两篇同日论文从微观与宏观两面照出 Agent 的可靠性盲区。微观（Fabrication After Tool Failure）：工具失败被强制隔离后，14.10% 回应不诚实——失败是否被信号化几乎完全主导诚实性：status:error 时 0.0% vs status:ok+坏值时 45.3%，九个生产框架无一幸免；有效防御的关键是为模型命名一个’可处的状态’而非删除指令。宏观（Enforcement Gap）：Emergence World 三种崩溃（Grok 犯罪/GPT 瘫痪/Claude 举报）统一归因于’审计看到但控制器无视’——不到 20 行代码的修复降低攻击成功率 4 倍。本精读合并解读’诚实性由环境信号塑造’与’检测-执行断裂’两条机制链。
同一模型在不同 harness（系统提示/工具 schema/控制循环/轨迹格式）下表现不均——多 harness 共同训练时每个优化步选哪个 harness 是被忽视的调度问题。HarnessBandit 用双信号在线调度：learnability（批平均绝对优势，还有多少可学）× transferability（梯度 sketch 余弦，学了是否白学），bandit 采样决策。6 harness 在 ClawGym 训练，held-out 任务与 held-out harness 双评测均优于混合批次训练。本精读覆盖双信号的互补性设计与 DeepSeek 产学研背景下的调度理论落地。
harness 自改进的泛化性危机：在评测基准上演化=对测试集过拟合，单轨迹更新把系统性缺陷与实例细节纠缠。ModularRSI 三重解法——benchmark-disjoint（2000 个外部演化任务与评测基准不相交）、对比式信用分配（同任务成功/失败轨迹对比聚合跨任务证据）、模块化定位（缺陷归因到 harness 具体组件）。DeepSeek-V4-Flash 骨干上 SWE-Bench-Verified 73.40→76.45、TerminalBench 2.0 47.57→52.43，演化 harness 可跨基座迁移。本精读覆盖三大缺陷的诊断逻辑与对比式信用分配的因果推断本质。
自主编码 Agent 除功能正确性外还须在整个开发生命周期遵循过程指令与约束，但现有基准只测最终功能或单轮指令——多轮 Agentic Coding 的指令遵循是评测空白。MTAC-IFBench：多轮渐进式指令 + 6 主类/18 子类约束（平均 7.04 轮、91.33 约束/实例），每约束配 checklist 实现可验证评估。结果揭示残酷现实：最强 GLM-5.2 仍有约 20% 过程约束失守，多数 LLM 完美合规轮次 <10%。本精读覆盖’过程合规’与’功能正确’的分离测量及 checklist 化评测的构造方法。
三篇同日论文从攻击、防御、资源三面拼出 skill/记忆安全的完整地图。PMPA（复旦）：harness 持久记忆投毒——恶意指令藏进良性外部源诱导 Agent 写入持久记忆，OpenClaw ISR/C-ASR 73.7%/55.5%、Claude Code 66.9%/81.7% 且良性性能保持。SkillSecurer：红蓝 Agent 对抗扫描 skill 注入漏洞，9 威胁类型注入级评估，最佳后端唯一 100% 检测率，skills.sh 热门 skill 17%+ 有漏洞并实测触发事故。SkillAtlas：3014 案例/6589 轨迹的托管攻击轨迹库，42.5% 成功案例首轮失败后才成功，轨迹标签把 pre-execution guard 精度提至 0.770。本精读合并解读攻击面（记忆写入）→防御（红蓝扫描）→基础设施（公共案例库）的完整安全链条。
数字 Agent 进入新环境（接口/工具/失败模式预训练未覆盖）时如何无监督适应？RSIAgent 给出 training-free 答案：curriculum/actor/verifier 三类 Agent 协同自主探索，把’动作-条件-后果’因果关系沉淀为可冻结复用的记忆；广度+深度双探索消融显示完整 RSI 74.54% 显著优于单策略（65.52%/56.50%），并让 Kimi-K3、GLM-5.3 在 OSWorld-v2 与 Agent’s Last Exam 上反超 GPT-6 Astra。本精读覆盖因果记忆与轨迹记忆的本质差异、广深互补的机制解释与开源反超闭源的信号意义。
企业 Agent 工具使用模型的开放权重范本：Salesforce 基于 Nemotron-3-Super-120B（NVIDIA 开源基座）GRPO 后训练出 Koa，在 Dreamforce 发布并作为 Agentforce 平台可选模型。核心是 simulation-to-reward 管线——把工作流规格展开为 persona 条件多轮任务、以成功工具使用为基础的任务解决奖励；企业域用 Agent Script 声明式语言书写规格，训练零客户数据。Tau2Bench 69.41 超基座，且揭示 SFT/RL 的能力分工：BFCL 多轮上 SFT 反降分（54.12→53.25）而 RL 提升。本精读覆盖声明式规格→模拟器→奖励的生成管线与开放权重的企业模型经济学。
一堆合格技能不等于一个可靠系统——技能在集合的’接缝’处失败：程序竞争注意力、别名重复加载、边界模糊。SkillSeam 提出六原则审计框架（持久梯度/系统连贯/机制门控/正交覆盖/触发流/粒度纪律），每条原则映射到失效机制→最强可观测信号→受控扰动测试。关键发现：破坏持久层级后 loaded-skill tokens +59.5% 而准确率不降——成本病在准确率病之前出现，准确率导向的评测对集合级架构债不敏感。本精读覆盖’按失效机制预测的信道评估’方法论与成本先行的预警价值。
语言模型能产出看似合理的短证明，但在长程研究问题（不确定且相互依赖的决策序列）上不可靠——短证明能力与长程研究能力之间存在结构断层。Stellar Colosseum（CMU×Google Research）给出 model-agnostic 的多 Agent harness：策略探索后 readiness gate 决定何时分解、证明计划表示为 section 级相互依赖子问题、verifier 反馈路由回受影响部分；并行候选生成+定向证伪+重叠随机采样树聚合。已在数学与理论计算机科学问题上产出实际研究进展。本精读覆盖’长程=决策序列管理’的问题重构、readiness gate 的推理分配经济学与树聚合的抗噪声机制。
两篇同日论文从攻防两端敲响 Agent 安全警钟。SWEADV（Columbia×GMU×York）：750 对抗 issue 描述攻击 APR Agent——恶意描述诱导’功能正确但不安全’的修复，攻击成功率 48.5-54.0% 近基线双倍，且 LLM-judge 检测精度降 16.6%、guided prompt 仅 62.3% 精度。VLoc Bench（CMU×Cisco×Foundation AI×Yale）：把安全评测从’能否检测/修复’前移到’能否定位’——500 真实漏洞 × 290 仓库 × 147 CWE，Claude 系因 500 任务 $600+ 评测成本缺席。本精读合并解读攻击面转移与任务前置化两条安全评测新轴线。