这项由罗格斯大学、德克萨斯大学奥斯汀分校和普渡大学联合开展的研究，以预印本形式发布于2026年5月，论文编号为arXiv:2605.08715，有兴趣深入了解的读者可通过该编号查询完整论文。
当你把一项复杂任务交给一个由多个AI"专员"组成的团队去完成时，你最担心的是什么？大概率是：万一其中某个专员出了错，而后面的专员又毫不知情地接着干，最终酿成一连串的连锁失败。这正是当今AI多智能体系统（简单理解为"多个AI协作完成任务的系统"）面临的核心困境。研究团队将这种困境形象地描述为"一个关键错误被下游智能体接受，并像滚雪球一样演变成全轨迹失败"。
为解决这一问题，研究团队提出了一个名为**AgentForesight**（智能体预见）的框架，并配套了一个专门用于训练的数据集AFTRAJ-2K，以及一个经过专门训练的紧凑型在线审计模型AgentForesight-7B。这项研究的核心思路，用一句话概括就是：与其等到任务失败之后再去追责，不如在任务执行过程中每一步都设置一个"实时监督员"，一旦发现决定性错误，立刻发出警报。
一、从"事后验尸"到"实时急救"：一个视角的根本转变
以往，当一个AI多智能体系统完成（或失败）一项任务后，研究者会对整个执行过程进行"事后分析"，找出是哪个智能体在哪一步犯了错。这就像一场手术失败后，医院召集专家开复盘会，逐帧回看手术录像——分析很有价值，但病人已经无法挽救。学界把这种做法称为"事后归因"，现有的代表性工作包括Who&When、AgenTracer、AgentDebug等系统，它们都是在任务彻底结束、结果已经确定之后，才对完整的执行轨迹进行分析，找出那个"罪魁祸首"步骤。
这种做法有一个根本性缺陷：到那时候，错误已经在系统里传播了好几步，可能触发了真实世界中的API调用、文件写入或外部服务请求，某些操作甚至是不可逆的。研究团队认为，这相当于"在盖子掀开之前什么都不知道，一旦掀开锅盖，里面的东西早就糊了"。
这项研究提出的"在线审计"（Online Auditing）思路则完全不同。研究团队给在线审计的定义非常精确：在任务执行轨迹展开的每一步，一个专门的"审计员"只看到当前已执行的前缀（也就是从开始到当前步骤的历史记录），然后做出判断——要么让任务继续，要么发出警报，同时指出决定性错误发生在哪一步、由哪个智能体造成。这个审计员没有"未卜先知"的能力，看不到未来的步骤，也不知道任务最终会成功还是失败。这种约束使得在线审计比事后分析难得多，却也更有实际价值。
要理解这两者的区别，可以用一个生活场景来类比。事后归因好比一个人在购物完回家后，对着购物小票发现自己买了不需要的东西，然后懊悔地列出是在哪一步做了错误决定。而在线审计则好比购物时身旁站着一位经验丰富的顾问，每当你拿起一件商品，他立刻判断"这个值得买"还是"先别放进购物车"——并在你真正做出不可挽回的决定之前叫停。
二、AI工作的"执行轨迹"到底是什么？先建立一个基础认知
在深入了解这套方法之前，有必要先理解一些基本概念，研究团队对这些概念做了非常清晰的形式化定义。
一个多智能体系统的执行过程，可以被记录为一段"轨迹"。轨迹由一系列"步骤"组成，每一步记录了是哪个智能体角色（比如规划者、搜索员、代码编写者）执行了什么动作、产生了什么内容。整条轨迹走完之后，会有一个"结果函数"对其打分：成功得1分，失败得0分。
在所有可能导致失败的步骤中，研究团队特别关注"决定性错误"这个概念。所谓决定性错误，是指那个如果被纠正，就能把失败轨迹变成成功轨迹的最早步骤。换句话说，不是每一个小失误都算决定性错误——只有那个"一旦出现、后续再怎么努力也难以挽回"的步骤，才被称为决定性错误。在对失败轨迹进行标注时，研究团队会为每条失败轨迹打上"决定性错误发生在第几步、由哪个智能体造成"的标签，而成功轨迹则打上"安全"的标签。
这个框架建立之后，在线审计的任务就变得非常清晰：对于每一条正在执行中的轨迹，审计员在每一步都只看到"从第0步到第k步"的前缀，然后判断是"继续"还是"警报+指出第几步出了问题+指出哪个智能体负责"。而在整个判断过程中，审计员不能看到第k步之后发生的任何事情，也不能利用最终结果来辅助判断。
三、数据集AFTRAJ-2K：为审计员准备"真实案例档案"
训练一个好的审计员，需要大量高质量的"案例档案"——既有安全执行的轨迹，也有包含决定性错误的失败轨迹，而且每条失败轨迹都要精确标注错误发生在哪一步。现有的数据集要么只有失败轨迹、缺乏成功轨迹，要么只有轨迹级别的标签（成功或失败），没有步骤级别的精确定位。为此，研究团队专门构建了AFTRAJ-2K数据集。
数据集涵盖三个领域：数学推理（来自MATH-500基准）、代码生成（来自HumanEval+和MBPP+基准）、以及开放性智能体任务（来自GAIA和HotpotQA基准）。轨迹由三套成熟的多智能体框架生成，分别是AutoGen Swarm、MetaGPT和Smolagents，底层使用GPT-5.4-mini作为统一的语言模型骨干。整个数据集最终包含约2,272条经过精心筛选和标注的轨迹，其中1,158条是验证通过的"安全轨迹"，1,114条是带有决定性错误步骤标注的"不安全轨迹"。
**安全轨迹的构建：三重过滤的严苛标准**
并非所有最终答案正确的轨迹都能被纳入安全轨迹库。研究团队设计了三层过滤机制，只有全部通过的轨迹才算真正"安全"。
第一层是结果等价性检验：确保轨迹的最终答案与标准答案完全一致，不同域有不同的验证方式——数学题用符号计算比较，GAIA用官方评分器，HotpotQA用特殊的文章-不敏感归一化器，代码题则通过实际运行测试用例。第二层是完整性检验：拒绝任何包含工具调用错误、序列化失败、空预测或环境限制终止的轨迹。第三层是连贯性检验：用一个GPT-5.4评判员来核查每一步的行动是否与已声明的子目标保持一致。通过这三层过滤的轨迹，才被认为在每一个前缀处都是真正安全的，可以用作正类监督信号。
这种严苛标准的必要性在于：如果把那些"最终结果碰巧正确，但中间步骤其实出了问题被后续智能体修复了"的轨迹也当成安全轨迹，那么训练出来的审计员就会学会对那些"表面看起来没问题"的早期警示信号视而不见。
**不安全轨迹的构建：两条路径并行**
不安全轨迹的获取有两个来源，研究团队将其称为"构造性流"和"诊断性流"。
构造性流的思路是在安全轨迹上主动"埋雷"。从一条已验证的安全轨迹出发，随机选择一个注入步骤和一个故障类别，生成一个有问题的替换步骤，然后让多智能体系统从这个被篡改的前缀开始继续往后运行，最终验证这次修改确实让结果变成了失败。由于注入位置是已知的，决定性错误步骤的标签可以直接确定。
故障类别在不同领域有不同的设计。数学领域包括计算失误、过早终结、验证走捷径、错误解读验证结果等四类；代码领域包括代码逻辑错误、跳过验证步骤、错误解读验证结果等三类；智能体任务领域则包括工具注入、提示注入、验证走捷径、求解器过早给出答案、验证员文本走捷径、最终答案覆盖等更丰富的类型。注入完成后还有一道"合格检查"：如果后续智能体自我纠正导致最终结果仍然正确（意味着错误被修复了，不算决定性错误），或者目标步骤实际上没有被真正修改，则这条候选轨迹会被丢弃。
诊断性流则针对那些自然产生的失败轨迹，此时决定性错误的位置未知，需要通过分析来确定。研究团队采用了一个"提议-验证集成"流程：先由5个独立的"提议者"调用返回候选的决定性错误步骤及负责智能体，然后对每个独特的候选步骤进行3轮独立验证，每次验证沿四个二元标准进行打分，分别是"错误确实存在"、"错误具有实质性"、"错误具有决定性"、"错误是最早的"。只有当某个候选步骤在四个标准全部满足的情况下获得的验证者支持数超过多数阈值（即至少2票），才会被接受为标注结果。这种设计比简单多数投票更为保守，确保了标注质量。
最终，来自构造性流和诊断性流的不安全轨迹合并，与安全轨迹一起构成了完整的AFTRAJ-2K数据集。数据集按照"轨迹家族"（即一条安全轨迹及其所有注入变体）分层划分训练集和测试集，确保不会发生信息泄漏。
四、AgentForesight-7B的训练：两阶段"由粗到精"
有了AFTRAJ-2K，接下来就是训练审计员。研究团队选择了Qwen2.5-7B-Instruct作为基础模型，并设计了一套"由粗到精"的两阶段强化学习训练方案。
**第一阶段：让审计员学会感知"危险边界"**
第一阶段的核心目标，是让审计员对"安全前缀"和"刚越过决定性错误的前缀"这两种情况有清晰的区分感知。研究团队将其称为"失败边界对齐"阶段。
对于每条不安全轨迹，研究团队构建两个"边界对"提示：一个是包含到决定性错误步骤前一步的前缀（此时正确答案是"继续"），另一个是包含到决定性错误步骤本身的前缀（此时正确答案是"警报"）。这两个提示内容几乎相同，只差了最后那一步，但要求的判断结论却截然相反。通过让模型学习这种"一步之差、判断翻转"的规律，审计员就能内化一种隐性的"风险感知先验"——知道什么样的轨迹前缀是安全的，什么样的已经越过了危险线。
这个训练方式背后用的优化方法叫BPPO（边界对偏好优化），是研究团队基于经典的DPO（直接偏好优化）专门为这种"边界对"结构设计的变体。简单来说，它让模型通过比较"对的答案"和"错的答案"来调整自己的判断偏好，而且对"边界前"（应说继续）和"边界后"（应说警报）两种情况分别优化，最终促使模型学会在决定性步骤处"翻转"自己的判断。
**第二阶段：让感知变成精准定位**
第一阶段让审计员建立了粗粒度的边界感知，但仅有感知还不够——审计员还需要在正确的时机精确指出"哪一步出了问题，是哪个智能体负责的"。第二阶段使用GRPO（一种基于组内相对奖励的强化学习方法）来进一步精炼这种能力。
每次模型生成一个回答，该回答会沿三个维度被评分，研究团队将其称为"三轴奖励"。第一个维度是"什么"（结构轴）：评分函数检查回答是否符合要求的JSON格式，字段是否完整且有实质内容，格式不合格会被扣分。第二个维度是"在哪里"（时间轴）：评分函数用一个以正确步骤为中心的高斯函数来打分，预测步骤越接近真实决定性步骤，得分越高；完全精准命中得满分，偏差越大分数越低。第三个维度是"谁"（因果轴）：评分函数检查预测的负责智能体是否与真实标注一致，完全匹配得满分，不匹配只得部分分。三个维度的得分组合成一个综合奖励，其中对于"安全"轨迹给出正确判断得+1分，对于"不安全"轨迹精准命中得到由时间轴和因果轴加权的得分，而判断方向完全错误（把不安全说成安全或把安全说成不安全）则得-1分。
在第二阶段的强化学习中，参考策略被固定在第一阶段训练出来的模型上，而非原始基础模型。这样做的好处是KL散度惩罚项会拉着模型回到"具备风险感知先验"的状态，防止模型在追求精准定位的过程中忘记了粗粒度的边界感知能力。整个训练过程在2张NVIDIA H200 GPU上完成。
五、实验结果：和"更大更强"的模型同台竞技
研究团队在两个数据集上评估了AgentForesight-7B的表现，并与大量基线模型进行了比较。
评测使用的核心指标有两个。一是"精确步骤F1"（Exact-F1），这是一个综合了"召回率"和"精确率"的综合分数——简单说，既要求"不遗漏真正的决定性错误步骤"，也要求"不乱把错误的步骤误报成决定性错误步骤"，两者越平衡、越准确，得分越高。二是"绝对步骤偏移"（ASS），衡量预测的错误步骤与真实步骤之间的平均绝对距离，这个数值越小越好。
**在AFTRAJ-2K测试集上**，AgentForesight-7B以66.44的整体Exact-F1远超所有竞争对手。作为对比，同类中最强的专有模型DeepSeek-V4-Pro（一个远比7B大得多的模型）得分为46.56，差距超过19个百分点。在步骤定位精度上，AgentForesight-7B的ASS为0.59，而DeepSeek-V4-Pro为1.77，意味着定位精度提升了约3倍。
分领域来看，AgentForesight-7B在数学领域的Exact-F1达到77.36（次优为DeepSeek-V4-Pro的50.34），代码领域达到78.87（次优为DeepSeek-V4-Pro的49.32），智能体任务领域达到48.70（次优为Qwen3-32B的40.00）。值得一提的是，AgentDebug-7B这个"能看到完整轨迹才进行事后分析"的基线模型，在整体Exact-F1上仅得到9.63，在数学领域甚至检测不到任何不安全轨迹。这充分说明，把一个"事后分析"模型直接拿来用于每一步的在线审计，效果非常糟糕。
**在外部基准Who&When上**，这项测试涉及127个多智能体系统，轨迹来源完全独立于AFTRAJ-2K。AgentForesight-7B在步骤准确率上达到57.69%，比最强基线GPT-4.1高出约19.59个百分点；在智能体准确率上达到73.08%，比GPT-4.1高出约6.41个百分点；ASS为1.62，优于所有基线。这说明AgentForesight-7B学到的在线审计能力具有良好的泛化性，而非只是记忆了训练数据的特定模式。
**两阶段训练的贡献分解**
研究团队还专门分析了两个训练阶段各自的贡献。以Qwen2.5-7B-Instruct基础模型（整体Exact-F1为21.05）为基准：仅使用第一阶段训练后，整体Exact-F1提升至35.63；仅使用第二阶段训练后，整体Exact-F1提升至50.42；两阶段结合后，整体Exact-F1最终达到66.44。
这个分解揭示了一个有趣的规律：第二阶段单独训练在数学（63.64）和代码（72.73）领域效果很好，但在智能体任务领域（19.05）反而低于第一阶段单独训练的结果（31.58）。原因在于智能体任务的失败边界更难辨识，没有第一阶段建立的"风险感知先验"，第二阶段的精准定位训练就会"无处着力"。加上第一阶段之后，智能体任务领域的表现恢复到48.70，证明两阶段的协同是必要的。
**部署可行性：虚警率与步骤精度的双重考量**
研究团队还绘制了一张"部署权衡图"，横轴是虚警率（在安全轨迹上发出错误警报的概率），纵轴是步骤准确率（在不安全轨迹上精确定位决定性步骤的概率）。他们划定了一个"可部署区域"：虚警率不超过20%，步骤准确率不低于50%。在所有参与比较的系统中，只有AgentForesight-7B落在这个可部署区域内，其虚警率仅为2.37%，步骤准确率为59.51%。DeepSeek-V4-Pro以虚警率43.20%、步骤准确率53.99%勉强位于可部署区域之外，其他模型则大多集中在"虚警率高但步骤准确率中等"的不理想区域。
六、当"聪明"的大模型也会犯的错，审计员如何应对
研究团队通过具体案例展示了在线审计的独特挑战和AgentForesight-7B的优势。
在一个网络搜索任务中，任务要求找到"离Rivington Hall Barn最近的前磨坊小镇"，正确答案是Bolton。搜索智能体在步骤5返回了错误答案"Horwich"，管理智能体随后将其传递并提交为最终答案。面对这个轨迹，DeepSeek-V4-Pro的判断是"整体流程看起来正常，判为安全"——完全没有发现错误；Gemini-3-Flash则过早地在步骤2（管理智能体的规划思考阶段）发出警报，属于"假阳性"。只有AgentForesight-7B正确地指出步骤5的搜索智能体是决定性错误的来源。
在另一个数学案例中，决定性错误发生在步骤6，而两个专有基线Gemini-3-Flash和GPT-4.1分别在步骤4和步骤3就发出了警报——这些都是仍然可以被后续步骤修复的"可恢复步骤"，并非真正的决定性错误。AgentForesight-7B则唯一正确地等到步骤6才发出警报，精准命中真正的决定性错误所在。
研究团队还分析了AgentForesight-7B自身的失败模式。在169条安全轨迹中，只有4条被错误地发出了警报（虚警率2.37%），而且这4个案例均属于"步骤内自我纠正被误判为决定性错误"——比如验证智能体的工具调用先返回了一个错误的中间结果，然后同一个智能体在同一步骤内又自行纠正了，AgentForesight-7B的风险感知先验被表面上的"错误信号"触发，提前一步发出了警报。在被正确检测到的不安全轨迹中，大约75%的定位偏差只有"偏差1步"，主要原因是系统有时会定位到"错误的根源所在步骤"而非"错误被最终提交的步骤"，这两者对人类来说可以说都是合理的解释。
七、为什么不让AI自己"反思"，而要设置独立的外部审计员
研究团队在论文中专门讨论了"为什么不让智能体自己反思检查，而是要设置一个独立的外部审计员"这个问题。
核心原因在于一个被研究者反复证实的规律：生成一段内容，和评判这段内容是否正确，是两件难度不对等的事情。一个能力相对较小的评判者，往往可以可靠地监督一个能力更强的生成者。这在过程监督领域已经有充分的实证支持。在AgentForesight的场景中，7B的审计员可以可靠地监督底层运行着更大、更复杂模型的多智能体系统。
更深层的问题在于：让智能体自己反思，相当于用生成错误内容时所用的同一套参数，去评判这段错误内容是否有问题。这就好比让一个人用同一把刻度不准的尺子，既量物体，又验证量得准不准——尺子有偏差，反思也会有相同的偏差。大量研究表明，基于语言反馈的自我纠正循环往往无法从上游错误中恢复，有时甚至会把本来正确的步骤改错。
外部审计员的另一个优势是"解耦"：审计员不参与任务执行，不会干扰智能体的协作流程；审计员的训练目标和参数独立于底层智能体，因此它的"盲点"和底层智能体的"盲点"不重合。此外，外部审计员的虚警阈值可以单独调整，不影响底层智能体。实验数据也直接支持了这一点：在相同的Qwen2.5-7B-Instruct底座上，采用外部审计员范式的AgentForesight-7B（整体Exact-F1为66.44）比采用自我反思范式的Reflexion-7B（整体Exact-F1为23.38）高出约2.84倍。
说到底，这项研究做了一件听起来简单但实际上颇具难度的事：把"发现AI犯错"这件事，从"等任务结束再慢慢分析"改变成了"边执行边盯着、一出错就叫停"。为了实现这个转变，研究团队构建了一套专门的数据集（每条轨迹都精确标注了"决定性错误步骤"），设计了一套两阶段训练方案（先让模型感知危险边界，再训练模型精准定位），最终得到一个紧凑的7B模型，在多个测试集上超越了参数规模大得多的专有系统。
这项研究的现实意义不容小觑。随着越来越多的AI智能体被部署在真实世界的工作流程中——处理文件、调用API、操作数据库——一个能在错误传播之前及时叫停的"在线审计员"，很可能成为保障AI系统可靠运行的标配组件。当然，研究团队也坦诚地指出了局限：在线审计需要在每一步都调用审计员，增加了一定的运行开销；数据集目前覆盖的领域（数学、代码、网络搜索类任务）相对有限，尚未涵盖长期具身智能体或开放性科学发现等更复杂的场景。
有兴趣深入研究这套方法的读者，可以通过arXiv编号2605.08715查阅完整论文和附录材料，研究团队也在论文中提供了完整的代码和数据集开源资源。
Q&A
Q1：AgentForesight和传统AI错误检测方法有什么不同？
A：传统方法是在多智能体任务完全结束并失败后，才对整个轨迹做事后分析，找出哪个步骤出了问题，但此时错误已经传播，可能已触发不可逆操作。AgentForesight则采用"在线审计"方式，在任务执行的每一步都对当前已有的执行记录进行判断，一旦检测到决定性错误，立即发出警报并指出错误步骤和负责智能体，为干预留出窗口。
Q2：AFTRAJ-2K数据集是怎么保证标注质量的？
A：对于成功轨迹，研究团队使用了三层过滤机制，确保每一步都真正安全。对于失败轨迹，分为两类来源：一类是在安全轨迹上人为注入错误、精确记录注入位置；另一类是自然失败轨迹，通过"5个独立提议者+3轮独立验证"流程确定决定性错误步骤，只有在四项严格标准上都通过多数验证的候选步骤才被接受为标注结果，比简单多数投票更为保守。
Q3：AgentForesight-7B只有7亿参数，为什么能超过更大的专有模型？
A：主要原因是专门化训练。AgentForesight-7B的整个训练流程——包括数据集构建、两阶段强化学习方案、三轴奖励设计——都围绕"在前缀受限条件下进行在线审计"这一特定任务精心设计。而更大的专有模型是通用模型，没有针对这个特定任务进行专门训练，因此在这个特定场景下反而不如经过专门优化的小模型表现好。