# 反事实归因

工具调用型语言模型智能体可能选对工具却执行被注入的参数，而现有反事实防护在评分时保留已含注入决策的推理前缀，会丢失来源敏感性。BiCP在执行前去掉当前步推理前缀，同时用工具名目标和完整调用目标做双轴探测，并按操作风险路由。在922例固定回放上，完整方法把已确认的InjecAgent攻击从83/682降到0/682、不安全条件执行从33/240降到0/240，良性任务成功从66/120升到78/120。

工具调用型语言模型智能体可能选对工具却执行被注入的参数，而现有反事实防护在评分时保留已含注入决策的推理前缀，会丢失来源敏感性。BiCP在执行前去掉当前步推理前缀，同时用工具名目标和完整调用目标做双轴探测，并按操作风险路由。在922例固定回放上，完整方法把已确认的InjecAgent攻击从83/682降到0/682、不安全条件执行从33/240降到0/240，良性任务成功从66/120升到78/120。