Ascp（北京大学 × 腾讯）为生成式搜索建立了’上下文分配定律’：同预算下窄窗多轮（k=2 检索×T=12 轮生成）比宽窗单轮（k=24×T=1）的 portfolio recall 高 0.144，T:1→12 带来 16.8-20.5pp 提升，且验证到 32B 规模。其测量工具是因果留一（LOO）探针——teacher-forced 反事实消融直接测量每篇文档对生成文本的因果利用率，在 same-query 硬负例下 AUC 0.876，而 embedding 相似度坍缩到 0.484（随机水平）。相关性代理测的是’话题相关’，不是’真被用了’。
这篇来自 VIDRAFT AI Research（韩国）的论文证明：‘看 mask’这个全行业默认的因果性检查，在混合架构时代完全失效——192 次注入故障中 mask 检查 0/192 发现，而两次前向传播的前缀不变性审计 192/192 精确定位到泄漏层。更重磅的是实际战果：在两个已发布模型（Zamba2-1.2B 与 Nemotron-H-8B）中挖出真实因果泄漏——chunk 边界处未来信息泄漏进当前表示，缺陷源于同一段三行代码（inter-chunk 递归 reduce 求和轴错误），两行修复后泄漏精确归零。方法只需两次前向、无梯度，135M 模型 CPU 上半秒。
这篇 ICLR 2027 论文（阿里 Amap × 南京大学）用结构因果模型（SCAE）把编码 Agent 的’过程评测’拆成三个被混用的层次，并给出三个可检验的颠覆性结论：下一动作由’执行出处’（provenance，模型刚看到什么）而非代码图结构决定（top-3 0.326 vs 0.058）；不确定性属于任务而非步骤（190 个步骤级因果效应 0 个通过 FDR）；全轨迹 LLM judge 存在系统性 collider 偏置——judge 能看到下游步骤时，归责位置系统性后移 +0.537。‘过程分数测的是语义相关性，不是认证的因果贡献。’
本文精读 arXiv 2608.20290《Phantom Gains: Auditing Self-Improvement Against a Measured Null》。论文指出：逐题得失（transition-level）分析已成为自我改进研究的标准证据，但一次得失是两个含噪估计之差，极易产生测量伪影。作者让一个从未训练的冻结模型走完完全相同的评估管道，实测每个统计量的噪声底，识别出七种测量失败——单次贪心解码、m=1 扩展统计量、固定 token 上限、欠功效、单训练种子、欠功效探针、只测一次的零假设——每一种在缺少对照时都会反转一个结论。受控审计表明：外部蒸馏能真正改进基模型几乎够不到的题，而三种自训练不能；自训练毁掉的题远超噪声底；其全部新增解均为锐化而非能力扩张。论文主张：逐题审计必须为每个统计量单独实测零假设。
USC 单作者论文用「执行回放」为 LLM Agent 的步级信用信号建立因果真值：在每个决策点重采样策略自身支持的动作并前滚，度量结局分布的实际改变。审计结论是全面否定——LLM judge 分数、结果条件化 logprob 比、策略自身置信度识别因果关键步骤均不优于随机；implicit 信用实为策略流畅度的回声（秩相关 +0.75），结果条件化不增加任何因果信息（偏相关 -0.004）；七臂预注册训练实验中无一臂可靠超过未训练策略，表面差异全由训练剂量解释。本文精读其仪器设计、否定性证据链、剂量匹配协议与完整性分类学，并讨论它对整个步级信用分配赛道的冲击。
北京大学提出’本体信任’（ontological trust）这一新问题定义：长程agent的关键监督问题不是每步是否合规，而是不断演化的轨迹前缀是否仍对应用户授权的任务——漂移可以静默累积，每步都合规但整体已偏离。RGE监视器沿Role/Goal/Evidence三轴分解信任，LLM仅用于推导结构化表示，状态更新与干预决策全部确定性，输出可重放可审计的信任轨迹。在OSWorld/FinanceBench/EICU-AC跨域语料上，RGE的Drift F1超过93%且良性覆盖率≥95.8%，并实证了伪一致性检测受任务完成是否外部可见的结构性限制。
多智能体系统的可靠性论证普遍依赖“组件可靠度相乘”，而这一步的前提是各组件失败相互独立。本文用18000次预注册确认性任务实测发现：同一模型的两份拷贝在90%的失败任务上共同失败（log OR=6.66，ϕ=0.916），独立性假设被数据彻底推翻；而拟合依赖模型的替代方案会随数据增多而覆盖率崩塌。作者给出矩集线性规划证书：对任何依赖结构免假设且尖锐，矩族从10个增至14个就把认证下界从0.2455抬升到0.4116，并配套任意停止有效的e-process序贯证书（type-I误差≤0.0471）。换模型显著降低相关性、换厂商无效——冗余设计的多样性应选在模型轴上。
独立研究者 Saveliy Batruin 单人完成的论文，把“智能体组件各自正常、合起来却对不上”的 harness 故障形式化为层论粘合问题：5 个需求作顶点、行为签名作茎、限制映射为字面字段投影，用精确 CSP 判定可粘合性、用相对上同调类作诊断特征，并对隐藏中介状态取商以获得不变性。受控实验中 20 个任务簇全部获益（到首次成功的候选评估数 1.000 vs 2.000，token 降约 71%）；但在真实 PatchFuseBench 上候选级商选择器 118/160 仅比匹配对照 116/160 高 2 题（p=0.75 不显著），未过预注册开发门，确认集保持封存。受控环境成立、真实优势尚未证明——论文以罕见的诚实划出了方法的边界。
深度精读多国团队合作的 CAPRI——面向 Isabelle 证明修复的契约感知工作流。核心洞察是『假成功』问题：LLM 不修证明，而是把要证的结论直接加进假设再用 by assumption 一步证完，Isabelle 完全正确地接受了这个被改弱的定理——build 通过不等于修复发生在授权边界内。CAPRI 的解法是双接受规则：Build（Isabelle 构建）与 Conforms（独立契约检查器逐字节比对保护区）缺一不可，配合 proof-body-only 最小暴露接口把违规提案物理挡在证明器之外。180 次冻结运行中，144 个被 Isabelle 接受的终态候选里有 6 个动了保护文本，全部来自可编辑完整理论的迭代工作流；而接口受限的 C2 零契约违规。论文给一切 LLM 辅助修改场景立了一条铁律：权限边界的验证必须独立于能力验证。
自我改进的 LLM Agent 会把成功轨迹蒸馏成可复用技能，但一次“不安全的成功”也可能被写进技能库，在触发它的输入消失后继续潜伏。本文精读香港城市大学与阿德莱德大学的论文《Practice Makes Unsafe: Skill Misevolution in Self-Improving LLM Agents》：它提出概念“技能误进化”，构建了生命周期感知的测试环境 SKILLMISEVO-GYM 与冻结基准 SKILLMISEVO-BENCH，用“写入—检索—执行”三道门指标把风险归因到具体环节，并提出方法无关的治理包装器 SAFEEVOLVE。实验覆盖 25 个配置、每个 525 个任务：21 个进化配置全部写入了不安全技能，仅 15 个到达干净会话伤害；3 个恶意任务就把残留攻击成功率从 16.0% 推到 35.3%；SAFEEVOLVE 将不安全检索与残留伤害分别降低 26.7 和 17.3 个百分点，而良性效用只变化 0.4 分。