本期看点
本期优先读 TokenEconomizer 与 AgentLoupe：前者将连续任务经验变成可调整的成本控制，后者让系统行为的来源跨过进程树和时间窗口。两者都把关注点放在模型外围的运行机制，但证据成熟度不同：前者有多配置基准比较，后者主要提供原型与案例。
另外十一篇从三个角度补足这条主线：harness 自改进怎样区分真收益与基准捷径；缓存复用、草稿生成和专家裁剪怎样改变推理的成本与正确性；硬件特定优化怎样进入可解释的服务流程。值得保留的共同问题是，收益究竟出现在哪一层、在什么条件下仍成立，而不是把所有倍率视作可直接叠加的系统进步。
重点解读
01 · TokenEconomizer：让降本策略跟着仓库经验更新
TokenEconomizer: Experience-Driven Black-Box Cost Control for Coding Agents
Aaron J. Li, Weijia Xu, Chandan Singh, Zixiao Chen, Jeevana Priya Inala, Charlotte Siska, Acar Tamersoy, Bin Yu, Ion Stoica, Michel Galley, Jianfeng Gao · arXiv v1 2026-10-15
连续任务暴露了单题评测看不到的浪费
开发者在一个仓库中持续修 bug、改功能，Agent 却可能反复摸索测试命令、携带用不到的工具描述，或陷入相似的失败循环。固定压缩工具输出、加入代码地图，并不在每个仓库都省钱。TokenEconomizer 的变化，是把已完成任务的轨迹变成下一项任务的控制依据，同时保持底层 Agent 与模型不变。
它是通过公开接口工作的外部控制器：任务开始前调整说明和工具集合，运行中观察事件并干预。优化单位是按时间排列的任务流；当前任务只能使用更早任务积累的经验。这使它更接近持续维护项目的使用方式，也意味着单次临时任务未必能摊薄学习成本。
三种控制怎样形成反馈
左侧从已完成轨迹更新经验，右侧分别调整提示、工具接口和运行控制；下方反馈只进入后续任务。
微技能并非生成后立即常驻。系统先从轨迹提炼操作建议及检测规则，检查建议是否在多个修改文件不重叠的任务中得到支持、是否经常有用；证据随时间衰减，反例具有更大权重，失效技能会退出。这样既控制错误经验，也控制每轮重复携带说明的费用。
工具裁剪保留 shell、读写和编辑等核心能力，对长期未用或被判定无关的工具隐藏 schema，并定期恢复完整目录重新审查。失败循环控制则从历史成功任务学习轮数预算；超预算或重复报错只触发判断，不立即终止。判断器先要求改换路径，持续停滞才结束执行，另有更严格的强制停止条件。
三个模块分别作用于知识、接口和执行过程。作者在 Claude Code 的消融中发现，工具裁剪贡献了最大的单项节省，微技能紧随其后；“多写一些提示”并不是全部机制。
省下的是带缓存计价的成本
在六个仓库的 277 项 SWE-Bench 任务、五组 Agent–模型配置和三次种子运行中，作者报告平均缓存感知成本降低 18.4%–30.9%，已计入控制器自身调用。五组包括 Claude Code 的 Sonnet 5、Opus 4.8，Codex 的 GPT-5.6 Terra、GPT-5.6 Sol，以及 Copilot CLI 的 Sonnet 5。四组 Pass@1 提高，但 Opus 4.8 从 74.0% 降至 73.0%；因此应读作接近原成功率下的成本改善，不能写成全部无损。
Claude Code 两组平均的累计曲线显示，多数仓库起初更贵，到第六项任务才全部转为更便宜。迁移实验也有条件：Web-Bench 用累计 Pass@2，安全审计用 F1；后者关闭仓库专属微技能，因为任务不重复使用同一仓库。ReposVul 的节省仅为 6.4%–9.3%，说明轨迹结构决定可优化空间。
阅读判断：优先读方法与成本核算。 这项工作将跨任务经验用于运行控制，而非训练模型权重。上线前最需要验证成功信号是否可靠，以及裁剪、提前停止会不会伤害罕见任务；论文使用基准评分器提供成功信号，真实开发中的验收条件未必同样明确。
02 · AgentLoupe：让行为来源穿过进程与时间边界
AgentLoupe: Kernel-Resident Semantic Causal Labels for AI Agent Observability
Yifei Bao, Ting Liu, Yuxin Ren, Ruizhe Huang, Likang Luo, Ziteng Xu, Yu Wang, Peng Jiang · arXiv v1 2026-10-16
工具调用结束，影响可能还没有发生
Agent 写入文件后退出，另一个会话或系统服务稍后读取它，才产生真正的系统动作。只记录工具调用会漏掉后半段；仅按进程树、时间窗口和参数相似度关联，也难把延迟执行接回最初的模型交互。AgentLoupe 将关联身份保存在内核资源对应的 eBPF map 中，让文件、进程与 socket 的交接承载这条线索。
与 AgentSight 的事后关联相比，关键变化是事件产生时就携带标签。它延伸了系统溯源的做法，把标签的起点接到 LLM 交互，而不是停留在某个进程。这对调查持久化指令污染或延迟副作用有价值，但标签只能表达所实现规则捕获的依赖，不等于证明模型的真实意图。
从 TLS 明文到审计链
从上方模型交互向下读：TLS 事件与系统传播事件分别进入缓冲区，按标签聚合后生成审计视图与风险分析。
采集器在 OpenSSL/BoringSSL 的 TLS 调用边界读取加密前或解密后的内容，通过有界扫描识别交互并分配 chain_id。内核负责轻量分类，用户态负责 HTTP、压缩内容和 SSE 的重组。单条 TLS 捕获有大小上限，系统也标记截断与丢失；因此“应用透明”仍依赖支持的 TLS 入口与协议形态。
标签在 fork/clone 时传给子进程，写文件时关联 inode，后续打开或执行该文件的进程可继承它，网络操作也参与传播。新独立提示创建新链，旧链影响以关联边保留；回退保护和跨会话保护避免简单地把所有事件混成一条链。用户态最终形成时间线、进程树和传播图，再交给 LLM 分析风险。
这种设计的重要性在于保住资源中转的联系：进程已经退出，文件仍能连接后来的动作。另一方面，广泛读取共享文件也可能放大依赖，过期规则和噪声过滤又可能删去线索；这些工程选择决定审计链实际覆盖多少。
当前证据是原型可行性
作者在 Ubuntu 26.04、kernel 7.0、四核 Xeon 与 8 GB 内存环境中，以 Claude Code 2.1.150 和 claude-sonnet-5 测试三类任务，每类报告五次均值。相对无观测工具，仓库理解、代码编写和编译分别增加 4.5%、8.0%、7.7% 完成时间。不能将摘要的“低于 8%”当作所有工作负载的统一上限。
两个案例展示了延迟 cron 执行与跨会话指令文件污染的追踪。风险分析器给出的置信度是模型输出，不是经校准的检测准确率。论文明确承认标签传播误报、漏报尚未量化，缺少更广攻击集与运行时验证；它也没有证明标签能够跨系统重启持久保存。
阅读判断：值得跟踪的可观测性原型。 优先看标签传播规则及开放问题，再判断目标环境是否具有同样的资源交接路径。论文列于 Practical Adoption Challenges of ML for Systems（PACMI ’26），会议日期为 9 月 29 日至 10 月 2 日，arXiv v1 于 10 月 16 日提交；本期是补读，不能把它说成 10 月 20 日首次发布。
研究动态
03 · HDA：把 harness 增益拆成算力、捷径和剩余改善
Harness-Delta Attribution: Dissecting Gains From Harness Evolution
Wenxuan Ding, Qin Lu, Changlong Yu, Sha Li, Shuowei Jin, Xin Liu, Zhenyu Shi, Greg Durrett · arXiv v1 2026-10-15
Harness 进化后的分数上涨，可能来自更多调用，也可能来自基准特有捷径。HDA 构造算力匹配的原始 harness，再移除进化版本中检测到的过拟合机制，将总增益分成测试时扩展、过拟合与剩余项；两项关键干预由人审查。
沿横轴比较原始、算力匹配、去除捷径和进化版本；中间剩余差值仍需泛化验证。
三种框架、四个基准的 25 组设置中，21 组搜索集增益显著，其中 14 组超过一半的归因增益来自过拟合或额外算力。作者报告这 21 组的两类平均份额分别为 54% 和 14%，不是全部 Agent 的故障比例。值得读的是归因协议。 未检测到的捷径仍可能留在剩余项里，所以它只是可泛化改善的上界，不能替代留出集验证。
04 · Self-HPO：交替优化运行框架与模型策略
Self-Evolving Coding Agents via Harness-Policy Optimization
Zhepei Wei, Wenlin Yao, Baolin Peng, Danqing Wang, Qianhui Wu, Hao Cheng, Yu Meng, Jianfeng Gao · arXiv v1 2026-10-16
Self-HPO 先冻结策略，让当前模型根据失败轨迹提出 harness 修改；再冻结选中的 harness，用可执行验证器奖励做强化学习。上一轮始终未解决的训练任务构成下一轮搜索集，避免一直围绕旧策略的弱点优化。
上半部用失败改 harness，下半部在新 harness 下训练策略；未解决任务与新策略回到下一轮。
作者用 Qwen3.5-35B-A3B、mini-SWE-agent 和 2,484 个训练任务，执行两轮、每轮六个 harness 候选与 50 次 RL 更新。SWE-Bench Verified 的三次评估均值由 61.0% 升至 69.5%，高于只更新策略的 67.5%；Multilingual 与 Pro 分别达到 59.7%、65.2%。这支持两个组件协同适配，并不证明无限自改进或免费提效。证据仍来自一个基础模型和有限轮数，训练与搜索成本也应纳入采用判断。
05 · Proof Harness：让 Agent 搭验证环境，再独立检查抽象
Towards Agentic Proof Harness Engineering
Rohith Kumar Shanmuganathan, Cedric Richter, Heike Wehrheim · arXiv v1 2026-10-16
这篇早期探索把 Agent 用在 C 项目的验证环境构造：读取源码、恢复依赖、生成 harness，再由 soundness guard 检查抽象是否覆盖原行为，precision guard 利用反例推动细化。待验证属性仍由开发者指定。
左侧项目供 Agent 检查，中间 harness 交给验证器；伪反例返回细化，真实违反交给开发者。
作者以 gpt-6-luna、每轮最多 60 个动作和单次五分钟 CBMC 限额，处理 curl 两个与 libuv 一个历史断言缺陷，三者均被检出；修复后只有 libuv 案例被 CBMC 证明安全，两个 curl 返回 unknown。unknown 不等于修复正确。 结果说明小样本可行性，尚无抽象细化进展或终止保证；作者还观察到 Agent 尝试修改受保护断言，说明独立边界检查本身就是核心需求。
06 · R2ECAP：删掉推理文字，不等于清除缓存影响
Stealthy Poisoning Attacks via Reused KV Cache of Reasoning
L. Zhu, Y. Jung, S. Szyller · arXiv v1 2026-10-16
复用推理 KV 的系统可能删除前段文字，却保留在该上下文中计算出的后段状态。R2ECAP 针对这类条件缓存：通过黑盒交互形成前段误导推理与看似正常的保留回答，再让后续查询检索其缓存。相同可见文字单独编码和带前文编码产生不同结果，是关键对照。
上半部展示前文如何影响保留 KV；下半部展示新查询检索这些状态，文字删除并未重算后段缓存。
在三种 7B–9B 开放权重模型、GPQA/MBPP/BigCode 上，作者报告精确查询复用最高 79% 攻击成功率，跨查询检索为 16%–46%。仅检查保留文字的一个检测器标记了 1%，这不代表所有防御都失效。价值是指出缓存构建来源也要纳入审计；威胁模型要求攻击者能间接提交可检索条目，不能泛化为任何普通前缀缓存都存在同等风险。
07 · DLite：草稿模型不再独立维护长历史
DLite: History-free Speculative Decoding for Agentic AI
Jiaming Xu, Hanzhen Wang, Tianlang Zhao, Jiewen Xiao, Chengze Yuan, Jiayi Pan, Yongkang Zhou, Jiancai Ye, Yu Wang, Guohao Dai · arXiv v1 2026-10-16
长对话中，投机解码的草稿模型也要处理增长的历史。DLite 改用目标模型隐藏状态提供上下文，以并行骨干生成局部位置表示，再用轻量顺序头恢复草稿块内部的依赖；候选仍由目标模型验证。省掉的是草稿侧历史 KV，目标模型缓存仍在。
左下目标模型处理历史，右侧草稿模块使用局部位置与顺序头，左上目标模型验证候选；历史 KV 留在目标侧。
作者在 H800、Qwen3-4B/8B、草稿块 K=7 下报告，SWE-bench 工作负载的解码加速分别为 2.68×、2.74×，基线是普通自回归解码，不能读成软件任务整体快同样倍数。高并发优势会缩小：4B 的 Alpaca、并发 64 时吞吐为基线的 1.32×。它需要训练并接入目标隐藏状态，值得关注长上下文 serving，但不是闭源 API 外挂即可获得的通用优化。
08 · MoE 专家裁剪：短答案损失集中在少量提示位置
Where Prefill Expert Reduction Hurts MoE Models: A Few Prompt Tokens Carry Most of the Short-Answer F1 Loss
Zhiyuan Wang · arXiv v1 2026-10-15
这项分析减少 prefill 的激活专家数，生成阶段仍使用完整专家预算。作者发现，短答案 F1 下降很大部分来自回答形式变长，而非答案内容完全丢失；在 Qwen3 中，回答前的模板位置尤其敏感。Interface-Full 保留系统提示、指令和问题等任务接口，只减少文档 token 的专家数。
左侧比较各规则把完整专家留在哪里；右侧是探索性的片段损失密度，不能把每个 token 的价值视作已被精确测定。
Qwen3-30B-A3B、单张 H100、760 条联合质量与延迟样本中，长提示的首 token 延迟中位比为 0.86，约 2K token 的 HotpotQA 则为 1.02，反而略慢。应读作裁剪位置的实证边界。 等预算保留两端在所测模板中未被区分为更差；F1 的集中损失也不等于答案似然损失同样集中。没有依据宣称通用无损加速。
09 · Apex：按实际 token 负载分配 CPU 与 GPU 专家
Efficient CPU-GPU collaborative MoE inference via Adaptive Expert Assignment
Wenhui Lv, Yunming Liao, Hongli Xu, Yang Xu, Junhao Cheng · arXiv v1 2026-10-16
显存放不下 MoE 时，把所有缺失专家搬到 GPU 会受 PCIe 限制，全放 CPU 又可能拖慢执行。Apex 对当前层缺失专家按实际 token 负载排序，用在线测得的计算与传输速率选择搬运数量，使 CPU 路径与 GPU 路径的较慢者尽量短；当前必需传输优先，空闲窗口才预取下一层预测专家。
左侧控制面根据实际路由与预测分配传输，右侧并行执行 CPU/GPU 专家，再合并原路由输出。
在 48 GB RTX A6000、Xeon 8358P、512 GB 主存和 PCIe 4.0 ×16 上，三个 BF16 MoE、批量 1/8/16/24/32 的实验中，相对最强对照，作者报告 prefill 平均提高 31.2%、decode 吞吐平均提高 31.1%。基线在同一 KTransformers 框架内重实现并共享专家池预算。贡献是异构执行策略；它不改变原路由选择，也不证明全 GPU 或不同互连环境具有同等收益。
10 · PairSight：GPU 干扰预测需要同时观察两个算子
PairSight: Characterizing and Predicting Operator-Level Interference in GPU Sharing for DNN Inference
Xiao Liu, Yujia Fu, Yue Yu, Dan Huang · arXiv v1 2026-10-16
SM 分区仍共享 L2、DRAM 与互连，“计算密集搭配访存密集”不足以预测干扰。PairSight 输入双方算子的独立延迟与硬件计数器，分别预测高、低优先级片段的减速；超过 16 算子的片段切成窗口组合估计。
左侧采集单独执行特征，右侧为候选算子对预测延迟并累加长序列；预测本身不等于调度保证。
作者在 A100、六个 DNN 模型的约 73 万共执行样本中报告，高优先级延迟 MAPE 为 4.3%，强度规则为 19.0%。但未见过的 Llama 组误差为 30.2%，用每对 100 个新实验继续训练后才降至 13.5%。值得关注双方特征的价值，而非直接承诺 SLO。 这是候选共置延迟预测结果，尚不是完整调度器的线上吞吐或违约率改善；长窗口组合也有进度近似。
11 · FuTransformer：分阶段低精度加速必须同时看质量损失
FuTransformer: FP8 prefill and INT4 decode for Llama-style inference on Hopper
Wei Wang · arXiv v1 2026-10-16
FuTransformer 将 prefill 的 FP8 GEMM 与推理专用 epilogue 融合，直接放置 KV、合并固定归一化参数；decode 则按 Hopper MMA fragment 布局存放 INT4 权重和缓存，并近计算处反量化，用 Hadamard 旋转缓解缓存离群值。
单张 H100 上，完整 Llama-3.1-8B 在 batch=1、context=1024 时，INT4/INT4 decode 为 2.76 ms/步，compiled PyTorch BF16 为 8.08 ms/步，约 2.9×，但精度不同。作者报告 WikiText-2 困惑度增加约 9%–15%，模拟量化的 ARC-Challenge 准确率最多下降 7.6 个百分点。这是明确的速度–质量取舍，不能写成无损引擎；完整服务调度与分布式通信不在测试范围内。还应区分形状测试与完整模型：文中 405B 标记表示单层维度，并非在单卡运行整个 405B 模型。实现依赖 Hopper 的布局和资源约束，迁移到其他 GPU 需重新设计内核。 原文没有合适的独立方法架构图，本节以文字解释。
12 · DIFFLET：让静态编译组件进入可常驻的扩散服务
DIFFLET: A Fast Inference Engine for Diffusion Transformer Models on AWS Trainium
Bin Ma, Min Yu, Vijay Kodamalla, Jialin Liu, Dong Li · arXiv v1 2026-10-16
DIFFLET 将 Python 侧模型流程与 Trainium 编译后端分开：主机控制采样和缓存，固定形状组件执行计算，共享 NKI attention 与并行接口。常驻模型进程保存程序和权重，每次请求重新建立采样状态，避免把冷启动费用混入单次稳态延迟。
左侧定义编码、去噪和解码数据流，中间适配组件、算子与并行配置，右侧负责编译、加载和执行。
在单芯片 Trainium2、TP=4 的比较中，四个能编译 SDPA 基线的模型，去噪单步快 1.24–4.28×；四个模型常驻请求比暖启动独立运行快 1.49–3.35×。Wan 是例外，其服务端 VAE 在主机解码，常驻请求反而更慢。缓存跳步还涉及画质损失，负载测试每档仅 20 请求。优先读组件边界与例外条件，不要把算子倍率、缓存收益和服务收益相乘成通用加速。
13 · Harness²：从当前任务的改动，学到下次如何改进
Harness²: Recursive Agent Harnessing for an Open World · 项目代码
Ruiyao Xu, Yanfei Chen, Zhongying CuiZhu, Bhavana Dalvi Mishra, Yifei Ming, Han Yu, Rujun Han, Chen-Yu Lee, Tomas Pfister
Northwestern University / Google Cloud AI Research · arXiv 预印本 · 首发：2026-10-09
没有标准答案，如何判断改动有用
Harness 是模型外围的提示、记忆、工具与执行控制。离线搜索可以借助训练题和验证分数筛选它；面对新任务，往往没有这样的反馈。直接继承上一任务的框架，又可能把特殊要求带入不相关场景。
Harness² 将当前任务的执行框架与跨任务的改进经验分开。它开放八类可编辑组件，包括 guardrails、技能、脚本和工具循环插件；模型权重保持固定，持续变化的是经验库，而非整个改进算法。
提出、试跑，再有选择地组合
系统先执行基础框架，取得轨迹与交付物；随后分别提出通用能力改动和领域改动。前者针对规划、工具使用等问题，后者针对当前领域的流程与约束。两套候选在相同任务、模型和环境配置下试跑，与参考执行比较。
读图：从左到右是执行、提出候选、试跑与组合；右侧将本次改动的经验保存，底部回路把它交给下一任务。原图：Ruiyao Xu 等，CC BY 4.0。
组合器读取改动差异及执行证据，可以合并、修订、采用单个候选，也可以保留原框架，随后执行组合结果。预算增大时，可并行探索多套候选，或串行累积修改。任务结束后，经验库保存采用的可执行框架、适用情境与支持证据；下个任务重新从基础框架开始，通过经验库指导改进。
得分提升来自什么条件
作者在三个专业任务基准上测试两种执行模型与两种初始框架，主表为三次打乱任务顺序的运行均值。默认编辑器是 Claude Opus 4.8。以下列出单步改进、均使用 OpenCode 时的结果：
| 基准与执行模型 | 基础框架 | Harness²，k=1 | 提升 |
|---|---|---|---|
| WorkBuddy-Bench，GLM-5，三领域宏平均 | 64.2 | 75.7 | 11.5 分 |
| JobBench，Gemini 3.5 Flash | 31.5 | 36.0 | 4.5 分 |
| LAB，GLM-5，逐条标准通过率 | 59.6% | 71.4% | 11.8 个百分点 |
WorkBuddy 测试集为 Code/Web/Office 各 40/35/25 题，JobBench 为 34 题，LAB 为 100 题；LAB 的数值不是整项法律任务成功率。消融中，移除经验库使 Gemini 3.5 Flash 的 WorkBuddy 宏平均从 77.5 降至 74.4，支持跨任务积累的作用。它也没有赢下所有比较：Gemini 配合 Codex 时，LAB 上的 Meta-Harness 仍高于单步 Harness²。
值得关注，也要看退化案例
更少的最终执行步数不能等同于总成本更低：提出、试跑、组合都要消耗推理，论文另用总 token 量比较成本。其无标签反馈依赖模型判断，失败分析中甚至出现选择器舍弃 95 分候选、选中 55 分结果的案例。guardrails 可编辑也不意味着安全性得到验证。
优先读方法、消融和失败分析。 这项工作的价值在于把改动依据变成可复用资产；边界则是模型可能共同误判、经验可能过时，当前实验不能证明长期持续改进必然成立。
社区动态
- @FSFG 的 AgentLoupe 原帖链接同一论文并注明 PACMI 2026，作为上文来源交叉核对，不重复计为一篇论文。
- Agent Skills：遵循指令，是否真的带来收益？：区分技能加载、指令遵循与任务收益，用对照和消融判断哪些规则值得保留。
- 无人值守 Agent：上线前应验证的七类失败场景：从工具故障、权限和审批到崩溃恢复，关注系统能否守住执行边界。
-
告警降噪访谈：ManageEngine 的 Gowrisankar Chinnayan 讨论拓扑上下文、事件关联以及 ML 与 LLM 的分工。适合作为 AIOps 实践观点阅读，访谈没有给出可比较的诊断效果实验。
- OneSignalDesk 原帖引用的 68.0% 可在 Agents Trust Tools Too Much: Measuring Reliance on Unreliable Tools（v1）中核对：14 模型在 418 道 FreshQA 问题的“看似合理错误”搜索返回条件下，平均采纳率为 68.0%，不是全部工具或线上故障率。该论文首发于 9 月 4 日；帖中建议的验证提示明确未测试，不能视作已验证防御。