每日 AI 论文简报｜可执行 Agent 红队、证据化多模态推理与可审计配置

重点关注

以下均为 arXiv 预印本，尚未经同行评审；所有数字均为论文报告，不代表独立验证结论。

REDAgentBench：以可执行证据衡量 Agent 红队风险

Zixing Chen 等｜arXiv 2608.10669｜cs.AI｜PDF

• 核心问题、方法与基线。 论文质疑单一攻击成功率（ASR）会把“暴露、执行、观察、裁决”混为一谈。REDAgentBench 由显式安全约束生成攻击，在隔离服务沙盒内运行，并以服务回执和最终状态确认伤害；1,661 个案例覆盖五类服务面，比较 6 个模型、Codex/Hermes/OpenClaw 三个 harness。作者还将纯轨迹裁判、状态裁判与混合裁判在固定 rollout 上配对比较，并以 360 条 GPT-5.2 轨迹进行双盲人工审计。
• 作者报告的结果。 混合裁判下宏观 ASR 为 65.69%，模型—harness 单元介于 43.62% 和 81.74%；状态裁判对每个模型都比轨迹裁判高 7.73–11.72 个百分点。人工审计的精确率/召回率为 97.84%/91.27%。在 2,846 条有可定位动作锚点的已确认伤害中，17.92% 发生在 Agent 已陈述相关风险之后；对已知有害重放，特定策略提醒把 510 例队列的 ASR 从 88.25% 降至 14.06%。
• 创新、局限与阅读。 贡献不只是一个分数，而是把“harness、证据视图、评测提示、裁判骨干”固定为指标的一部分。提醒实验是对既有有害案例的重放，不估计全基准 ASR，且不能替代权限控制；闭源模型、模拟服务和 LLM 裁判也限制外推。适合 Agent 平台/安全工程团队；优先读第 4 节、表 2–4、图 5–6 和第 5 节讨论。

AD2-Bench 与 EGVOR：从视觉证据而非隐式猜测做多模态推理

Zhaoyang Wei 等｜arXiv 2608.10954｜cs.CV、cs.AI｜PDF

• 核心问题、方法与基线。 面对遮挡、模糊等复杂城市场景，作者用 AD2-Bench 的分层视觉诊断和“证据链”拆开定位与语义错误；EGVOR 则显式生成空间—语义三元组 Evidence Atoms，以课程式 SFT 和 RL 抑制推理方差。评测 18 个 MLLM，包括 7B 到 78B 开源模型及 Gemini-2.5-Flash、GPT-4.1-mini、Claude-3.5-Sonnet；主要骨干是 Qwen2.5-VL-7B，对照答案直出和常规 CoT。
• 作者报告的结果。 论文称强基线在基础感知也会降至 50.95%，EGVOR 在 AD2-Bench、TreeBench 等多项评测优于基线，并将 AD2-Bench 分数提高至 65.5%。训练使用 40K 条 SFT 推理链、40K 条 RL 样本和 8 张 H20；这些改善说明受控基准上的证据对齐更强，不能直接等同于真实道路系统可靠性。
• 创新、局限与阅读。 将“答案正确”分解为可检查的感知证据，能暴露视觉幻觉；但部分监督来自教师/合成误差，开放式评测使用 LLM-as-a-judge，数据污染、裁判偏差、恶劣天气和长尾城市分布仍须独立复核，且训练算力不低。适合视觉语言模型与自动驾驶感知研究者；读第 3–5 节、表 2、表 6–8 和消融。

OpenPM：LLM 配置 Agent 的点时可审计评测【AI/金融】

Xinying Cai 等｜arXiv 2608.09988｜cs.CE、cs.CL｜PDF

• 核心问题、方法与基线。 OpenPM 强制每条输入在决策时已可获得，让 Agent 在五分钟数据、S&P 500、100 万美元 long-only 账簿上运行；自然语言风控转为类型化约束，并输出污染证书、成本敏感性和约束遵从报告。作者固定分析师证据后重放，隔离“构造权重”的 LLM 影响；同池等权、逆波动复合排序、随机等权、SPY 和空仓构成基线。
• 作者报告的结果。 单一决策日的 90 个构造器单元和 216 个无 LLM 基线中，最佳 GPT-5 相对同池等权仍为 -1.0 个百分点；逆波动复合排序仅 0.6–0.9% 净收益、18 次均未赢同池等权。论文结论是分析师质量比构造器选择更重要、换手是主要成本驱动；收益是无市场冲击的冻结短窗口上界，并非已验证 alpha。
• 创新、局限与阅读。 它把前视泄漏、执行成本与约束违约转成可审计产物，且用“同一候选池等权”而非弱基准。窗口很短、单次冻结捕捉、无冲击/容量/实盘及统计显著性检验，不能作为交易证据或投资建议。适合量化研究与金融 Agent 团队；优先读第 3、5–7 节、表 1–3 和局限。

AI 论文

以下 18 篇为本次去重后的 AI 候选，均提供 arXiv 摘要页和 PDF；除上节 3 篇外均仅依据摘要，不把作者自述当作独立验证。

LLM 推理的“元素周期表”综述

Avinash Anand 等｜arXiv 2606.11470｜cs.CL｜PDF

梳理 CoT、多跳、数学、检索、工具与 RL 等九类推理范式，汇集 300 余篇工作并按机制、评测与失败模式组织。作者主张所谓推理是受提示、检索、验证器和基准共同塑造的一组行为；这有助于避免把基准提升直接当作通用推理能力。综述本身不提供新的独立实验，覆盖与分类边界会影响结论；重点应核查污染、分布外泛化和自验证失败。

临床阶段跨境生物科技的多 Agent 估值框架【AI/金融】

Yuhan Fang｜arXiv 2608.10175｜cs.MA、q-fin.PM｜PDF

研究传统现金流估值难覆盖二元临床/监管里程碑的问题，提出科学判断估值、跨市场协调和冲突融合三层架构。作者列举其人工管理基金 16 个月 127.17% 回报、基准 50.67%，但明确该记录不是 AI 系统评测。值得关注的是把事件风险显式写入 Agent 流程；没有实现或对照实验，回测/可交易性、估值校准和因果归因均未证明，不构成投资建议。

ComBodied Agents：以人的状态轨迹为中心的 Agent 范式

Qianggang Ding 等｜arXiv 2608.10915｜cs.AI｜PDF

讨论数字或具身 Agent 只改变软件/物理状态、却未建模人的意愿和变化状态的缺口；提出事件感知、可纠正长期记忆、个人世界模型和受同意/可逆性约束的干预策略。论文主要给出设计空间、指标和治理方向，而非可复现实验。其价值在把用户能动性纳入闭环；个人数据、误判、隐私与医疗/照护责任仍是未解证据边界。

HarmThoughts：推理轨迹中的细粒度伤害行为检测

Ishita Kakkar 等｜arXiv 2604.19001｜cs.CL｜PDF

针对只审最终答案会遗漏伤害如何逐步形成，构建 16 类行为分类法和含 1,018 条轨迹、56,931 个句子的标注集，并比较白盒/黑盒监控与微调。作者报告通用监控在粒度提高时明显变差、微调可改善。数据来自四个模型的生成轨迹，分类可学性不等同于部署安全；思维链可见性、攻击迁移与监控规避仍需检验。

编码攻击下的系统提示词提取与加固

Anubhab Sahu 等｜arXiv 2604.01039｜cs.CR、cs.AI｜PDF

研究把提示词索取改写为编码/结构化输出后，拒答式保护是否失效；自动评测 7 个模型、46 条经验证系统指令，并用一次性改写测试缓解。作者报告序列化攻击成功率超过 0.7，措辞重塑可降低风险。它提示秘密不应只靠 prompt；样本与攻击格式有限，且未替代密钥隔离、最小权限和工具端强制控制。

Checkup2Action：体检报告到患者行动卡

Sike Xiang 等｜arXiv 2605.11533｜cs.CL、cs.CV｜PDF

研究多页体检报告如何生成有优先级、科室和随访期的行动卡；C2A 含 2,000 份去标识真实报告，并以受约束工作流平衡问题覆盖和安全。作者称专家评估中 84% 输出“完全合理有效”，移除安全约束时召回由 0.527 升至 0.825、但诊断过度表述增加。医疗输出不能据此替代医生；数据代表性、隐私、漏诊与前瞻性结局均未验证。

VDC-Agent：自反思进化的视频细节描述

Qiang Wang 等｜arXiv 2511.19436｜cs.CV、cs.AI、cs.LG、cs.MM｜PDF

为降低人工标注和专有教师依赖，用单一 MLLM 自反思生成偏好数据 VDC-Agent-19K，并以课程 DPO 内化迭代能力。论文报告在 VDC/DREAM-1K 达到领先的细节与忠实度，同时保留基座推理效率。自评分偏好可能固化模型偏差，SOTA 比较、公平计算量和跨视频分布泛化须复核。

InternAgentHarness：可持续合成 Agent 环境

Xiaozhe Li 等｜arXiv 2508.08636｜cs.CL｜PDF

提出四层接口与 bootcamp CLI，把任务生成、工具执行、交互控制和奖励统一，并把失败转成新任务、轨迹和 RL rollout；在 10 个文本/视觉任务上对 Qwen3-VL-30B-A3B-Thinking 做 SFT/RL。作者报告均优于未训练模型。合成环境的奖励与真实工具世界是否一致、任务泄漏和跨环境迁移仍是核心限制。

V-FiLLM：可验证的金融表格推理基准【AI/金融】

Alicia Larsen 等｜arXiv 2608.11047｜cs.AI｜PDF

从真实表格的可执行计算树生成正确性可符号验证的问题，并沿深度、宽度、概念与上下文四轴调难度。作者报告推理深度使准确率最多降 51%，数值扰动最多降 47 点；LoRA 后留出题由 81.1% 至 85.6%。合成题的可验证答案不代表真实投研能力，表格来源、模板覆盖及训练污染须审计，非投资建议。

XstrAI：面向不同读者的可归因解释叙述

Francesco Musicco 等｜arXiv 2608.11033｜cs.AI｜PDF

固定 SHAP 证据后，以规划、语言实现、验证三 Agent 为患者、临床医生和数据科学家生成不同叙述，在糖尿病/卒中风险上比较 11 个基线。作者报告患者和临床读者版本优于基线、数据科学家版本则有单提示基线领先。SHAP 不是因果解释，LLM 裁判和小型问卷无法证明临床沟通安全。

ProbGuard：利用输出分布校准早期安全风险

Xinzhe Huang 等｜arXiv 2608.10621｜cs.AI｜PDF

将 guardrail 从离散文本分类改为从前缀输出分布估计后续不安全概率，并以 Monte Carlo 与后训练做校准、支持早停。作者报告相对最佳基线 Brier/ECE 分别降 79.6%/71.9%，十步后六类越狱 ASR 至多 1%。概率访问、采样开销、分布漂移和适应性攻击会决定生产可行性，不能把基准 ASR 当作安全保证。

SafeCap：以安全相关图像描述做视觉语言对齐

Caoyuan Ma 等｜arXiv 2608.10513｜cs.AI｜PDF

先生成安全相关图像描述、再回答，用冻结 LLM 的安全决策优化该描述，并与安全 SFT、DPO、SafeGRPO 比较。作者报告五个安全基准上四个设置提高 3.7–19.0 点且六个视觉效用集未明显退化。描述中介可能带来额外泄漏/延迟，评测数据污染、攻击迁移和真实多轮工具调用仍待验证。

VialectBench：越南语方言鲁棒性评测

Minh Tran 等｜arXiv 2608.10414｜cs.AI｜PDF

以 400 条标准越语和 2,400 条人工方言改写，测试 10 个模型在情绪、NLI、QA、选择题上的语义不变性。作者报告平均性能降 2.82%，中部 PNT3/PNT2 降 6.17%/4.73%，无模型完全不变。人工改写和 400 个源例的覆盖有限，但说明标准语基准不能代表语言公平性。

SINKFLEX-RL：长时程工具调用 Agent 的内存高效 RL

Zelei Cheng 等｜arXiv 2608.10357｜cs.AI｜PDF

组合 Gymnasium 环境、VERL 式数据流、无价值模型的组相对优化和保持 sink 缩放的 FlexAttention。作者在 Tau2Bench 零售预实验中称验证 mean@1 从 0.25 至 0.44，4,096 token 峰值显存由 28.06GB 降至 22.52GB。训练走势和单一预实验不等于稳定能力增益；任务规模、奖励投机、样本外和端到端成本须复现。

Transformer 位置编码与长上下文扩展综述

Jiguo Li｜arXiv 2608.10021｜cs.AI｜PDF

统一解释绝对/相对位置、ALiBi、RoPE 及 Position Interpolation、YaRN、LongRoPE 等长上下文方法，比较注入位置、KV cache 与长度外推代价。作者强调能计算训练长度外位置不等于可靠长上下文泛化。它适合实现选型；为综述而非新实验，具体模型的短上下文保持、检索、推理和代码任务仍应独立测试。