CASEL: 面向可靠长程工具使用智能体的后果感知选择性执行

1. 问题与价值

CASEL 解决的是「工具型语言智能体在长轨迹中何时该对一次具体工具调用投入多少审查成本」这一分配问题。现有智能体会修改外部系统，例如生成多厂商光传输网络的设备配置，一次错误变更可能影响在线业务。但运行时防护大多用两类粗糙信号决定审查力度：一类是通用不确定性分数，另一类是粗粒度的变更启发式规则。两者都回答不了同一个核心问题：两个动作可能都是改写操作、失败概率也一样，但一个落在可回滚的沙箱配置上、重试几乎无成本，另一个是不可逆的转账，错了就是真金白银 —— 变更启发式只分得出「改没改」，分不出这一层。

这个问题重要，因为审查资源——验证、沙箱、人工审批——都是有限的。把审查均匀撒在所有动作上，要么浪费算力和人力，要么在真正高危动作上审查不足。CASEL 的受益者是部署工具型智能体的工程团队：不重新训练基座模型，加一个模型无关的运行时层。但别把它读成「把裸置信度换成后果加权的风险」—— 输入是五个信号（校准失败概率、状态依赖后果、可逆性、模糊性、证据新鲜度），输出是在六种干预模式（直接执行、验证、沙箱、澄清、审批、弃权）之间按每种模式的成本取最小。

这一点很关键，因为单纯按「失败概率×后果」排序的门控已经能把有害轨迹压到 5.82%（平均危害 0.120），数字上比 CASEL 的 7.02%/0.123 还略好 —— 代价是多送 45% 的动作去人工审批。所以 CASEL 的卖点是「安全相当的前提下省掉这些审批」，不是把危害压得更低；只引 14.75%→7.02% 会把它的贡献读反。消融也支持这个读法：去掉可逆性感知路由后，有害轨迹率回升到 15.53%，比纯不确定性门的 14.75% 还高。

2. 已有工作的不足

在 CASEL 之前，最接近的做法可以分成几类，每一类都在某个具体环节上不够。

第一类是纯不确定性门控，例如 REFLEX 在快速决策层不确定时调用强 LLM。它的不足在于排序信号只有模型置信度，完全不看动作后果。一个低置信度的只读操作和一个低置信度的不可逆操作会被同等升级，导致审查资源错配。

第二类是纯后果门控或变更门控，例如 SABER 专门防护 mutating 步骤，AgenTRIM 执行自适应最小权限。它们的不足是只按动作类型或变更性质触发防护，不结合失败概率。一个高失败概率的可逆编辑和一个低失败概率的可逆编辑，在变更门控下可能得到相同处理。

第三类是澄清与弃权机制，例如 SAGE-Agent 按信息价值选择澄清问题，AgentAbstain 测试智能体是否知道何时不该行动。它们的不足是只覆盖「意图缺失」这一种失败来源，不解决「意图清楚但执行可能出错且后果严重」的情况。

第四类是事务性隔离，例如 Cordon 把多步效果组织成语义事务。它的不足是提供了一种干预手段，但没有回答「什么时候该用这个手段」——手段本身不构成分配策略。

论文用表 1 把这些方法按问题焦点、粒度、风险信号、干预空间做了对比，核心判断是：这些机制处理不同失败来源，但都留下一个共同的分配问题——在某个具体动作被允许改变世界之前，该花多少审查成本。CASEL 的定位不是另一个不确定性门，而是一个运行时分配策略，它把现有安全机制当作自己的干预分支来调用。

3. 重建作者的思考路径

如果我从第 2 项的不足出发，最自然的起点是：既然不确定性门控和后果门控各看一个维度，那把它们乘起来不就行了？失败概率乘以后果，得到一个期望危害 r = p × c，按这个乘积排序，把审查资源给乘积最高的动作。这个想法很直接，论文里的 Risk-Menu 就是这个基线。

但马上会撞上第一个矛盾：乘积排序只告诉你「该审查谁」，没告诉你「审查到什么程度」。一个高风险动作是该验证、该沙箱、还是该直接送人工审批？乘积分数本身不区分这些干预的代价和残余风险。验证便宜但只能把失败概率降到原来的 0.42 倍，人工审批贵但能把残余风险降到 0.04 倍。如果只看乘积，你会倾向于把所有高风险动作都送审批，导致人工成本爆炸。

于是自然会想到第二步：给每种干预模式定义一个成本函数，包含残余风险、计算成本、交互成本三项，然后选成本最低的模式。这就是论文里的 J(m) = γ_m × r_hat + λ × k(m) + µ × q(m)。这个形式很自然，但有一个隐藏的坑：它假设所有模式对所有动作都可行。实际上，沙箱只对可逆变更有意义，审批只对可补偿或不可逆动作有意义。如果不在成本函数之外加一个可行性约束，优化器会把不可逆动作送进沙箱——这在语义上是错的。

这就引出第三步：引入可逆性类别 ρ_t，用它来裁剪可行模式集合 M_t(ρ_t)，而不是把它塞进后果分数里缩放。这个设计选择不是显然的。一个更偷懒的做法是把可逆性作为后果的折扣因子，但那样会丢失「沙箱对不可逆动作根本不可用」这个硬约束。

走到这里，又会发现一个新问题：直接执行本身没有经过任何校准。如果 p_hat 是一个没校准的原始分数，那么「直接执行」这个选项的风险项就是垃圾。所以需要把直接执行形式化为选择性预测：在验证集上校准分数，然后用一个有限样本阈值保证直接执行集合的总体风险不超过预设的 ε。这一步把整个框架从启发式提升到了有统计有效性条件的层次。

还有一个分叉是轨迹级风险预算。直觉上，长轨迹里累积风险应该有个上限，超过就升级干预。论文确实实现了这个 ledger，但实验结果是负面的：CASEL+Budget 的 HSR 反而升到 11.82%。回头看原因，ledger 的前提是 r_bar_t 必须在每一步上界真实条件危害，而校准的点估计做不到这一点——论文报告这个前提在 54% 的直接执行步骤上失败。这是一个典型的「直觉上合理、前提在实践里不成立」的试错。

与论文实际路径的差异：我猜的路径是从「乘积排序」直接跳到「成本函数」，中间把可逆性当作后果折扣因子。论文实际走的路更早地把可逆性独立成一个可行性约束，并且把选择性预测的统计有效性条件作为直接执行的理论基础单独成节。我猜的路径里没有预见到轨迹级 ledger 会是一个负结果——我可能会把它当作一个自然扩展写进主方法，而论文把它放在可选模块里，并且用实验证明它不划算。另外，我一开始不会想到把「模糊性」和「证据新鲜度」作为独立信号——这两个更像是从失败案例分析里倒推出来的，而不是从分配目标里推导出来的。

4. 核心 intuition

用一个日常类比：CASEL 像一个急诊分诊台，但它不是按病人喊得响不响来排序，而是按「病情严重程度 × 恶化概率」来分配资源，并且根据病情的可逆性选择不同的处置通道。

具体对应机制是这样的：一个病人说自己头疼，喊得很大声，相当于模型不确定性很高；但如果头疼大概率是普通感冒，后果轻，分诊台不会把他送进 ICU。反过来，一个病人安静地捂着胸口，相当于不确定性中等，但如果是心梗后果极重，分诊台会直接送抢救。这就是 p_hat × c_hat 在起作用。

但分诊台不会对所有高危病人都做开胸手术。有些病人可以先做无创检查，相当于 verify；有些可以留观，相当于 sandbox；只有真正不可逆的才送手术室，相当于 approve。这就是可逆性裁剪可行模式集合。分诊台也不会因为一个病人已经在急诊室待了十个小时、前面已经花了很多资源，就突然降低他的处置标准——这对应论文里轨迹预算的失败：账本在轨迹后期把低风险动作升级，反而浪费了资源。

这个类比能对上机制的关键在于：分诊的核心不是「找出谁最危险」，而是「在给定资源下，让每个病人得到与其风险相称的处置级别」。CASEL 的 J(m) 就是在算「这个处置级别的总代价」，选最小的那个。

5. 方法 pipeline 举例

编一个具体输入：一个网络运维智能体，在第 17 步提议一个工具调用 a_t = (zt, θt)，其中 zt 是「修改光传输网络的路由配置」，θt 包含目标设备和新的路由参数。历史 h_t 里有用户目标「把流量从拥塞链路切走」、前 16 步的观察和动作记录。

第一步，估计失败概率。控制器拿到一个原始分数 u_t = 0.31，经过在验证集上拟合的 isotonic 回归校准器，得到 p_hat_t = 0.20。这个校准器把原始分数映射成经验失败概率。

第二步，估计后果。cbase(zt) 从工具元数据里查到：写访问、高权限、影响在线服务，基础严重度是 0.75。Mscope(θt, h_t) 评估影响范围：这次变更涉及 3 条活跃链路，回滚成本中等，幅度因子是 0.8。于是 c_hat_t = clip(0.75 × 0.8, 0, 1) = 0.60。期望危害 r_hat_t = 0.20 × 0.60 = 0.12。

第三步，判断可逆性。这个动作修改的是可回滚的路由配置，属于可逆类 ρ_t = reversible。按原文 Figure 1(b) 的算例，同一个 p_hat = 0.20 下，可逆编辑的最优模式正是 sandbox（代价 0.045，低于 verify 的 0.054 和 direct 的 0.080）；而不可逆承诺（如对外转账）才走 approve。可逆性不是二分类，sandbox 的适用条件就是「变更可回滚或存在 dry-run 接口」。

第四步，检查模糊性和新鲜度。g_t = 0.05，低于阈值 τ_g = 0.2，不需要澄清。d_t = 0.1，低于阈值 τ_d，证据不算陈旧，不需要强制重读。

第五步，计算各模式的成本。论文图 1 的名义参数是 λ = 0.02，µ = 0.015，四个模式的残余乘数 γ_m 分别是 direct 1.00、verify 0.42、sandbox 0.15、approve 0.04，计算成本 k(m) 分别是 0、1、1.6、2.2，交互成本 q(m) 分别是 0、0、0.04、0.65。代入 J(m) = γ_m × r_hat + λ × k(m) + µ × q(m)：

• direct：1.00 × 0.12 + 0.02 × 0 + 0.015 × 0 = 0.120
• verify：0.42 × 0.12 + 0.02 × 1 + 0.015 × 0 = 0.0504 + 0.02 = 0.0704
• sandbox：0.15 × 0.12 + 0.02 × 1.6 + 0.015 × 0.04 = 0.018 + 0.032 + 0.0006 = 0.0506
• approve：0.04 × 0.12 + 0.02 × 2.2 + 0.015 × 0.65 = 0.0048 + 0.044 + 0.00975 = 0.05855

第六步，选最小成本。sandbox 的 J = 0.0506 最低，所以这个动作被送进沙箱执行。如果这是一个不可逆动作，sandbox 不可行，那么 approve 的 J = 0.05855 会低于 verify 的 0.0704，动作会被送人工审批。

对比：如果只看不确定性 p_hat = 0.20，这个动作和论文图 1(b) 里那个 p_hat = 0.20 但 c_hat = 0.05 的只读搜索动作会被同等对待——而后者在 CASEL 下会直接执行，因为它的 r_hat = 0.010，direct 成本 0.010 低于 verify 的 0.024。

6. 核心数学推导

先解释符号。X 是一个动作记录，包含该动作的特征和上下文。S(X) 是一个标量分数，用来给动作排序——在 CASEL 里就是估计的期望危害 r_hat = p_hat × c_hat。L(X) 是真实的有害损失标签，取值在 0 到 1 之间，论文里定义为 c × F，即真实后果乘以真实失败指示。τ 是一个阈值，分数不超过 τ 的动作进入直接执行集合 A_τ。选择性风险 R(τ) 是 A_τ 内动作的平均真实损失，覆盖率 C(τ) 是动作落入 A_τ 的概率。目标是在 R(τ) ≤ ε 的约束下最大化覆盖率。

推导从 Hoeffding 不等式开始。假设我们有 n_τ 个落在 A_τ 里的校准样本，它们的损失 L_i 独立同分布，均值是 R(τ)，每个损失都在 0 到 1 之间。Hoeffding 不等式说，经验均值 R_hat(τ) 偏离真实均值超过某个量的概率有上界。具体地，对于固定的 τ，以至少 1 - δ 的概率有：

R(τ) ≤ R_hat(τ) + sqrt(ln(1/δ) / (2 × n_τ))

这个式子的含义是：真实风险不会比经验风险高出右边那个 Hoeffding 松弛项太多。n_τ 越大，松弛项越小，因为分母变大；δ 越小，松弛项越大，因为我们要更高的置信度。

但这里有个问题：我们不是只看一个固定的 τ，而是在一个包含 K 个阈值的网格里选阈值。如果对每个阈值都用置信度 1 - δ，那么同时对所有阈值成立的概率会低于 1 - δ。解决办法是 union bound：把每个阈值的失败概率 δ/K 加起来，总失败概率不超过 K × (δ/K) = δ。于是对网格里的每个阈值，把 δ 换成 δ/K，得到论文的公式 (5)：

R_hat(τ) + sqrt(ln(K/δ) / (2 × n_τ)) ≤ ε

这个公式在算什么：它在算「在给定置信度 1 - δ 下，哪些阈值可以保证直接执行集合的真实风险不超过 ε」。满足这个不等式的阈值被认证为有效的，然后选其中覆盖率最大的那个。论文的 Proposition 1 把这个直觉形式化：固定 scorer 和网格，校准记录独立同分布且与拟合校准器的数据不相交，那么以至少 1 - δ 的概率，每个满足公式 (5) 且 n_τ > 0 的网格阈值都有 R(τ) ≤ ε。

证明思路很直接：给定成员指示器后，A_τ 里的 n_τ 个损失是独立同分布的，均值是 R(τ)，所以 Hoeffding 界对每个 τ 在水平 δ/K 成立；union bound 覆盖整个网格。

论文还讨论了作用域的两个限制。第一，轨迹内的动作是相关的，交换性不够，所以校准时每条轨迹只取一个记录。第二，这个界覆盖的是整个 A_τ，不是从中进一步挑选的子集——进一步挑选可能集中高损失动作。要覆盖部署策略，公式 (5) 必须应用到完整策略 π_τ 直接执行的集合上，其指示器是轨迹前缀的固定函数。

7. 实验设计

数据集是受控模拟器，不是真实基准。每个种子有独立的 40,000 动作校准集和 6,000 条测试轨迹，每条轨迹 20 个动作，所以测试动作数是 6,000 × 20 = 120,000。动作类型分布是只读 58%、可逆 28%、不可逆 14%。真实失败概率来自类别相关的 Beta 分布，加上轨迹级难度扰动来制造轨迹内相关性。后果分布按三个类别分别集中在 0.02 到 0.20、0.15 到 0.70、0.55 到 1.0 区间。控制器看到的是带噪声的原始失败分数和带噪声的后果估计。结果平均 20 个种子。

基线分三组。第一组是固定策略：Base 不做任何干预，Always-Verify 全部验证，Mutation-Gated 只对变更类动作验证。第二组是 verify-only 门控：按 p_hat 或 c_hat 排序，验证排名最高的动作。第三组是 menu 门控：按 p_hat、c_hat 或 p_hat × c_hat 排序，给排名最高的动作其最强可行干预——可逆动作沙箱、不可逆动作审批、否则验证。CASEL 最小化 J(m)。消融包括 CASEL-NoRev（只验证，去掉可逆性路由）、CASEL+Budget（加轨迹账本，B_H = 0.08）、CASEL-Uncal（用原始分数不用校准）。所有 menu 方法和 CASEL 都匹配到同一计算成本 0.486。

指标有六个：任务成功率（无失败动作的轨迹占比）、有害副作用率 HSR（至少一个真实后果 c_t ≥ 0.45 的失败动作的轨迹占比）、平均归一化危害 MNH（每条轨迹上 Σ c_t × F_t 的均值）、直接执行覆盖率、成本（每个动作的平均 k(m)）、审批率。动作失败用每个动作共享的一次均匀抽样决定，保证配对结果可比。

实验能否支撑结论：能支撑「在模拟器假设下，后果加权分配优于不确定性排序」这个排序性结论，但论文自己明确说「干预有效性是假设的，不是测量的」。缺的东西很明显：没有在真实基准上估计 γ_m，没有验证模拟器里的 γ_m 常数是否反映真实验证器和回滚机制的效果。论文第八节把 τ²-Bench、WebArena、AgentDojo 等真实评估列为「计划中，尚未运行」。

8. take-aways

• 在相同干预菜单和相同计算成本 0.486 下，CASEL 的 HSR 是 7.02%，比 Uncertainty-Menu 的 14.75% 低 7.73 个百分点，95% 置信区间是 −7.87 到 −7.60。
• 简单的乘积排序门 Risk-Menu 在 HSR 上比 CASEL 还低（5.82%），但审批率高出约 45%：Risk-Menu 12.6% 对 CASEL 8.7%，即 12.6 − 8.7 = 3.9 个百分点，相对增幅 3.9 / 8.7 ≈ 44.8%。CASEL 的价值主要在减少人工审批，不在进一步降低危害。
• 去掉可逆性路由后，CASEL-NoRev 的 HSR 从 7.02% 升到 15.53%，MNH 从 0.123 升到 0.194，说明匹配干预方式与动作可逆性是主要收益来源。
• 轨迹级风险预算在相同计算成本下反而提高 HSR 到 11.82%，且其前提在 54% 的直接执行步骤上失败——校准点估计不能上界真实条件危害。
• 按 p_hat × c_hat 排序的选择性风险 AUC 是 0.00533，比按 p_hat 排序的 0.01050 低 49.2%，即 0.01050 − 0.00533 = 0.00517，0.00517 / 0.01050 ≈ 49.2%。

9. 最脆弱的假设

最脆弱的假设是：干预模式的残余乘数 γ_m 是已知且稳定的常数。整个 J(m) 的成本比较、所有模式选择、以及「CASEL 比 Risk-Menu 少 30% 审批」的核心卖点，都建立在 γ_m 的数值上。模拟器里 direct、verify、sandbox、approve 的 γ_m 分别是 1.00、0.42、0.15、0.04。如果真实部署中验证器的效果远差于 0.42——比如只能把失败概率降到原来的 0.8——那么 verify 的成本优势会消失，更多动作会被推向审批，CASEL 退化成 Risk-Menu。反过来，如果审批的残余风险远高于 0.04，那么连审批都不足以兜底，整个框架的安全承诺落空。

论文自己有没有给出这个假设成立的证据？没有。论文在摘要和第八节都明确承认「干预有效性是假设的，不是测量的」，并且把「从真实验证器和回滚结果估计 γ_m」列为计划中但未运行的评估。第六节的 misspecification 测试把每个干预的有效性减半，CASEL 的 HSR 升到 21.0%，虽然仍低于 Uncertainty-Menu 的 24.3%，但绝对危害已经翻了三倍——这说明排序的稳健性尚可，但绝对安全水平完全依赖 γ_m 的准确性。这是一个论文自己承认但未解决的核心脆弱点。

10. 一周最小复现

目标：复现论文的核心排序结论——在相同菜单和成本下，后果加权分配比不确定性排序降低 HSR，且 CASEL 比 Risk-Menu 少审批。

不需要真实 LLM 或真实工具。核心是复现模拟器。步骤：

第一天，写模拟器。按论文第六节 A 的协议：生成 20 个种子的数据，每个种子 40,000 校准动作和 6,000 条测试轨迹，每条 20 动作。动作类别按 58% 只读、28% 可逆、14% 不可逆采样。真实失败概率从类别相关的 Beta 分布采样，加轨迹级扰动。后果按三个区间采样。给控制器加噪声分数。实现 isotonic 回归校准——用 scikit-learn 的 IsotonicRegression 即可。

第二天，实现四个干预模式的成本计算。参数用论文的：γ_m 为 1.00、0.42、0.15、0.04，k(m) 为 0、1.0、1.6、2.2，q(m) 为 0、0、0.04、0.65，λ = 0.02，µ = 0.015。实现五个比较器：Uncertainty-Menu、Consequence-Menu、Risk-Menu、CASEL、CASEL-NoRev。匹配计算成本到 0.486——论文说 CASEL 的成本权重因子是 0.58 ± 0.02，可以用这个因子缩放 λ 和 µ 来匹配。

第三天，跑主实验。20 个种子，每个种子 120,000 测试动作，纯 CPU 计算，几分钟就能跑完。记录 HSR、MNH、审批率、任务成功率。验证 CASEL 的 HSR 是否在 7% 左右，Uncertainty-Menu 是否在 14.75% 左右，Risk-Menu 是否在 5.82% 左右且审批率约 12.6%。

第四天，跑消融。CASEL-NoRev 应该把 HSR 升到约 15.53%。CASEL+Budget 用 B_H = 0.08，HSR 应该升到约 11.82%。CASEL-Uncal 用原始分数，HSR 应该约 8.22%。

第五到七天，跑选择性风险曲线和阈值规则。按 p_hat、c_hat、p_hat × c_hat 三种排序画风险-覆盖率曲线，验证乘积排序的 AUC 约 0.00533，比不确定性排序的 0.01050 低约一半。实现公式 (5) 的阈值规则，用 20 点网格、δ = 0.1，扫 ε 从 0.006 到 0.016，验证在 ε = 0.014 时规则在所有种子绑定，真实选择性风险不超过 ε。

预期指标：CASEL HSR 约 7.02%，Uncertainty-Menu 约 14.75%，Risk-Menu 约 5.82% 且审批率约 12.6%，CASEL 审批率约 8.7%。一张 24GB 显卡完全够用，甚至纯 CPU 也能跑，因为模拟器没有神经网络前向。

11. 反例设计

要推翻本文核心主张——「按后果加权风险分配审查优于按不确定性分配，且按模式成本选择能减少审批」——可以设计这样一个实验：把干预有效性从常数改成与动作特征强相关，且相关性方向对 CASEL 不利。

具体设计：让 verify 的残余乘数 γ_verify 不再恒为 0.42，而是与动作的后果类别相关。对于高后果动作，让 γ_verify 升到 0.85——即验证对真正危险的不可逆动作几乎无效；对于低后果动作，让 γ_verify 降到 0.10——即验证对无害动作很有效。同时让 approve 的 γ_approve 对高后果动作升到 0.30——即人工审批也不够可靠。

判据：如果在这个设置下，CASEL 的 HSR 不再显著低于 Uncertainty-Menu，或者 CASEL 的审批率不再显著低于 Risk-Menu，那么论文的核心主张就被推翻。更精确地说，如果 CASEL 的 HSR 与 Uncertainty-Menu 的配对差异的 95% 置信区间包含 0，或者 CASEL 的审批率与 Risk-Menu 的差异不再显著，就说明「按模式成本选择」的优势完全依赖 γ_m 是常数这个假设。论文自己的 misspecification 测试已经暗示了这个方向——把 γ_m 统一减半后 CASEL 的 HSR 升到 21.0%，但那个测试没有让 γ_m 与后果相关。让 γ_m 与后果负相关，会直接打击 CASEL 把高后果动作送审批的决策逻辑：如果审批对最危险的动作恰好最无效，那么 CASEL 的整个分配策略就失去了安全收益，只剩下审批成本。

12. 落地判断

能用于「抢占式 GPU 自托管 27B 模型做多智能体脚手架」，但有一个关键前提和几个坑。

怎么用：CASEL 是一个模型无关的拦截层，只需要在工具调用点插入一个代理或钩子。在自托管 27B 模型的多智能体脚手架里，可以在每个 agent 的工具执行器前面加一个 CASEL 控制器。控制器需要五个信号：失败概率 p_hat 来自 27B 模型自身的 logits 或一个轻量分类器，后果 c_hat 来自工具元数据表，可逆性 ρ_t 来自工具注册表，模糊性 g_t 和新鲜度 d_t 需要额外的小模型或规则。干预分支可以直接复用现有组件：verify 用一个更强的模型或执行后检查器，sandbox 用容器快照或 fork 环境，approve 走人工队列。

成本量级：CASEL 本身的计算开销很小——每个动作只做一次标量乘法和几次比较，加上校准器的查表。主要成本来自被升级的动作：verify 分支每次调用一个验证器，sandbox 分支需要环境快照，approve 分支消耗人工。论文模拟里 CASEL 的平均计算成本是 0.486，对应约 69.1% 的动作直接执行、约 8.7% 送审批。在自托管场景里，verify 可以用同一个 27B 模型做一次额外的检查前向，单次成本大约是生成一个短回答的算力；sandbox 的快照成本取决于环境，对代码执行类工具可能是秒级的容器启动。

最大的坑：γ_m 是未知的。论文的模拟器假设 verify 能把失败概率降到 0.42 倍，但你的 27B 模型做验证器的实际效果可能远差于此。如果 verify 的残余乘数实际是 0.8 而不是 0.42，那么 CASEL 会把大量动作错误地留在 verify 而不是升级到 approve，导致实际危害远高于预期。落地前必须先在一批带标注的轨迹上估计你自己的 γ_m，否则整个 J(m) 的比较是建立在空气上。第二个坑是 p_hat 的校准：27B 模型在自托管场景下的 logits 校准会随 prompt 格式和工具描述漂移，需要定期用 100 到 200 条目标域标签重新校准——论文引用的 RAGScope 经验是跨源迁移差，但用少量目标标签能恢复。第三个坑是抢占式 GPU 的延迟波动：如果 verify 分支的额外前向在 GPU 被抢占时排队，交互成本 q(m) 会飙升，而论文的 q(m) 是固定常数，没有建模这种动态成本。