今天选择两篇 2026 年 10 月 22 日提交的原创论文，分别研究 Agent 的操作权限如何在模型之外得到强制执行，以及 数千工具的发现与选择能否由专门训练的小模型承担。
1. Certified Execution Harness for Agentic AI: Safe and Least-Intrusive Petri-Net Supervisory Control Between Reasoning and Action
- 作者/来源： Chao Gu、Quanyan Zhu / Queen’s University Belfast、New York University
- 发布日期： 2026-10-22（arXiv v1）
- arXiv 原文： https://arxiv.org/abs/2610.31376
- AlphaXiv： https://www.alphaxiv.org/abs/2610.31376
推荐理由： 这篇不是要求模型“记得遵守规则”，而是用 Petri Net 将工具调用、一次性审批、能力令牌与预算消耗表示为可检查的状态迁移。它还进一步研究：拦截越少是否就一定让 Agent 工作得越顺畅？对 AI-native workflow 的授权边界与长期运行成本都提出了可形式化的问题。
3 条核心要点：
- 将授权变为可消耗的执行状态。 Agent 只能提出工具调用；可信的 Harness 负责解析调用、校验参数、检查 Petri Net 中是否有足够的 capability / approval / budget 标记，再由 Supervisor 决定是否允许状态迁移。同一份审批不能被重复花费；Prompt Injection 即使诱导模型提出越权动作，也不能绕过状态前置条件。
- “最宽松的安全策略”不一定是“最少打断 Agent 的策略”。 被拒绝的动作可能引发新的推理调用与重试，因此传统 maximally permissive supervisor 在反复重规划的闭环中可能产生更高成本。论文在给定提议行为模型的条件下推导最少干预的安全 Supervisor，并讨论如何给并发步骤排序。
- 用发布流程说明安全边界必须保留到最后。 在自主发布 Agent 的形式化案例中，部署启动之后仍须保留一个可阻止最终发布的控制节点，否则新的 release freeze 可能来不及生效。论文证明的是模型所表达的操作状态安全性，且依赖正确建模、完整拦截等前提；它不是真实 LLM 攻击场景下的防护效果实验，也不能阻止合法工具调用参数内携带恶意数据。
核心启示：
Untrusted Agent Proposal → Stateful Capability Check → Supervisor → Tool Execution。权限、审批次数和预算应由执行层维护，而不是只作为 Context 中的自然语言约束。
2. Training Small Language Models for Transferable Tool Selection
- 作者/来源： Zhaoyi Zhou、Akshayaa Magesh、Jeongyeol Kwon、Artem Kuriksha、Daniel Jiang、Andrea Zanette、Ayush Jain / Meta、Carnegie Mellon University
- 发布日期： 2026-10-22（arXiv v1）
- arXiv 原文： https://arxiv.org/abs/2610.31483
- AlphaXiv（附 Overview）： https://www.alphaxiv.org/abs/2610.31483
推荐理由： 面对数千乃至上万个工具，把完整 Tool Schema 塞进 Context 不再现实。论文没有继续依靠一个巨大通用模型在每次任务中进行反复搜索，而是将工具选择训练成专用、可迁移的小模型能力，并用严格的工具集合精确匹配率评测效果。
3 条核心要点：
- 把工具发现拆成 Plan–Retrieve–Select。 小模型先把请求分解为独立子步骤，每步使用 BM25 等 Retriever 检索候选工具，再从有限候选中选择真正需要的一个。默认每步最多传入 15 个候选，避免把完整工具目录放入 Context。这一工作流假设各子步骤彼此独立、各需一个工具。
- 通过 SFT + RL 训练选择策略。 训练使用 ToolBench G3 的 21,361 条请求与 1,419 个 API；强化学习分别奖励规划阶段的工具覆盖与候选排序，以及选择阶段的精确命中。在包含 2,124 条请求的独立测试集上，Qwen3-8B 的工具集合 exact-match 达 41.5%，优于作者测试的最佳提示式 Llama-4-Maverick 基线 30.6%；这里测量的是工具选择，不是执行任务的成功率。
- 迁移可行但并非全面胜出。 训练后的模型不重新训练便能迁移到新工具库，也可以从 BM25 切换为 COLT Retriever；但在跨域多工具的 TaskBench 上，8B 模型为 72.8%，低于提示式 Maverick 的 80.6%。作者未公开训练后 Checkpoint、整理后的训练数据与实现，且未验证实际工具执行安全性和端到端交付成本。
核心启示：
Task Intent → Plan → Retrieve Candidates → Select Tool Set → Execute & Verify。Tool Selection 需要独立的 Exact-set Eval，但最终还必须检查参数正确性、实际执行结果与成本。
今日思考
这两篇论文分别处理 Agent 的能力边界与权限边界。第二篇说明“从海量工具中选对动作”可以被拆分出来单独训练与评测；第一篇则提醒，“选到了动作”并不意味着“此刻有权执行”。
对于 AI-native Software Factory，更稳妥的分层是：模型负责提出计划与候选动作，Retriever 负责缩小能力空间，可信 Harness 负责授权和状态转换，独立验证负责确认最终结果。 两篇目前均为预印本，数据或保证的适用范围应遵循各自实验与形式化假设。