本篇合读中科院信工所+国科大与 MPI-SWS+MIT CSAIL+Purdue 的三篇 Agent 治理论文：Actions with Receipts 把每条声明变成密码学级「收据」，让审计可重放（跨对象攻击检出 0.9961 vs 基线 0.1797）；ContractRL 把工具调用修复建模为契约约束 MDP，补丁式修复语义成功 0.9362、token -75%；Guarded Commits 把人类审批升级为工作流事务的四条件提交谓词（验证器精度 1.000、271,035 轨迹重放哈希匹配 1.000）。三篇共同勾勒一条主线：数据库与供应链安全几十年的成熟思想——内容寻址、事务边界、fail-closed 校验、账本重放——正在系统性反哺 Agent 治理。
同一周出现的五篇论文拼出一幅完整的图景：Agent 攻击正在从「操纵模型」转向「滥用系统结构」。APEX 用跨技能伪造授权链把攻击成功率做到 84.3%（直接注入只有 3.5%）；Memetic Trojans 借 Agent 社交网络的内生传染因子把曝光放大 3.19 倍；The Innocent Courier 把 LLM 的合法网页抓取工具变成 99.9% 隐蔽的泄密信道；ZoneClaw 用「持久化≠授权」的内存信任分区把 372/480 的攻击压到 6/480；OverAct 则证明越权不需要攻击者——7 个模型全部主动越权，SELFAUDIT 能把隐私违规砍掉 43%。本文逐篇拆解五项工作的机制、实验与根源，并提炼它们共同指向的防御范式。
合读 2026 年 10 月 1 日同期出现的三篇编码 Agent 训练论文：AutoCompact（SMU+NTU+Harvard）把「何时压缩上下文、保留什么、压缩后怎么继续」训练进策略本身，用执行前在线纠正的压缩监督加 joint GRPO 在 SWE-bench Verified 上拿到 30.4→39.6（+9.2pp）；Cross-Benchmark Transfer（Surge AI）证明 1700 个专家任务上的单 epoch 纯 RL 能让 Kimi K2.7 Code 在全部六个外部基准上全线迁移（DeepSWE +12.4pp、TB2.1 +14.6pp、SWE-Marathon 5.0→25.0），且学到的不是基准惯例而是「完成工作的通用方式」；AuraForge（CMU+UCLA）用攻击效果断言替代修复实现细节断言来合成安全测试，FPR 从 16.7% 压到 2.8%（-83%），训练 Qwen3.5-4B 让 SecPass 从 0 提到 8.54。三篇分别回答了编码 Agent 训练的三个正交问题：上下文怎么管、学到的东西会不会泛化、安全监督从哪来——合起来构成一根完整的训练支柱。本文按七部分结构拆解三篇的问题定义、方法机制、实验证据与优势根源，并提炼可推广到其他领域的通用灵感。
同一团队（William & Mary + NEC + UIUC）在 2026 年 10 月 1 日同日放出的两篇多智能体工作流论文合读：FloWright 把工作流本身当作 harness，统一评估、训练与测试时三种用途，用零额外成本的结构感知信用定位（c=−|F|/|V|）驱动多角色共进化训练（+5.03% vs 单角色 +2.83%）；InFlowOp 则用单一免标注代价货币同时驱动工作流构建（COALESCE 双向聚合）与运行时局部矫正（RE-ASSIGN→RE-DECOMPOSE 代价阶梯），较单智能体最高 +11.97%。两篇分别回答了「工作流怎么训练」与「工作流运行时怎么修」，并各自贡献了 DATAWRIGHT（44 评估臂）与 BRAID 两个工作流级基准，共同回应了『多智能体增益在单智能体可解数据上无法体现』的领域困境。
「冻结骨干、进化运行时」正在成为 agent 自进化的主流路线：GUI-HARVEST 用重复视觉执行证据加行为预测双门，在 OSWorld 六个骨干上最高提升 12.33 个百分点；DynaHarness 用快慢脑加物理执行契约，把冻结 π0.5 机器人策略从 17.5% 拉到 74.25%；EvoGen-Harness 用 where+how 联合归因进化，让冻结文生图模型在 GenEval2 上从 0.4456 涨到 0.7089。三篇论文分别代表 GUI、物理机器人、图像生成三条垂直域的 harness 进化代表作，本文合读三者的共同骨架、域特化设计与实验证据链，并讨论 harness 工程的边界与反例。
当「自动优化 Agent Harness」成为显学之后，下一个增益藏在哪里？三篇同期论文给出了三条正交路线：Turbo Harness（Rutgers+Red Hat+MIT-IBM）回收外层搜索的「废气」蒸馏成 playbook，用 GRPO 训出 9B 实例编辑器，把全局 Harness 按每个测试实例打补丁——SWE-bench Verified 38.4→54.4，SWE-smith-MR 成本 $0.310→$0.046（约 6.7 倍下降）；ActiveSaddler（POSTECH+KAIST+微软）把「训练课程」建为失败模式臂的非平稳 bandit，让课程与 Harness 共进化——GAIA2 59.8±1.0（+4.4pp）、Terminal-Bench 2.0 80.0（+7.5pp），同等精度成本降为 1/4.6；VeriHarness（Cambridge+Google Cloud）则把 Harness 思想搬到验证侧，用「分歧裁决+共识挑战」两条互补检查通道让同模型验证自己的产出——修订模式 Flash +6.2 / Opus +6.4，空库自进化技能在 held-out 上 +11.0。本精读逐篇拆解机制与实验，再回答一个统摄性问题：为什么恰好是「实例、课程、验证」这三个维度——答案是它们分别对应推理分布、优化分布、监督信号三个此前被忽视的自由度，且三者可叠加。
同月两篇论文从正反两面划定 Agent Harness 工程的有效性边界。EPFL+Apple 的 Malena 用受控消融证明：骨干够强时，几乎全部收益来自编码 agent 运行时与骨干本身——给模型一个 shell 和文件系统（Chat→Oneshot）是测得的最大单一效应，搜索原语、多 agent 编排全部统计不显著（最大差距 Best-of-N vs UCB1 仅 2.71pp，CI 含 0），单会话极简 agent 在 MLE-bench 上以 62.5% medal 率碾压四个 SOTA Harness（最佳外部 47.1%）。NTU 的 Finding the Right Fit 用 66 配置矩阵证明另一半事实：换 Harness 模型排名完全反转（TB4 上 Claude−GPT 差距在 OpenHands +7.94、PI −30.16，摆幅 38.09pp），6204 条轨迹归因发现 Harness 的真实价值集中于「把失败转成模型可用的反馈」这一件事。合读结论：Harness 的价值不在「编排的丰富度」而在「反馈回路的完整性」，且随骨干增强而向运行时基底收缩。
合读 2026 年 10 月 1 日同期出现的三篇 Agent 记忆论文：Mem++ 用非破坏性存储与读时选择解决组织记忆的双时态版本问题，MemFit 用全 LLM-free 检索管线把记忆构建成本压掉 88%，Beyond Memory（PoS）则主张长程 agent 需要维护显式信念状态并诊断 Belief Trapping。三篇构成一条清晰递进链：第一层解决「证据不许被破坏」，第二层解决「证据要便宜且精准地找回」，第三层解决「证据不等于对当前世界的一致估计」——而贯穿三篇的共同叙事，是对「写时蒸馏有害」的独立共识。本文按七部分结构拆解三篇的问题定义、方法机制、实验证据与优势根源，并提炼可推广到其他领域的通用灵感。
合读 2026 年 9 月底同期出现的三篇智能体在线训练论文：PivotOPD 量化了「59% 的失败轨迹源于单个关键失误、事后引导 2 轮即可把重放成功率从 8% 拉到 58%」这一诊断事实，用预防（反向 KL）/恢复（前向 KL）双蒸馏的不对称设计教会模型从自己的错误状态中爬出来；ComputerSD 把 GUI 每步执行后的截图反馈变成可验证的实时指导，价值门按步级判断一致性调制 token 级信号，配合全异步流水线把吞吐提到 5 倍，EvoCUA-8B 在 OSWorld 达到 47.9% 超全部开源模型；EviRover 则把「感知」本身 agentic 化——模型自己决定放大、裁剪还是搜索，EviLens 基准上较基座平均 +30.2 点，grounding IoU 0.444 超 Gemini-3.5-Flash。三篇分别补上在线训练的三个空白维度：失误恢复能力、实时反馈蒸馏、感知过程 agentic 化。
合读 2026 年 9 月底同期出现的三篇 Agent 技能优化论文：SkillSpec 用共识门控与表示路由解决「改技能时如何不退步」，RASO 用跨 Harness 检索适配把数百万公开技能变成先验知识，Prompt2Skill 则只凭一句自然语言任务描述、零用户数据自动造数据并优化出目标模型专属技能。三篇分别对应可靠性、外部知识、零数据三条路线，共同背书「技能 = 文本程序记忆」范式。本文按七部分结构拆解三篇的问题定义、方法机制、实验证据与优势根源，并提炼可推广到其他领域的通用灵感。