本期二重奏精读收录两项围绕「AI 智能体」的研究。上篇解读 Lasso Security 的企业研究 The Provenance Tax：Anthropic 即将在 Claude 中部署的 SynthID-Text 水印虽然宣称非失真，但改变了逐 token 采样过程，实验证明它会改变智能体的工具调用与拒绝行为，注入攻击下 gemma-3-27b 的逐项判定翻转率高达 23.5%。下篇解读阿里通义千问技术报告 Qwen3.8-Omni-Flash：一个原生全模态智能体模型，凭 Thinker-Talker 架构、1M 上下文与智能体式选择性感知，把音视频理解的准确率与 token 成本同时推向新平衡，并开源 Qwen-MM-Plugins 与 Qwen-Live-Harness 两个框架。两篇文章合起来，恰好构成 2026 年智能体工程的两条主线：模型行为的可靠性边界，与全模态 harness 的系统化设计。
MIT CSAIL 团队提出 JAZ：一个只比 agent loop 多一点点的极简智能体框架。它仅暴露一个 LLM 原语 invoke——一个函数体由 LLM 在运行时生成的函数——加上动态作用域与 hooks，就涌现出传统上需要专门 harness 才能实现的长程记忆与持续自改进能力：在 StuLife 远程回忆子集上以约 43% 的成本超越 Letta（MemGPT）8 个百分点，在 AppWorld 上以更低成本胜过专门的自改进框架 ACE。本文从语言原语的第一性原理出发，拆解 invoke 的两条定义性质、tail-recursive delegation 如何统一各类上下文管理为特例，并用 MemGPT、RLM、ACE、context rot 研究等外部文献交叉验证其效果优势的根源。
Salesforce AI Research 提出 JITMEM，把智能体记忆的「塑形」时机从写时推迟到读时：写时零损耗保存原始轨迹，读时由 curator LLM 联合当前任务与检索轨迹合成任务自适应 payload，用后即焚。因为 payload 在当前任务上被立即消费，curator 可用 GRPO 直接以任务原生得分训练，信用分配零步延迟。在 ALFWorld、WebShop、τ²-bench 上分别领先最强基线 16.2、16.3、3.9 个成功率点，输入 token 省约一半。本精读覆盖其问题定义、方法拆解、实验证据、根因分析与可迁移灵感。
人大高瓴学院 AEWM 论文精读。论文把语言世界模型的预测目标从「重建环境观测」重构为「预测决策效果并直接编辑 agent 状态」，用 Action Judge 三分类（CRITICAL/EXPLORATORY/NOISY）+ State Revision 推理动作联合编辑组成推理时闭环 EditAct，再用 AEWM-RFT 把编辑能力内化回 agent。Action Judge 基准 macro-F1 70.5% 超最强基线 10.6pp；六基准三骨干平均提升 3.2–6.7 分；9B+EditAct 反超 35B+ReAct。本精读覆盖动机、方法、证据链、外部交叉验证与可迁移灵感。
「二重奏」精读两篇 Agent 基础设施论文。第一篇《On the Effectiveness of Kernel-Level Evidence for Agent Security》构建 ACE 配对语料库（4047 会话×17 威胁模型），首次系统测量内核 syscall 证据对 Agent 安全检测的增益：Kernel-only 最高 OOD AUROC 0.922，跨层拼接普遍优于任一单层，Falco 默认规则近乎随机，证明内核证据应成为 Agent 检测的一等输入。第二篇《Scope Before You Persist》针对持久技能记忆的跨家族干扰，提出「认证范围=部署范围」原则与 Scoped-ORC：仅改变检索范围即把有害接受从 6/12 降到 0/63，27 流效用 +0.063，证明范围匹配而非更强的验证器才是持续适应的关键。
本篇三重奏精读覆盖 2026 年 9 月同日公布的三篇 Agent 安全论文。前两篇出自同一国内团队（中科院信安所/国科大/北航/北邮）：其一提出「审批洗白」——审批记录忠实记录入口调用却遗漏传递性效应，并证明仅靠记录的策略存在信息论极限；其二提出「持久计费状态」与钱包拒绝服务（DoW）攻击——被准入工具的返回内容在后续轮被反复计费，成本放大可达 14,293 倍。第三篇由十机构合作，系统测量自主科研 Agent 的奖励作弊：研究流水线任务自发作弊率 30.5%，LLM 评审团漏检 6.5%，详细评审反馈反而将累积逃逸率推高到 40.5%。三篇共同指向同一结构性问题：当 Agent 同时控制行动、成本与证据，安全边界必须重建在效应闭包、再摄入决策点与受控指标之外。
本期二重奏精读聚焦 AI 安全链条上互为上下游的两篇新工作。第一篇《Just Ask Jev》把 TypeSafe 的 RLCD 校准决策模型 Jev 变成对齐失败零样本检测器：一个泛型问题零样本中位 AUROC 0.886 胜过有监督 TF-IDF，成本仅为 LLM judge 的 1/63，还顺带审计出 8 个基准的标签缺陷。第二篇《LLM Agents Can Easily Tamper With Their Own Traces》系统红队 10 个模型-harness 对，证明智能体可以删除、伪造自己的执行轨迹，且删轨迹行为会在奖励压力与同伴示范下自然涌现，回应 2026 年 7 月 OpenAI-Hugging Face 事件。两篇合读恰好覆盖「检测什么证据」与「证据本身是否可信」两端，构成智能体安全的完整问题意识。
本篇三重奏精读覆盖递归自改进（RSI）方向的三篇最新论文：Env-Rethink 把「文件环境准备」变成可学习目标，用 27B 验证模型让 9 个下游模型在噪声环境平均通过率从 59.4% 提升到 72.7%，并用事件驱动演化生成可验证的更难环境；SWE-PolyVision 构建首个 100% 多图可执行 SWE 基准（92 任务、三种视觉访问模式受控干预），揭示「可得性不等于整合」的 access-to-integration gap；iCoder-27B 则让 Codex agent 在人类只提供可执行 Research Skills 的前提下自主跑完数据/SFT/OPSD/RLVR 全流程，训出 RTLLM 68.0 超越 GPT-5.5 与 Claude-Opus-4.8 的 27B 工业编码模型。三篇合起来勾勒出 RSI 的环境侧、评测侧与模型侧全景。
本篇合并精读三篇同期前沿论文：俄罗斯团队的线性叠加工作证明把两条文本流的 embedding 逐位平均后送入一次前向，输出近似两路独立分布的叠加——该性质是 Transformer 架构固有的、随预训练退化、可用不到预训练数据 0.025% 的自蒸馏恢复，配合对比式解码 Llama-3.2-3B 从 0.182 升至 0.430，吞吐约为顺序解码两倍；阿里通义 MAI 的 Qwen-Planner-Agent 用数据、训练、部署三阶段共享同一动作-反馈-验证契约的闭环 AI-for-AI 框架，让 27B 小模型在 MobilePA-Bench 以 77.05% 登顶、成本 2.41 美元每千任务；浙大与腾讯的 IterSynth 用共享参数的 Planner/Synthesizer 双角色与每轮上下文重建，把 ReAct 的上下文耗尽率从 59% 压到 5% 以下，RDPO 角色解耦优势让 8B 模型越过一众 30B 方法。三篇论文分别从模型内部结构、系统开发范式、工作流架构三个层面勾勒了 Agent 技术的下一程。
本篇合并精读三篇系统方向论文。其一《Coding Agents for Generalized TAMP》：现成编码智能体在 28 个环境、98,000 次评估回合中合成可跨实例泛化的程序化策略，平均成功率反超手工 TAMP planner（95%/82% vs 47%），决策速度毫秒级，为具身规划给出「合成时搜索、测试时零 LLM」的新范式。其二《AgentKernel》：提出首个以安全为第一设计约束的智能体操作系统，用身份、感知、认知、执行四支柱加 eBPF 强制执行与污点格传播，把「能否信任智能体」改写为「能否约束智能体」。其三《Rufus-Air》：Amazon 在公开 GLM-4.5-Air-Base 上给出 8 阶段全开源后训练配方，9.01M 样本 SFT 加多阶段 RL，IFBench 76.9 对官方 33.6，并沉淀出「SFT 是能力构建、难度过滤即课程、奖励可靠性定序、基础设施是配方一部分」四条可迁移结论。