# 策略执行

工具调用型语言模型智能体常执行领域策略禁止的动作，LeanGuard 把用 Lean 4 写成的策略放在模型与工具之间，只有通过检查的调用才会真正执行。在 τ 2-bench 上，五个 Qwen 模型的无防护运行至少执行了 33 个 Lean 策略禁止的调用，加装 LeanGuard 后为零；在 DTap 上直接提示注入成功率从 57.9% 降到 5.9%，间接注入从 22.3% 降到 3.8%。带反馈的拒绝不显著改变任务成功率，而只读部署会拦下大量良性写操作。

工具调用型语言模型智能体常执行领域策略禁止的动作，LeanGuard 把用 Lean 4 写成的策略放在模型与工具之间，只有通过检查的调用才会真正执行。在 τ 2-bench 上，五个 Qwen 模型的无防护运行至少执行了 33 个 Lean 策略禁止的调用，加装 LeanGuard 后为零；在 DTap 上直接提示注入成功率从 57.9% 降到 5.9%，间接注入从 22.3% 降到 3.8%。带反馈的拒绝不显著改变任务成功率，而只读部署会拦下大量良性写操作。

把工具、资源和执行条件写进任务智能体的提示词，并不能可靠阻止违规调用。AgentPolicyForge 用可执行环境构造策略基准并迭代训练策略守卫，据此建成覆盖十类策略、含 698 个训练场景与 254 个独立留出场景的 PolicyGym。在 PolicyGym 上，最终守卫配置相对仅用策略提示把攻击成功率相对降低 40–44%，同时良性拒绝更少。

把工具、资源和执行条件写进任务智能体的提示词，并不能可靠阻止违规调用。AgentPolicyForge 用可执行环境构造策略基准并迭代训练策略守卫，据此建成覆盖十类策略、含 698 个训练场景与 254 个独立留出场景的 PolicyGym。在 PolicyGym 上，最终守卫配置相对仅用策略提示把攻击成功率相对降低 40–44%，同时良性拒绝更少。

VEPA把智能体护栏写成可执行符号规则，由大模型根据部署反馈提出补丁、确定性验证器只放行结构合法且无冲突的策略，在三个智能体安全基准上按活跃策略覆盖的事件取得最高F1，并随部署逐步扩大确定性执行的范围。

VEPA把智能体护栏写成可执行符号规则，由大模型根据部署反馈提出补丁、确定性验证器只放行结构合法且无冲突的策略，在三个智能体安全基准上按活跃策略覆盖的事件取得最高F1，并随部署逐步扩大确定性执行的范围。