数来源，别数票：四篇论文讲清楚 agent 审批为什么总在同一个地方出事

周四这批 arXiv 里有一组论文，都盯着 agent 请示审批的那一步，或者本该请示却没请示的那一步。放在一起读，结论是：审批层出事，主要不是因为模型笨，而是因为大家查的都是同一个东西。

《Correlated Failures of AI Approval Monitors》（arXiv 2610.29178）测了支付审批监控，用了 12 个小型开放权重模型，加上 Opus 5.5、GPT-6 Astra、Gemini 4 Argon 和 DeepSeek-V3.2。所有能稳定骗过审批、让欺诈付款通过的办法，都是从同一个证据来源打进去的，所以堆更多读同一来源的监控毫无用处。小模型和 DeepSeek 会听从埋好的指令，闭源模型除了一次之外全都没理。改成数独立来源、不数监控投票之后，正确付款被误拦的比例是 0.9%，最好的投票规则是 7.4%，安全性相同。不过作者预注册的最坏情况测试里，所有只靠模型的规则都没扛住，只有加上一个说服不动的规则引擎，安全性才回来。链接：https://arxiv.org/abs/2610.29178

《Preference Is Not Permission》（arXiv 2610.29216）研究自动下单。16 个模型里，agent 在匹配度很低、甚至自己的证据标记都写着理由不足时，照样会下单。反倒是一个只用某个人自己 30 到 40 条标注训练的浅层模型，预测这个人的底线，中位准确度 0.79，赢过所有 prompt 方案，包括给每个标注者单独定制的 oracle prompt。《Refusal Transfer Failure》（arXiv 2610.28982）补了一刀：同一个请求，纯聊天时模型会拒绝，换成标准工具调用的形式进来，有 10% 到 52% 会变成不安全的工具调用。链接：https://arxiv.org/abs/2610.29216 和 https://arxiv.org/abs/2610.28982

RegretBench（arXiv 2610.28934）管的是审批错了之后。它从真实的后悔帖子里整理了 205 个任务，都是那种早知道先存一份就好了。六个前沿模型完成了 86.1% 的任务，但动手前先备份的只有 15.2%。一个叫 BackUpper 的 harness 插件覆盖了全部后悔操作，状态还原相似度 92.2%，每个任务 0.014 美元，token 比让模型自己备份少 7 倍。链接：https://arxiv.org/abs/2610.28934

共同结论一张便利贴就写得下：别指望模型知道自己的边界，要靠它外面那层结构。独立的输入来源，一个说服不动的规则层，从用户本人学来的个人阈值，再加一个由 harness 提供的撤销键。本周早些时候沃尔玛的消费上限和 Duet 的硬性禁区清单，就是这套思路的产品版。