Agent-Reflex：教会语言智能体反思性行动 Agent-Reflex: Teaching Language Agents to Act Reflectively
从真实工具失败中挖掘反思元技能，经三阶段训练内化，让8B智能体在噪声环境下主动反思与恢复。
前置知识
MCP（Model Context Protocol）
让大模型以统一接口调用外部工具服务的开放协议：MCP 服务器声明工具 schema，模型生成工具调用，服务返回结构化结果。本文的 557 个训练环境全部锚定在 Smithery 注册表上真实部署的高使用量 MCP 服务器主题上，评测也统一采用标准 MCP 交互格式。
本文的噪声来自真实 MCP 工具调用日志（177,700 次返回中 24,510 次错误），理解 MCP 才能明白'真实工具失败'为何能被系统性收集、注入与复用。
GRPO（组相对策略优化）
一种无价值网络的强化学习算法：对同一任务采样一组（group）轨迹，用组内回报的均值和方差做归一化得到相对优势 $\hat{A}_{q,i}=(R_{q,i}-\mu_q)/(\sigma_q+\epsilon)$，省去 critic。ORPO 的 RL 项就是它的 clip 版本，且刻意在'干净+扰动混合组'上做归一化。
ORPO 的第一项损失 $\mathcal{L}_{RL}$ 直接建立在 GRPO 式组归一化之上，不熟悉它就读不懂公式 (6)-(8) 以及混合组设计的用意。
在策略蒸馏（On-Policy Distillation，SEED）
teacher 模型对 student 自己采样出的动作 token 重打分，两个 log 概率之差经 stop-gradient 与 sigmoid 门控 $\gamma=\sigma(\beta\Delta)$ 转成稠密的 token 级监督信号。SEED 将其用于 agent，通过'有无特权信息'两个上下文对同一 token 打分。
ORPO 的第二项损失 $\mathcal{L}_{OPD}$ 原封不动复用了 SEED 的估计器，论文的创新点在于往'特权槽'里放什么（环境级反思技能卡），必须先懂这个机制。
反思机制（Reflexion 与自我修正）
让 agent 从失败中生成语言化自我批评并据此改进后续尝试的范式。推理时反思的根本缺陷是：批评由犯错的那个策略自己产生，当工具返回'格式正确但内容错误'时，上下文中没有任何证据能反驳失败计划，批评往往只是复述错误。
这是本文 motivation 的核心：实验显示 Reflexion-8B（44.7）甚至低于其 backbone Qwen3-8B（40.2 涨到 44.7 有限，部分基准低于 backbone），理解推理时反思的边界才能体会训练时内化反思的必要性。
环境验证器与可验证奖励
程序化检查一次交互的最终状态（如数据库是否达到目标状态）来判定任务成败的组件，为 RL 和数据构造提供无偏、不依赖模型自评的监督。本文所有反思训练数据（SR/KR/UR）都必须通过环境验证器才会进入语料。
'verifier-matched'贯穿全文：技能挖掘的成败配对、ReSFT 样本筛选、ORPO 的回报 $R_{q,i}$ 全部依赖验证器，它是整个框架可信度的地基。
冷启动 SFT + RL 两阶段范式
先做监督微调让策略具备完成完整轨迹的基本能力，再在其上做强化学习，避免 RL 从一个连轨迹都走不完的策略起步。Agent-Reflex 的三阶段（RSD→ReSFT→ORPO）是该范式在反思学习上的实例化：离线技能内化（SFT）→ 在线主动反思（RL+蒸馏）。
论文明确遵循 cold-start-then-RL 范式，且 ORPO 从 ReSFT 检查点出发，三阶段之间有严格的依赖顺序，不理解范式就读不出实验设计的因果链。
研究动机
现有 agent 训练环境（EnvScaler、Agent-World 等环境扩展工作）虽然把可执行环境的规模推到了数百个主题，但都建立在一个理想化假设上：工具服务稳定可靠、用户几乎不干预。真实部署恰恰相反，作者用两类硬数据说明这条鸿沟。其一是失败面：在 9 个公开 agentic benchmark 上重放 agent，收集到 177,700 次工具返回，其中 24,510 次为错误返回，可归纳为 8 个失败族——服务/网关不可用占 33.6%、认证/权限失败 17.9%、超时 14.7%、资源未找到 10.5%、参数校验失败 10.2%、执行异常 8.3%、速率限制 4.5%、网络连接失败 0.3%（Figure 1d）。其二是后果面：即便是 GPT-5.2 和 Claude-4.5-Sonnet 这样的前沿模型，在用户噪声与工具噪声下成功率也显著下滑（Figure 1c）。同时，现有用户模拟器依赖标准化模板，缺少执行中途的纠正性指令与多样交互风格。而现有反思方法各有短板：推理时反思（Reflexion、Self-Refine、ExpeL）的批评者正是犯错的策略，遇到格式正确但内容错误的返回时无从反驳；逐轨迹修复（Agent-R、ReflectRL）把修正拟合到产生它的那条轨迹上，经验无法沉淀为环境级知识；NoisyAgent 虽引入扰动但监督只是标量回报，表达不出'这个失败允许哪种恢复'。
本文的目标是本文要把'反思'从推理时的提示技巧变成可学习、可复用、可内化的元技能：从真实执行失败中系统性挖掘反思知识，再通过训练写进 8B 级策略的参数里，使智能体在工具噪声、任务失败和用户纠正下都能主动感知并 promptly 修正行动。具体目标分三层：构建 557 个注入真实失败模式的可执行环境并挖掘出 1,170 条按环境索引的反思元技能；把每条技能转化为自反思（SR）、技能恢复（KR）、用户中心纠正（UR）三类经过验证器把关的监督数据做 SFT；再以带噪声的 agentic RL 结合反思引导的在策略蒸馏（ORPO）进一步激发主动反思，最终在五个长程工具使用基准和 AgentNoiseBench 上同时超越环境扩展基线与反思基线，且训练动态保持稳定。
与已有工作不同的是，本文的独特切入角度可以用一个问题概括： corrective signal 存在哪里？推理时反思把信号放在上下文里，逐轨迹修复方法把信号放在单条轨迹的重写里，噪声增强训练把信号压成一个标量回报——三者都无法沉淀为'后一个 episode 可以复用的环境级陈述'。Agent-Reflex 第一次把跨模型的成功/失败行为对比（同一任务、同一注入噪声下的配对轨迹）固化为按环境索引的反思元技能库：技能是'每个环境挖掘一次、跨任务跨 episode 复用'的持久产物，而非'每条轨迹重写一次'的临时品。另一个关键差异是噪声的来源：扰动不是凭空设计，而是从 24,510 条真实错误返回中统计出的 8 个失败族，按 $p_{inj}=0.2$ 概率注入且八族均衡采样，保证稀有失败族也有足够恢复样本。这使'从执行失败中激发主动反思'有了真实锚点，也使得在从未见过的 AgentNoiseBench 上的成绩成为真正的分布外泛化检验。
核心方法
直觉上，agent 犯错并不可怕，可怕的是每次换个姿势犯同一个错。人类工程师排查线上故障靠的是运维手册——'502 就退避重试，401 就刷新凭证，404 先核对标识符'。Agent-Reflex 本质上就是给 agent 造这样一本按环境索引的手册，再把它读进参数里。技术路线分三阶段。第一阶段 RSD（环境反思技能发现）：选取 Smithery 注册表 557 个高使用量 MCP 服务器主题，用研究 agent（GPT-OSS-120B）挖掘主题数据库并做 3 轮复杂化，编码 agent 生成带单元测试的工具，仅保留编译通过、测试全过、满足状态转移约束且可执行验证的环境，每环境配 60 个可验证任务；随后以 $p_{inj}=0.2$ 的概率按真实八失败族注入工具错误；再由 9 个模型（4B 到 284B，横跨 5 个家族）组成的能力多样 LLM 池在相同协议下采样轨迹，配对同任务的成功/失败轨迹 $\mathcal{D}_{pair}=\{(q,\tau^+,\tau^-,e,t^\star,s_{t^\star})\}$，由分析器提取出共 1,170 条反思元技能。第二阶段 ReSFT：用冻结的行为策略 $\pi_0$（Qwen3-8B）从技能生成三类续写样本，只保留验证器通过的，合并成 54K 轨迹做监督微调。第三阶段 ORPO：在 2.5K EnvScaler RL 任务上做混合组（噪声比例 $\nu=0.25$）的组相对策略优化，同时以技能增强上下文作为特权教师对同 token 重打分，做置信度加权的在策略蒸馏，$\mathcal{L}_{ORPO}=\mathcal{L}_{RL}+\lambda_{opd}\mathcal{L}_{OPD}$。推理时技能提示被完全剥离，部署不依赖技能库。
核心创新是'环境级反思元技能 + 特权上下文蒸馏'的组合。与推理时反思（Reflexion、ExpeL）的本质区别：技能不是失败策略的自省产物，而是跨 9 个模型行为对比挖掘的结晶，因此能识别'格式正确但内容说谎'的返回——这正是推理时反思在原理上做不到的；且技能仅在训练期作为特权信息出现，所有存储输入中都被剥离，推理零开销、无需辅助反思器。与逐轨迹修复（Agent-R、ReflectRL、LoongReflect）的本质区别：修复知识按环境索引持久化（$\kappa_q=\text{Lookup}(\text{env\_id}(q),K)$，无语义检索、无任务级重叠），同一环境内跨任务复用，而不是每条轨迹临时重写。与 SEED 的区别最能说明定位：OPD 估计器原样复用，但特权槽的内容从更大模型或逐 episode 的 hindsight 重写，换成了从真实工具失败中挖掘一次的环境级技能卡，且技能分支纯前向、梯度 detach、永不查询环境，相对普通 Agent RL 的边际成本只是一次 forward pass。与 NoisyAgent 的区别：噪声 rollout 不再只携带标量回报，而是通过技能对比获得了 token 级的'哪个决策该恢复、如何恢复'稠密监督。
方法步骤详情
阶段一 RSD：①环境构建——每个主题由研究 agent 挖掘数据库并扩展 $N=3$ 轮，编码 agent 生成候选工具与单元测试，保留通过全部检查的工具，构成 $\mathcal{E}_m=(\text{数据库},\text{工具集},\text{验证器})$，每环境 60 个任务；②失败挖掘与注入——重放 9 个公开 benchmark 得 177,700 次返回、24,510 次错误，归纳为八族；训练时每个工具返回位置独立采样 $b_{t+1}\sim\text{Bernoulli}(p_{inj}=0.2)$，命中则用渲染器 $\mathcal{J}$ 替换为与被调工具兼容的失败返回（八族均衡均匀采样），只保留'可验证求解'的干净任务与'可验证恢复'的扰动任务；③配对采样——9 模型池在相同工具调用上限与采样协议下逐任务 rollout，DeepSeek-V4-Flash 与验证器联合标注，分歧样本丢弃，配对仅在同任务内形成且每环境至少覆盖 5 个不同任务；④技能提取——分析器对比配对，输出环境记录 $\zeta_m=(d_m,T_m,B_m,K_m)$（描述、工具、坏模式、技能），共 1,170 条技能，每条为结构化记录：触发器、失败族诊断、恢复模板（重试/换端点/问用户/中止）以及可逆性与部分效应标志。阶段二 ReSFT：SR 把环境恢复到首个错误轮快照 $s_{t^\star}$，以 $h_{t^\star}\oplus\kappa$ 续写 $y_{SR}$，验证通过后入库并删除技能；KR 重置到初始态 $s_0$ 从 $q\oplus\kappa$ 重启，同样删技能；UR 由 GPT-4.1 把技能改写为自然语言纠正 $u_\kappa=\mathcal{U}(\kappa,h_{t^\star},s_{t^\star})$ 插入后继续，用户消息保留（部署可见）而技能不入上下文；合并 Qwen3-8B 自己的验证通过轨迹，得 54K 语料，以 $\mathcal{L}_{ReSFT}=-\sum\log\pi_\theta(y|x)$ 训练。阶段三 ORPO：每步抽一任务，采 $G=8$ 条轨迹、其中 $\nu=0.25$ 在扰动环境，混合组归一化优势 $\hat{A}_{q,i}=(R_{q,i}-\mu_q)/(\sigma_q+\epsilon)$，clip 目标加 KL 正则（式 8）；技能分支以 $e_{q,i,t}=H(h_{q,i,t},\kappa_{q,i})$ 重打分同一 token 得 $\ell^{skill}$，计算 $\Delta=sg[\ell^{skill}-\ell^\theta]$、$\gamma=\sigma(\beta_{opd}\Delta)$，优化 $\mathcal{L}_{OPD}=\mathbb{E}[\chi\gamma(sg[\ell^{skill}]-\ell^\theta)]$，共训练 100 步。
技术新颖性
技术新颖性有五点。第一，反思知识的来源从'策略内省'变为'跨模型行为对比挖掘'：单模型重复采样会集中在自身推理倾向上（论文引用 Jiang et al. 2023、Du et al. 2024），9 个横跨 Qwen3/Llama/Gemma/GPT-OSS/DeepSeek 的模型在同噪声下互为对照，让失败模式显形，这是 1,170 条技能质量的来源。第二，技能是结构化可审计记录而非自由文本：触发器+诊断+恢复模板+可逆性/部分效应标志，附带 provenance 与重放验证字段，工程上可持续维护。第三，三级监督全部有验证闭环：SR/KR/UR 每条样本必须通过环境验证器才入库，且两类特权信息（环境快照、技能文本）被严格挡在部署可见上下文之外，训练分布与部署分布对齐。第四，ORPO 的特权槽设计：teacher 分支只做前向打分、梯度 stop-gradient，置信度门控 $\gamma\in(0,1)$ 是软加权而非硬过滤——技能中性 token 不会被强行压制，只是降权，论文将其归因为训练动态稳定的直接原因。第五，数据源刻意解耦：SFT 用 RSD 任务、RL 用 2.5K EnvScaler 任务，两者仅在环境层面通过环境标识符对齐（100 多个 EnvScaler 环境被 557 个 MCP 环境覆盖），技能从环境级迁移到不同 RL 任务上，等于直接检验了环境级技能的可复用性与可迁移性，而非任务级记忆。
实验结果
①五个长程工具使用基准（Table 1）：Agent-Reflex-8B 总体 58.6%，在 7B-8B 段排第一，超过最强环境扩展基线 Agent-World-8B（53.6）与 EnvScaler-8B（50.9），也远超反思基线 Reflexion-8B（44.7）、NoisyAgent-8B（43.4）、ExpeL-8B（37.9）；backbone Qwen3-8B 仅 40.2。分基准看：VitaBench 17.5 vs Reflexion 的 6.8（+10.7）；ACEBench 78.0 vs NoisyAgent 的 52.0（+26.0），且 turn 级 73.3 / step 级 85.0 与基线 step 级持平，说明增益集中在多轮交互而非单步格式；τ²-Bench 62.1 vs Agent-World 54.6，其中 Telecom 域 71.9 vs EnvScaler 32.7；ToolSandbox 82.5 为全场最高。注意天花板：与 Gemini 3 Pro（72.8）、Claude-4.5-Sonnet（72.6）仍有约 14 分差距。②AgentNoiseBench（Table 2，对训练噪声完全 OOD）：总体 29.1 vs NoisyAgent 25.9、EnvScaler 18.2、backbone 12.3；ANB-τ² 上 tool noise 38.4 / user noise 53.4（backbone 分别 14.1 / 26.2），说明用户纠正监督对用户噪声迁移尤其有效。③RL 算法对比（Figure 4a）：同一 2.5K EnvScaler 任务池、100 步 RL、预算对齐下，ORPO 在 τ²-Bench、BFCL V4、ACEBench、AgentNoiseBench 上全部领先 GRPO、DAPO、REINFORCE++、NoisyAgent RL 与 SEED——赢过 SEED 尤其重要，因为二者共享估计器，差异只在特权槽内容，说明真实失败挖掘的技能比 rollout 估计的经验更可迁移。④训练动态（Figure 4b）：ORPO 早期即与 GRPO、SEED 拉开差距并在二者趋平后继续上升，论文归因于置信度加权避免技能中性 token 主导更新。⑤消融（Table 3）：完整模型 ANB-τ²/ANB-Vita 为 45.9/12.3；去 SR 掉到 41.3/8.9（最大跌幅），去 KR 42.4/10.2，去 UR 43.0/10.9，去 OPD 43.7/9.5，仅去置信度加权 44.5/10.4——失败感知与局部修复是地基，且增益来自 token 级反思信号而非技能暴露本身。⑥细粒度归因（Figure 5）：在 AgentNoiseBench 原生 13 个噪声轴（7 工具侧+6 用户侧）上全部领先；工具侧最大优势恰在 misleading lure（13.9）与 incomplete information（10.9）——即'格式正确但内容说谎'、schema 检查失效的场景，这是 RSD 独有的贡献；用户侧最大在 cognitive overload（12.9）。汇总失轨率 28.5%，远低于 EnvScaler 的 44.8% 和 backbone 的 56.1%；且 SGA 指标门控轨迹有效性，增益只能来自真正修复而非碰巧答对。
查看结构化数据
| 任务 | 指标 | 本文 | 基线 | 提升 |
|---|---|---|---|---|
| 长程工具使用（五基准总体：VitaBench/τ²-Bench/BFCL V4/ACEBench/ToolSandbox） | Overall（五基准平均，%） | 58.6（Agent-Reflex-8B） | Agent-World-8B 53.6；EnvScaler-8B 50.9；Qwen3-8B 40.2 | +5.0 / +7.7 / +18.4 |
| τ²-Bench（Retail/Airline/Telecom 双控制交互） | 三域平均成功率（%） | 62.1 | Agent-World-8B 54.6；EnvScaler-8B 37.9 | +7.5 / +24.2 |
| ACEBench（正常/特殊/agentic 工具使用） | 官方平均（%） | 78.0（turn 级 73.3，step 级 85.0） | NoisyAgent-8B 52.0；EnvScaler-8B 72.5 | +26.0 / +5.5 |
| VitaBench（外卖/到店/OTA/跨场景复合） | Avg@4 域宏平均（%） | 17.5 | Reflexion-8B 6.8；Qwen3-8B 11.4 | +10.7 / +6.1 |
| ToolSandbox（有状态对话式，200 分层任务） | 成功率（%） | 82.5 | EnvScaler-8B 80.5；Qwen3-8B 69.1 | +2.0 / +13.4 |
| AgentNoiseBench（工具噪声+用户噪声，对训练分布 OOD） | Overall（%） | 29.1（ANB-τ² 平均 45.9，ANB-Vita 平均 12.3） | NoisyAgent-8B 25.9；EnvScaler-8B 18.2；Qwen3-8B 12.3 | +3.2 / +10.9 / +16.8 |
| RL 算法对比（同一 2.5K EnvScaler 任务池，100 步） | AgentNoiseBench 最终精度（%） | 25.3（ORPO） | GRPO 22.9；SEED 24.7 | +2.4 / +0.6 |
局限与改进
作者承认的局限（Appendix F）：反思技能库是从可执行环境的一个固定快照离线挖掘的，无法自动适应工具接口、服务行为或环境动态的变化，接口升级可能使技能失效，需要周期性重挖或轻量维护；同时在线更新未必产生可泛化技能——当可用环境或任务缺乏多样性时，在线总结的技能可能局限于个别环境或局部失败模式，Agent-Reflex 相对 SEED 的泛化优势可能部分来自离线挖掘的更大环境覆盖，但隔离这一因素需要进一步对照实验。我的补充观察：第一，正确性判定链条依赖环境验证器加分析器模型（DeepSeek-V4-Flash），技能质量上限受分析器能力约束，错误归因的噪声会直接固化进技能库；第二，技能按环境索引，论文只验证了同环境内跨任务迁移，跨环境的技能组合与复用完全未测试；第三，用户侧监督由单一 GPT-4.1 模拟器生成，虽覆盖直接纠正、部分提示、歧义与故意错误建议，但仍是模拟分布，与真实人类用户的纠正方式存在域差；第四，全部结论停留在 8B 规模，技能库是否跨容量迁移未知；第五，新部署环境若不在 557 主题内则无对应技能，ORPO 会退化为普通噪声 RL；第六，与前沿大模型（Gemini 3 Pro 72.8 vs 58.6）的差距说明反思训练不能替代容量，八失败族也只是文本表面形式的分类，不含延迟、并发等时序故障特征。
独立分析的弱点
独立分析四个具体弱点。其一，技能库的静态性是最大隐患：真实 MCP 服务频繁版本升级、字段增删，一条'先核对 base/table/record 标识符'的技能可能在 API 改版后指向不存在的端点，不仅失效还会误导。改进方向：利用技能记录自带的 provenance 与重放验证字段，建立周期性重跑校验与失效检测，触发局部增量重挖而非全量重建。其二，验证器瓶颈：环境验证器只能程序化检查'最终数据库状态是否匹配'这类目标，开放式任务（写作、研究类）无法验证，因此反思数据的覆盖面被可验证性锁死，557 个环境本质上都是有明确终态的服务型环境。改进方向：引入过程奖励模型或部分可验证奖励，把反思监督扩展到软验证场景。其三，技能对齐是硬查表：$\kappa_q=\text{Lookup}(\text{env\_id}(q),K)$ 要求 RL 任务环境必须落在 557 集合内，否则 OPD 无技能可用。改进方向：以语义检索候选技能、再用验证器把关的软对齐，容忍近似环境。其四，采样成本集中在 RSD：9 模型池 × 557 环境 × 每环境 60 任务的全量 rollout（最大模型 284B）加上 9 个 benchmark 的 177,700 次工具调用重放，是一次性但相当可观的推理开销。改进方向：主动学习式环境选择，只在失败率高的环境上做全池对比采样，其余环境用小池。此外，UR 数据由单一 GPT-4.1 模拟器生成的风格单一问题，可通过多模拟器集成或从真实人机交互日志蒸馏缓解。
未来方向
作者提出的方向（Appendix F/G）：把技能库从一次性离线快照升级为在线总结与增量更新，覆盖更大更多样的环境集合，让库吸纳新环境与新兴失败模式；把失败分类法从文本表面形式扩展到时序签名（延迟、并发、部分写入），使反思策略能预判更广的部署故障；测试技能库跨容量（8B 之外）的迁移性以及技能是否能在环境间组合，把它从配方附属品变成可复用资源；ORPO 的特权槽接受任何环境级产物，可用同一估计器蒸馏比反思规则更丰富的目标，例如验证过的子计划或工具契约。基于其成果可延伸的方向：其一，把技能库开放为社区共享的'agent 故障运维手册'生态，不同团队贡献各自环境的坏模式与恢复规则；其二，多智能体协作场景下的技能共享——一个 agent 的失败经验即时供其他 agent 复用；其三，课程式技能注入，先硬失败（状态码明确的八族）后软失败（内容说谎类），可能加速训练收敛；其四，将 ORPO 的置信度加权与过程奖励模型结合，做更细粒度的 credit assignment；其五，利用技能记录中现成的可逆性与部分效应标志，把反思扩展为安全关键场景下的风险感知行动选择——不可逆操作前主动询问用户而非盲试。
复现评估
开源情况非常好：代码在 GitHub（RUC-NLPIR/Agent-Reflex），模型与数据在 HuggingFace collection（dongguanting/agent-reflex），具体包括 Agent-Reflex-8B checkpoint、ReSFT 与 ORPO 全部训练数据（54K 轨迹）、含 1,170 条技能的完整技能库（environment_skills.jsonl，附录 E.3 还给出五个不同域的技能样例）、训练与评测代码、所有训练任务标识符以及工具故障注入器。评测协议可复现性强：每个分数为 3 次独立运行均值，全部使用各基准官方指标与标准 MCP 格式，污染控制写得明确（环境族级别划分数据、生成指令与技能文本对基准做近似重复检查、参考答案不进入任何分析器/教师/用户模拟器 prompt），ToolSandbox 的 200 任务子集也公开标识符。难点在于从零复现完整 RSD 阶段：环境构建 agent 是 GPT-OSS-120B、分析器是 DeepSeek-V4-Flash、用户模拟器是 GPT-4.1，均需外部 API；9 模型池（含 284B 的 DeepSeek-V4-Flash）全量轨迹采样与 9 个 benchmark 的 177,700 次工具调用重放，推理成本可观。训练侧门槛中等：SFT 用 LLaMA-Factory、RL 用 VERL，8B 模型 100 步 RL（$G=8$）在多卡环境数天可完成。综合评估：直接用发布数据复现 ReSFT+ORPO 训练为中等难度，是多数团队的实际路径；从零复现含 RSD 的全管线为较高难度，主要卡在 API 依赖与采样算力。
论文图表
四子图：(a) 理想化交互——既有环境假设任务固定、工具反馈干净可靠；(b) 真实世界噪声交互——多轮对话中用户会中途纠正，环境会返回超时、服务不可用等噪声反馈；(c) GPT-5.2 与 Claude-4.5-Sonnet 在 Airline/Retail/Delivery/Instore 四域上无噪声、用户噪声、工具噪声三种设置下的成功率对比，两类前沿模型在噪声下均显著退化；(d) 从 24,510 条真实错误返回中挖掘的八类工具错误占比：服务/网关不可用 33.57%、认证/权限失败 17.90%、请求超时 14.69%、资源未找到 10.47%、参数/验证失败 10.24%、执行异常 8.28%、速率限制 4.55%、网络连接失败 0.29%。
这张图是全文 motivation 的实证基石：它同时证明了'噪声交互是真实且普遍的'（d 的统计）与'连最强模型都扛不住'（c 的退化曲线），读者由此理解为什么反思恢复能力必须成为训练目标而非推理时补丁。
在 AgentNoiseBench-τ² 与 AgentNoiseBench-Vita 上报告 Clean、Tool Noise、User Noise 三列及平均。Agent-Reflex-8B：ANB-τ² clean 62.1/tool 38.4/user 53.4/avg 45.9，ANB-Vita 17.5/9.4/15.2/12.3，Overall 29.1，为 8B 最高（NoisyAgent 25.9、EnvScaler 18.2、backbone 12.3）。基础模型同样大幅退化：GPT-5.2 55.8、Claude-4.5-Sonnet 51.0。论文强调该基准对本文是完全 OOD：噪声分类与注入器均独立于训练设计。
这是噪声鲁棒性主张的主证据：由于训练噪声与评测噪声来源、环境、注入过程完全不同，此表衡量的是反思能力向未见扰动的迁移，而非对见过的噪声分布的记忆，是本文区别于噪声增强训练的关键检验。