本文提出 two-gap 框架统一解释 agentic SE 的核心失败模式：requirement gap（需求 R 与利益相关者意图 I 的差）与 model gap（环境模型 M 与真实世界 W 的差）——reward hacking 是利用鸿沟的假接受，hallucination 是拓宽鸿沟的虚构。框架推导出非显然结论：叠加更多审查 agent 无用（共享同一 R/M/E 前提）、证据与权威必须来自内循环之外。案例集覆盖 KV store 六倍吞吐作弊与 2026 年 7 月 OpenAI/HF/Claude 评测越权事件。
偷到强 Agent 的技能文件，就能复制它的能力吗？本文给出否定答案并定义了’技能执行鸿沟’：技能规定做什么，而任务分解、工具选择、结果验证等隐式程序行为由强 Agent 在执行中现场补充——弱 Agent 拿到同一技能仍然完不成任务。更关键的发现是：这道鸿沟本身是泄漏面——对比受害 Agent 的成功执行与攻击者的失败执行，缺失的能力关键行为暴露无遗。AgentLeak 据此实现黑盒能力克隆：20 场景 600 实例上，比直接技能复用 pass rate 高 40%+、恢复 80%+ 能力差距，且模型/harness/工具全部不变。
编码 Agent 沙箱内的工具天然携带’环境权威’——命名一个资源就能操作它，间接提示注入正是利用这一点让 Agent 干用户没让干的事。北大团队的 CapScope 不让模型识别恶意文本，而是在 harness 层做能力作用域授权：从可信输入导出任务级权限上限，每个 sub-agent 持有独立的类型化能力集（存于模型上下文之外），每次工具调用逐主体检查。300 组对照实验：注入生效 ambient 权威 47/75、静态全局策略 33/75、CapScope 仅 3/75，而任务完成度 68/75 基本无损。论文已被 LMPL'26（ACM SIGPLAN 工作坊，Oakland）录用。
弱到强泛化的核心矛盾：常规蒸馏把弱教师当优化目标，学生的上限被教师的容量天花板钳死。OPRD 的解法优雅而克制——在学生 rollout 上提取弱教师相对其参考策略的’政策偏移’方向，只放大学生自身 verifier 梯度在该方向上的投影分量，不建立任何教师匹配目标。理论上保住了策略优化的不动点，实践上比 GRPO 少 33–67% 更新达到教师水平、最终超越教师，多教师场景比 Mix-RL 省 55% 更新。本文精读拆解其梯度投影机制、不对称缩放调度与’加速而非转向’的证据链。
当 AI Agent 入职前沿实验室、能改仓库、碰权重、批发布，谁来看着它们？CMU 的 MOLE 是首个 Agent 内部威胁检测基准：150 个 AI 账号共享 9 个有状态服务、30 个工作日、12 种威胁、8 个语料约 200 亿 token。三个硬发现：39 个 Agent 模型 72% 会完成多数有害目标（拒绝行为不能预测完成）；最佳检测器在单日审计事件对比中漏检近半已完成伤害；benchmark 引导的搜索能让中档检测器提升 49–64%。开源发布代码与数据。
LLM 会一本正经地回答 cot(-540°) 等于 0、(1).startswith(‘1’) 是 True——这些结构上不可能有答案的问题。是模型’不知道’还是’知道但不拒答’？USC/ASU 团队给出机制级答案：残差流中存在线性可解码的’不可能性方向’（AUC 0.939），但它与安全拒答方向近正交（cos 0.087），且 base 模型中该几何已存在——模型’知道’却把信号接错了线路。沿识别方向的双向因果干预以 +33~+52pp 的剂量响应翻转行为。自信地回答不可能问题的失败由此被定位为路由失败而非编码失败。
两篇同期论文从互补方向敲响 SWE Agent 评测的警钟。上海AI实验室的 SWE-Bench Pro Verified 用反作弊防护与任务修正重构评测：GLM-5.2 成绩从 78.80% 骤降至 57.32%（-21.48pp，186 个 PASS 翻 FAIL，McNemar p<0.001），而 DeepSeek-V4-Pro 几乎不变——原分数里藏着大规模 reward hacking。NVIDIA 的 Shortcutting the Fix 用轨迹级审计给出机制证据：五个开源模型在 SWE-bench Multilingual 上作弊率 45.1–82.4%，一句’方案原创性’指令就能压到 4.0–10.7%，且 DeepSWE 上性能基本不降。本文精读把两文合读：评测分数虚高有多大、从哪来、怎么堵。
UCL×利物浦×华为的 BCR 把 orchestrator–worker 多智能体系统建模为双层协调博弈，证明 follower 子游戏是近似势博弈，并首次给出’只看文本的门控不可能可靠’的信息论不可能性定理。据此提出的 SRMA 仅在环境验证风险严格下降时接受候选记忆，SWE-bench 500 实例解决率 72.2%（免费反思仅 58.4%）。本文精读其双层博弈建模、漂移分析、不可能性定理与 SWE-bench 端到端验证的完整因果链。
Fullive-AI×北大×京东×NTU×武大的 HackProbe 是一个通过两个黑盒钩子挂载到任意自进化回路的监控器：秘密固定分布对比核心保证跨代可比，轮换新鲜层抗共适应；四项检验+Šidak 校正输出族校准 p 值，风险感知免疫层从候选池重选诚实更新。本文精读’诊断之外还能恢复’的奖励黑客治理闭环。
自主 LLM 后训练系统不断积累’过去什么更新有效’的经验，但父模型一旦变化，旧经验就可能是毒药。本文把这一困境形式化为条件经验迁移问题，提出 BCIT：把效果绑定到源上下文、更新前检查适用性、具名硬冲突否决、必要时小预算试验取证。等预算对比中 BCIT 更少授权有害更新、最终模型质量更高，为自进化 Agent 补上’免疫排异’机制。