EvoUndo：面向LLM智能体运行框架的可恢复性约束自演化 EvoUndo: Recoverability-Constrained Self-Evolution for LLM Agent Harnesses
给LLM智能体自我修改配可验证撤销方案，分离寻址与表达力两类恢复瓶颈。
前置知识
LLM 智能体运行框架
包裹大语言模型的执行环境，建模为 $H=(S,\Pi)$：持久化状态 $S$ 包含配置、提示模板、路由状态、工具注册表、中间件序列、事件监听器绑定、沙箱文件与托管资源，$\Pi$ 是执行策略。自演化智能体可在运行时重写配置、安装工具、重排中间件等，即对 $S$ 施加变异 $m$。
本文的研究对象就是这类可自我修改的框架：所有变异、见证、恢复都定义在状态 $S$ 的具体部件上，不了解这些部件就看不懂恢复语言的原语设计和六类任务族的含义。
见证捕获与恢复程序
见证捕获函数 $w: S \to W$ 在变异 $m$ 执行前记录与恢复相关的类型化旧状态片段；恢复程序 $u: S \times W \to S$ 在变异后的状态上执行，利用见证重建旧状态：$\hat{s} = u(m(s), w(s))$。二者都必须在受限恢复语言内由模型合成。例如把 timeout_sec 从 30 改成 60，只有事先捕获 30 才能恢复。
这是 EvoUndo 候选四元组 $\xi=(m,w,u,C_e)$ 的核心组件，论文所有实验（合成、修复、oracle 审计）都在评估这两类程序能否被成功表达和综合。
类型化观测等价与效果契约
恢复不要求字节级一致，而是在效果契约 $C_e$ 声明的类型化状态目标上达到观测等价 $\hat{s} \simeq_{C_e} s$：字典键排序、易变标识符/指针映射为规范占位符、文件用 SHA-256 比对（排除时间戳等瞬态量）。运行时还独立计算真实效果集 $E(m,s)=\text{SnapshotDiff}\cup\text{ExecutionTraceEffects}$，要求 $E(m,s)\subseteq C_e$。
等价判据定义了'恢复成功'的验收标准，效果契约的独立审计则是防作弊机制的关键，理解它们才能看懂验证协议与 300/300 契约审计实验。
恢复语言 L0 与 L1
约束见证与恢复程序可用原语的形式语言。L0 覆盖配置、提示、工具注册表和路由状态（capture/restore/delete 等）；L1 在此之上增加中间件序列、事件监听器、沙箱文件、托管套接字，以及跨状态表面按严格 LIFO 依赖序组合恢复操作的能力。运行时拒绝 L0 下使用 L1 专属原语。
论文的核心结论之一是表达力瓶颈：197 个自然失败中确定性 oracle 在 L0 下只能恢复 48 个，扩展到 L1 后达到 191 个，直接催生了 S0/S1 分层与 2×2 因子实验。
Wilson 置信下界与失败闭合
对二项通过率的小样本保守估计。EvoUndo 要求 40 个隐藏反事实状态中 $k/n$ 通过的 95% Wilson 下界 $\text{LCB}_{0.95}(k,n)\ge\tau_R=0.85$ 才允许变异永久准入；语法错误、异常或越语言原语都会立即拒绝（fail closed），杜绝小样本侥幸通过。
这是准入门槛的具体数学形式，也是理解'为什么 281/600 已可准入、197 个被拒'以及系统安全性声明的必要前提。
研究动机
现代 LLM 智能体越来越多地成为可变系统：它们能在运行时修改自己的提示、安装或卸载工具、更改中间件、分配资源、注册事件监听器，甚至重配置执行框架本身。现有自我改进流程几乎只优化前向效果——只要 $J(m(S))>J(S)$ 就接受变异 $m$。但一个'成功'的变异可能覆盖配置值、重排中间件链、遮蔽已有工具、创建临时文件或泄漏后台资源；当它日后过时、引发回归或与后续更新冲突时，静态逆操作往往无法还原旧状态，因为正确的恢复过程常常依赖变异前的状态信息（把 timeout_sec 从 30 改成 60 后，只有事先记录 30 才能恢复）。更关键的是，恢复性必须不仅在起草变异时的名义状态上成立，还要在其未来运行的各种反事实状态上成立。论文构建的 600 个单次自演化任务基准暴露了问题的严重性：478 个（79.67%）任务产生了能力正向变异，其中 197 个虽提升能力却无法通过恢复验证；这 197 个自然失败在原始恢复表示 L0 下用全部四种验证器引导迭代修复均为 0/197，独立重生成也只有 6/197（3.0%），诊断发现 180/197 涉及超出预定义缺陷分类的结构性状态变换。
本文的目标是本文的目标是为自主自演化的 LLM 智能体建立'可恢复性'这一显式不变量：能力正向的变异必须在被永久准入之前携带经过独立验证的恢复语义。形式化地说，智能体要在经验约束 $\Pr_{s\sim Q}[u(m(s), w(s)) \simeq_{C_e} s]\ge\tau_R$（阈值 $\tau_R=0.85$）下最大化前向能力 $J(m(S))$，且该性质必须跨反事实状态分布 $Q$ 成立。为此论文提出 EvoUndo 框架，串联四个环节：表示（候选四元组 $\xi=(m,w,u,C_e)$）、合成（受限恢复语言内的有界闭环修复）、诊断（把恢复失败当作可行动缺陷进行类型化定位）与独立验证（10 个开发状态 + 40 个隐藏状态上的往返验证，95% Wilson 置信下界准入）。论文还要回答一个科学问题：自然恢复失败究竟卡在哪里——是状态寻址不准（grounding）、恢复语言表达力不足（expressivity），还是两者的交互？
与已有工作不同的是，已有工作与该问题正交：Astrogator 用符号解释验证 LLM 生成的 Ansible 程序，提供演绎保证但限于自动化演算；AgentSpec 通过触发器-谓词-执行动作做运行时策略治理，管的是动作是否合规而非已准入的持久变异能否还原；ARIES 式 WAL 依赖预定义写语义，效果域快照要求旧状态已知且可序列化——论文自己的对比显示快照在 300 个不同表面任务上 100% 全对，但面对逆语义缺失、状态依赖、需合成的场景无能为力。EvoUndo 的独特切入有三：(1) 把恢复失败当作一等公民的缺陷来诊断修复，而非推倒重生成；(2) 用零生成确定性 oracle 把 197 个自然失败分解为机制层 S0（48 个，L0 可表达）与 S1（143 个，需 L1），分离'模型搜不出'与'语言表达不了'；(3) 用协议锁定的 2×2（诊断粒度 × 语言表达力）因子实验量化两类瓶颈，并发现模型相关的负交互——gpt-oss-120b 上精确地址反馈在 L1 下把恢复率从 99.3% 拉低到 93.0%。这种机制分层加因子解耦的设计在自演化安全文献中是新的。
核心方法
直觉上，EvoUndo 给每个'想留下来'的自我修改配一份可独立验证的撤销说明书。智能体起草前向变异 $m$ 时，须同时在受限恢复语言里合成见证捕获程序 $w$（在 $m$ 前记录旧状态的类型化片段）与恢复程序 $u$（在变异后状态上重建旧状态），并声明效果契约 $C_e$。验证器对每个反事实状态 $s$ 执行往返 $s \xrightarrow{w} z \xrightarrow{m} s' \xrightarrow{u} \hat{s}$，检查类型化观测等价 $\hat{s}\simeq_{C_e} s$。若失败，进入有界闭环修复：$m$ 严格不可变，只许修订 $(w,u,C_e)$，预算 $B\le 4$。10 个开发状态（含 IID 扰动与 OOD 结构偏移）产生状态级诊断——D0 粗粒度只给受影响子系统与缺陷分类，D1 精确地址额外给规范化观测地址与顺序轨迹；40 个隐藏状态用于准入，要求 95% Wilson 置信下界 $\ge 0.85$。系统失败闭合：语法错误、异常或越语言原语立即拒绝。语言分两级：L0 覆盖配置/提示/工具/路由，L1 扩展到中间件、监听器、文件、套接字并支持 LIFO 序组合恢复。
核心洞察是：可恢复性是一种关系性质，取决于状态分布、见证语义、观测契约与恢复语言表达力的联合设计，而非提示工程可以单独解决。与已有方法的本质区别有三。第一，防逃逸的验证架构：修复时前向变异 $m$ 被锁定不可变，堵死'把变异弱化成空操作绕过验证'的路径；同时运行时独立计算真实效果集 $E(m,s)$ 并要求 $E(m,s)\subseteq C_e$，堵死'缩小声明恢复范围'的路径——在 300 个故意不完整的契约审计中动态效果追踪 100% 检出所有未声明语义效果，300 个匹配完整契约零误报。第二，机制归因方法学：用零生成确定性构造 oracle（可看完整旧状态、冻结变异 AST 与两个评估套件，但任何模型都拿不到其输出）做可解性审计，L0 只能表达 48/197、L1 达 191/197，从而把失败切成 S0/S1 两层，分离搜索失败与表达力极限。第三，反直觉发现：更多或更精确的验证反馈并不总是更好——精确地址诊断在表达力丰富的 L1 上反而有害（gpt-oss-120b 上 C3 = −6.29 pp），且该负交互在 Qwen3.8-27B 上不复现，说明诊断粒度是模型-表示依赖的设计参数而非普适最优。
方法步骤详情
第一步，建模：把运行框架写为 $H=(S,\Pi)$，$S$ 含配置、提示、路由、工具注册表、中间件、监听器、沙箱文件与托管资源；基准由六类各 100 个任务构成（$N=600$）。第二步，候选合成：模型为每个任务起草变异 $m$ 及 $(w,u,C_e)$；见证在 $m$ 前运行，恢复原语只能引用已捕获见证值。第三步，往返验证：对 10 个开发状态（IID 扰动边界值/先前存在性/组合表面，OOD 引入嵌套键、冲突套接字、前置中间件等）执行 $s\to z\to\hat{s}$ 并检查 $\hat{s}\simeq_{C_e} s$。第四步，诊断与修复：失败时验证器计算残差 $\Delta_{res}=\text{Diff}_{C_e}(s,\hat{s})$，按 D0（子系统+缺陷分类）或 D1（加精确地址与顺序轨迹）反馈，模型在预算 $B\in\{1,2,3,4\}$ 内修订 $(w,u,C_e)$。第五步，准入：40 个隐藏状态上 $k/n$ 通过需满足 95% Wilson 下界 $\ge 0.85$，任何失败闭合拒绝。第六步，协议锁定评估：oracle 审计划分 S0（48 个）与 S1（143 个），跑 2×2 因子与三个配对对照 C1/C2/C3，用配对风险差、bootstrap 95% CI 与 Holm–Bonferroni 校正的精确 McNemar 检验确认结论。
技术新颖性
新颖性有四层。(1) 形式化：首次把跨反事实状态的可恢复性形式化为 $\mathcal{R}_{L,Q,C_e}(m)=1 \Leftrightarrow \exists (w,u)\in L: \Pr_{s\sim Q}[u(m(s),w(s))\simeq_{C_e} s]\ge\tau_R$，作为自演化搜索空间的显式不变量，与前向能力约束并列。(2) 双保险防作弊：不可变变异加独立动态效果追踪 $E(m,s)\subseteq C_e$，配合类型化观测等价（排序键、规范占位符、SHA-256），在 300/300 不完整契约审计中零漏检零误报。(3) 机制分层方法学：确定性 oracle 的零生成可解性审计把经验失败归因为 grounding 或 expressivity（L0 表达 48/197，L1 达 191/197），并用 10 次重采样（种子 1000–10000，1970 次任务-种子评估，Jaccard=1.0000）证明分层稳定；oracle 仅供回溯分层，模型从不接触其输出。(4) 负交互发现：协议锁定 2×2 配三个预注册对照，量化出精确寻址在 S0 上 +79.17 pp、语言扩展在 S1 上 +99.30 pp、全队列交互效应 −25.89 pp（CI [−34.01, −18.27]），推翻'验证反馈越具体越好'的直觉。
实验结果
五组核心发现。(1) 受控基准（120 个注入缺陷）：独立重生成仅修复 4/120（3.3%），验证器引导修复在 $B=4$ 下达 114/120（95.0%，类型化诊断）、117/120（97.5%，处方提示）——表示对齐时闭环修复高度有效。(2) 自然失败击穿常规修复：197 个能力正向恢复失败在 L0 下四种修复模式全部 0/197，独立重生成仅 6/197（3.0%）；oracle 审计显示 L0 只能表达 48/197，L1 达 191/197。(3) 因子实验分离瓶颈：C1 在 S0 层 D1L0 从 0/48 提到 38/48（79.2%，Δ=+79.17 pp，p_Holm=1.46e-11）；C2 在 S1 层 D0L1 达 142/143（99.3%，Δ=+99.30 pp，p_Holm=1.08e-42）；C3 显示 L1 上加精确地址反而降到 133/143（93.0%，Δ=−6.29 pp，p_Holm=0.0117），全队列交互 I=−25.89 pp；11 个不一致任务中 10 个仅在 D0L1 成功（5 个过度分解、3 个序列反转、2 个捕获冲突）。(4) 端到端收益：D0L1 救援 180/197，600 任务总产率从 281/600（46.83%）升至 461/600（76.83%，+30.00 pp），且因 $m_0$ 冻结零前向能力回归。(5) 跨模型与鲁棒性：Qwen3.8-27B 复制（96 任务）保留 C1（+47.92 pp）与 C2（+37.50 pp）但 C3 不显著（+6.25 pp，p=0.375）；fresh holdout 上开发状态从 Q2 到 Q20 把假阳性从 16.8% 压到 0.0%，但产率从 49.7% 降到 35.0%（−14.67 pp），揭示精度-覆盖权衡；效果域快照在已知可序列化场景 300/300 全对而 EvoUndo 243/300（81.0%）。
查看结构化数据
| 任务 | 指标 | 本文 | 基线 | 提升 |
|---|---|---|---|---|
| 受控恢复修复（120 个注入缺陷的能力正向变异，B=4） | Rescue@B=4（修复成功率） | 类型化诊断 114/120（95.0%）；处方提示 117/120（97.5%） | 独立重生成 4/120（3.3%） | +91.7 pp，约 28.5 倍于基线 |
| 自然失败救援（197 个能力正向恢复失败，L0 表示，B=4） | Rescue@B=4 | 四种验证器引导修复均 0/197（0.0%） | 独立重生成 6/197（3.0%） | 无提升——揭示的是表示瓶颈而非方法调参问题 |
| C1：S0 层精确寻址（D1L0 vs D0L0，48 个 L0 可表达失败） | 恢复成功数与配对风险差 Δ | 38/48（79.2%），Δ=+79.17 pp | D0L0 0/48（0.0%） | +79.17 pp，p_Holm=1.46e-11 |
| C2：S1 层语言表达力（D0L1 vs D0L0，143 个仅 L1 可表达失败） | 恢复成功数与配对风险差 Δ | 142/143（99.3%），Δ=+99.30 pp | D0L0 0/143（0.0%） | +99.30 pp，p_Holm=1.08e-42 |
| C3：诊断-表达力交互（D1L1 vs D0L1，S1 层） | 恢复成功数与配对风险差 Δ | gpt-oss-120b 上 133/143（93.0%），Δ=−6.29 pp | D0L1 142/143（99.3%） | −6.29 pp 负交互（p_Holm=0.0117）；Qwen3.8-27B 上 +6.25 pp 不显著（p=0.375），证实模型依赖性 |
| 端到端 600 任务产率（D0L1，B=4） | 可准入能力正向变异占任务总数 | 461/600（76.83%）；能力正向子集 461/478（96.44%），零前向能力回归 | 初始可准入 281/600（46.83%） | +30.00 pp 绝对提升 |
局限与改进
作者明确承认多条限制：(1) L0/L1 演算只针对建模的 harness 状态类型，无形式完备性保证，向更丰富技术栈的迁移未测试；(2) 修复时 $m$ 严格不可变，未评估 $(m,w,u,C_e)$ 联合优化或 $m$ 的事务性重设计，结论不能外推到能力-可恢复性权衡问题；(3) 类型化等价与效果追踪只覆盖内存内配置、提示、路由、工具、中间件、监听器、虚拟沙箱文件与托管资源句柄，不含分布式数据库、多主机状态、第三方 API、非托管 OS 进程等；(4) 不可逆的物理/财务效果需要补偿语义而非精确还原；(5) 只测了 gpt-oss-120b 与 Qwen3.8-27B 两个骨干；(6) 生产级见证捕获需访问控制、加密、有限保留与字段级脱敏。我的补充观察：oracle 享有特权信息（完整旧状态、隐藏评估套件），S0/S1 分层是回溯性工具而非可部署组件；负交互仅基于 11 个不一致任务的描述性分析，无因果干预；与快照的对比暴露了适用边界——同表面并发下 EvoUndo 只有 131/300（43.7%）低于快照的 159/300（53.0%），而论文未提供混合调度器；fresh holdout 上严格开发验证导致产率下降 14.67 pp 的精度-覆盖矛盾没有解决方案；Qwen 复制只有 96 任务子集，跨模型结论的统计功效有限；此外全部任务为自建沙箱内合成任务，缺乏真实生产事故数据的外部效度验证。
独立分析的弱点
独立分析几点弱点。第一，恢复语言是手工设计的封闭集合：L0/L1 覆盖六类状态表面，但真实 harness 还有多主机文件、数据库连接池、外部 API 凭证等，语言扩展完全依赖人工，没有从变异 AST 自动推导所需原语或从失败中学习新原语的机制——改进方向是把原语库本身作为可学习/可扩展对象，或引入类型驱动的原语自动合成。第二，S0/S1 分层依赖享有特权信息的确定性 oracle（能看到冻结变异 AST 与隐藏评估套件），部署时无法预知某次失败属于哪一层，实践者难以据此选择诊断配置——可以训练轻量分类器在失败发生时预测机制层，据此路由修复策略。第三，负交互的机制解释是描述性的：D1L1 失败用了更少的补丁操作（1.90 vs 2.80）与 token（626.5 vs 713.0），作者猜测精确地址改变了语义分解与排序选择，但样本只有 11 个不一致任务且未做因果干预——建议实验粗到细诊断课程、地址使用约束的受控消融，并在更多骨干上复制以定位触发条件。第四，与快照的对比揭示适用边界：同表面并发下 EvoUndo 仅 43.7%，说明其在竞争性写场景更弱，而快照/事务/合成的混合调度器虽被承认为 future work，从数据看应优先实现。第五，全部评估在自建沙箱与自建任务族上进行，无第三方基准或真实生产事故数据，外部效度存疑；另外 478 个能力正向任务中 122 个能力不足的失败模式也未深入分析。
未来方向
作者提出的方向：(1) 快照/WAL/合成的混合调度器——受影响旧状态已知且可序列化时用效果域快照（其实验中 300/300、177.8 B/0.039 ms 最优），写语义预定义时用 ARIES 式 WAL，逆语义缺失、状态依赖或结构化时用 EvoUndo 合成；(2) 自适应诊断课程——从粗粒度指标开始，仅在粗修复失败时升级到精确地址轨迹（文中明确说未评估）；(3) 扩展到分布式观测契约、多主机状态、第三方 API 与事务协议；(4) 不可逆物理/财务效果的补偿语义；(5) 生产级见证捕获的访问控制、加密、有限保留与字段级脱敏。基于成果可延伸的：(1) 联合优化 $(m,w,u,C_e)$，刻画能力与可恢复性的真实 Pareto 前沿（本文只固定 $m_0$，明确声明未评估权衡）；(2) 把负交互研究推广为'验证反馈粒度 × 模型规模'的缩放律，用更大模型家族检验 C3 的模型依赖边界；(3) 将 oracle 分层自动化为在线机制学习，让系统在运行中发现并吸收新恢复原语（L2）；(4) 与 AgentSpec 类运行时治理组合成完整安全栈——准入前可恢复性验证加准入后策略执行；(5) 研究多智能体并发变异下的恢复语义，因为同表面并发实验（43.7%）已暴露单变异假设的不足；(6) 把精确寻址负交互的失败模式（过度分解、序列反转、捕获冲突）做成针对性约束解码策略。
复现评估
复现友好度较高但有关键缺口。论文的 Reproducibility Statement 承诺所有代码、任务定义、反事实生成器、协议锁与评估轨迹将开源，附录 A–K 提供架构模式、扩展相关工作、语言规范、提示、基线对比与统计推导，但当前版本（v1）尚未见公开仓库链接，需关注后续 release。硬件门槛不低：主实验用 gpt-oss-120b 原生 MXFP4 精度、温度 0.2、中等推理力度，部署在 8 张 NVIDIA H200 上；Qwen3.8-27B 复制用约束结构化解码。成本方面论文给出参考：fresh holdout 每任务 2.39–3.09 次模型调用、约 3.37k–4.30k 生成 token；197 任务因子队列上 D0L1 平均 1.78 次调用/任务、D1L1 1.95、D1L0 2.40，单次调用延迟 5.25–5.85 秒（H200）。据此估算全量复现（600 任务基准 + 2×2 因子 × 197 任务 + Qwen 复制 + 300 任务 fresh holdout + 多组敏感性扫描）需数千到上万次 120B 级调用，无 H200 集群可用量化推理服务替代但结果可能漂移。统计方法（bootstrap CI、精确 McNemar、Holm–Bonferroni）均为标准工具，协议锁定与分层重采样协议（种子 1000–10000）描述足够细致，方法学层面可复现；两个骨干模型均为开放权重是加分项。总体评估：中等偏上难度，主要风险在任务生成器与沙箱实现的细节保真度，以及代码是否如约开源。
论文图表
