硬件位翻转不再只毁一次生成：智能体闭环里能自我纠错，代价是输出词元多出38%
导语
随机两位权重故障注入智能体执行后，模型级损坏会变成系统级结果：智能体可从畸形工具调用中恢复并完成任务，但故障执行的平均输出词元增加38.0%，个别故障还会改变安全与对齐行为。
正文
智能体执行把模型级的输出损坏转成系统级结果，损坏的中间输出不一定变成任务失败。 此前对LLM硬件故障的研究把损坏的生成当作故障传播的终点，只看输出错误或生成失败。 在AgentDojo这一多轮基准上，智能体从3.3–25.9%的畸形工具调用中恢复，而词元风暴因不含有效动作从未被恢复。
恢复不是免费的，故障执行会消耗更多推理算力。 任务结果可能仍然正确，但执行成本在故障下上升。 HomeBench上精确匹配准确率只降4.2个百分点（75.6%到71.4%），平均输出词元却增加51.3%（每次执行1,656到2,505）；跨基准合并后输出词元增加38.0%，其中96.0%的增量来自词元风暴执行。
部分故障不表现为明显退化，而是结构合法但语义错误的动作。 可检测的失败包括畸形动作、词元风暴和提前终止，另一些故障则保持流畅输出。 三个基准上都出现数值解释错误、无依据的交易更新和错误升级等例子，动作结构合法，仅凭生成有效性难以发现。
随机位翻转还能改变安全与对齐相关行为，且随模型和场景变化。 在控制退化执行后，AgentDojo整体提示注入敏感性几乎不变，仅差0.2–1.6个百分点。 重放一个导致注入失败的两位故障后，Qwen3.6-27B攻击成功率从31.0%升到43.0%且任务效用保持（56.0%到58.0%），Slack套件从57.0%升到92.0%；Qwen3.8-27B和Granite4.1-30B上趋势不一致。
接下来
研究覆盖三个智能体基准上的218个任务，共6,814次执行，其中2,400余次为干净运行、4,300余次为注入独立采样两位权重故障的运行；故障只加在模型权重上，智能体运行时、工具和基准环境保持无故障。主模型为Qwen3.6-27B，另用Qwen3.8-27B和Granite4.1-30B考察模型依赖。作者提出的下一步是检验这些发现在不同故障条件和智能体环境中的泛化性，包括细微语义错误的出现比例与多轮场景下的故障传播。
作者指出研究限于持续存在的两位权重故障、有限的模型与基准集合，并认为需要更严格的统计分析才能把故障引起的行为变化与执行本身的波动区分开。安全与对齐效应只在特定模型和场景中出现，Qwen3.6-27B上观察到有害行为率上升，而Qwen3.8-27B和Granite4.1-30B上趋势并不一致；AgentDojo整体注入敏感性在控制退化执行后仅差0.2–1.6个百分点。