智能体交接摘要会自己加规矩：换掉系统提示里一句模糊的审批说明，无据限制从5.0%降到1.8%
核心概要
长时运行的LLM智能体在上下文压缩时，会写一份交接摘要供下一个实例继续任务，而摘要里可能写出记录并不支持的权限或要求。研究用带真实权限账本的合成工具任务和同快照重放来测量这类句子：两个开放权重模型在留出实例上，经两名AI读者确认的无据限制占可读摘要的1.2%和2.4%，无据授权占0.1%和1.3%。把系统提示中“有些操作需要审批”换成说明审批要求来源的句子后，开发集摘要中的无据限制从5.0%降到1.8%，留出模板上从1.8%降到0.3%，而对账本确实要求审批的操作，请求量基本不变。
深度剖析
长时运行的智能体在上下文压缩后，会从自己写的交接摘要继续任务，而摘要里可能包含记录并不支持的权限或要求，也就是无据策略。 此前的相关报告来自训练过程和被要求攻击的智能体；这里在无攻击者的合成记账、报告和代码任务上，用外部权限账本和事件日志作为不依赖模型的真值来统计这类句子。 在留出实例上，两名AI读者只阅读规则标记的摘要，确认无据限制占可读摘要的1.2%（Qwen3-8B，13/1044）和2.4%（gpt-oss-20b，26/1094），无据授权占0.1%（1/1044）和1.3%（14/1094）。
无据授权会让后继实例在没有许可的情况下执行写入，而无据限制是否改变后继行为在留出实例上并不稳定。 开发集上中和无据限制把确认请求从98%降到59%的运行比例，但预先指定的留出测试没有复现：原始摘要126/148次运行请求确认，中性填充后119/148次。 把F1与F2的无据授权来源合并（事后分析），中和这些句子使未授权动作从24/120次运行降到7/120次，十个下降来源全部来自gpt-oss-20b；F4中为17/48降到11/48。
多数开发集的无据限制在摘要之前就已出现：智能体早先的推理把审批词与受限操作配在一起，而系统提示只笼统地说有些操作需要审批。 把系统提示中的“有些操作需要审批”替换为“只有规则或用户请求说明需要审批的操作才需要审批”，其余不变。 预先指定的测试中，1862对匹配的可读摘要里，76对只在旧提示下出现AI确认的无据限制、14对只在新提示下出现；留出模板上3305对中为59对和9对，可读摘要占比从1.8%降到0.3%，而账本要求审批的请求量在3840对回合中为2205和2199。
启示与展望
测量覆盖三个8B到21B参数的开放权重模型在合成记账、报告和代码任务上的表现，环境带外部权限账本和事件日志，压缩发生在固定步或finish调用处；作者指出部署中的智能体在上下文填满时压缩，后继实例也看不到原始请求。
留出实例上的限制效应预先指定测试不显著，F2虽显著但主要来自Qwen3-8B，聚类自助区间包含零，作者不把它算作复现；F4预先指定的检查也未支持按压缩点划分的解释。无据授权太罕见，无法给出精确效应量，其合并检验结合了两个在主要结果之后选定的集合。新提示句在模板中为真，是因为每个所需审批都写在规则或请求里；在要求未被写下的环境中，它可能压制必要的请求，这一点未测试。F6中提示与GPU型号在模型内耦合，硬件效应未被排除。