据与边界就越重要。这三篇论文分别交付了更强的自我改进、更便宜的执行层、更严格的账本——恰好是同一个未来需要的三个面。