AgentRewind：面向长周期 LLM Agent 的可恢复执行框架

长程执行里的早期错误会同时进入智能体上下文和受控环境，后续动作往往无法把轨迹拉回可完成状态。

• 场景：作者认为真实任务常需要长程工具交互，如迭代科学实验、跨应用流程和仓库级软件工程。早期错误计划、删除关键文件或污染配置与数据库，会使后面的步骤在退化环境中继续。
• 现有不足：作者称现有方法主要靠执行前的计划修正和执行中的安全检查来减少错误。即便单步出错概率低，累积失败风险仍随轨迹变长，出错之后的恢复支持不足。
• 观察：标准执行只能把轨迹向前延长。错误前缀会进入后续上下文和环境状态；智能体后来即使识别错误，也只能追加纠正动作，未必能完全逆转已经发生的状态变化。
• 提出的系统：作者提出运行时框架 AgentRewind，记录对齐的上下文与受控环境检查点，让智能体回到较早状态，并带着先前尝试的摘要继续执行。同时构建 MettleBench，评测含一系列相关需求的长程工程作业的完成情况和部分进度。

长程交互评测

• 具身、科学与网页：ALFWorld、ScienceWorld、WebShop评测相应环境中的长程交互（Shridhar等2021；Wang等2022；Yao等2022）。
• 编程与数据库：InterCode与SWE-bench研究交互式编程和仓库级软件工程（Yang等2023；Jimenez等2024；Yang等2024）。Spider 2.0、CoSQL、BIRD-INTERACT关注多轮数据库任务（Lei等2025；Yu等2019；Huo等2026）。
• 计算机使用：TheAgentCompany与Odysseys把评测扩展到现实计算机使用任务。作者称即便较强模型也经常完不成长程任务（Xu等2025；Jang等2026）。

执行期可靠性

• 动作生成：论文点名ReAct、SayCan、LATS，称它们用推理、规划、搜索和环境模型引导行为；同段还引用Erdogan等2025、Zhou等2024、Koh等2025、Chae等2025。
• 风险监测：Wang、Poskitt与Sun（2026）、Xiang等（2025）、Liu等（2026）在执行中识别风险行为。引言把计划修正和安全检查并列，称它们对错误打乱执行之后的恢复处理不足。
• 既往尝试：Self-Refine、Reflexion、ExpeL用先前尝试的反馈修改后续决策（Madaan等2023；Shinn等2023；Zhao等2024）。Zhu等（2025）与Barke等（2026）从已完成轨迹诊断失败原因。作者称这些方法对执行途中出错后的恢复支持很少。

回滚

• 智能体回滚：GA-Rollback在可重放环境中做逐步恢复（Li等2025）；WebRollback专门处理浏览器导航（Zhang等2026）。作者称DART为结构化工具智能体选择语义上有效的恢复点，但依赖显式控制流和恢复边界，对开放式轨迹的适用性受限（Yang等2026b）。
• 系统级检查点：DMTCP与CRIU恢复进程状态（Ansel、Arya与Cooperman 2009；CRIU Project 2026）。DeltaBox把这类机制扩展到智能体沙箱，以回滚文件系统和进程状态（Dong等2026）。作者称这些系统主要提供低层回滚，而不是面向长程执行的智能体级恢复过程。

基线与基准

• 基线方法：Continue、Restart with Experiences、Safety Review（以AgentDoG审查每个拟执行的工具动作），以及AgentRewind。
• 基准：主评测是MettleBench，82个任务，制品来自Terminal-Bench 2.0、ProgramBench、SWE-bench、ProjectEval、GitTaskBench。另在完整Terminal-Bench 2.0的89个任务上比较三种策略。

作者把区别放在同时恢复上下文和受控环境，并保留先前尝试的回退记忆，使智能体在当前轨迹无法继续时回到较早检查点并换一条后缀。

AgentRewind 位于智能体和受控外部环境之间：正常执行时透明记录轨迹，回退时把两侧恢复到同一检查点，并注入累计的回退记忆。

前向执行与检查点

• 循环：给定指令x，智能体通过工具改变受控环境。第t步从上下文ct产生决策ut，环境按转移得到下一状态和观察，上下文再并入该决策与观察。
• 检查点：每个LLM决策边界记录一个可恢复检查点。d_t=(c_t,s_t)表示当时对齐的上下文和环境状态。元数据ηt描述dt到下一检查点之间的片段，用来向智能体展示可选位置。
• 不能只向前补救：轨迹在标准执行中只增长。早期决策引入的错误会进入其后的上下文和状态，后续动作追加在错误前缀之后。

回退动作

• 选择：智能体判定当前轨迹无法再推进时，依据上下文和元数据选择dk，其中k不超过当前步，并从当前轨迹生成回退记忆m。
• 记忆：m并入历史集合M。作者举例，记忆可概括已被否定的假设和替代策略。
• 恢复后继续：环境回到sk，上下文改为把全部M注入ck后的结果，再从这里生成新后缀。保留前缀从执行日志恢复，不重新生成、也不重新执行，因此前缀副作用不会再次触发。
• 两个工具：backtrack_candidates列出可作为目标的LLM记录；backtrack_commit提交目标并附带记忆说明。工具结果不返回给当前循环，而是由运行器在会话外接住并重启。附录Figure 8给出工具定义。

记录内容与恢复边界

• 记录：任务指令、LLM输入输出、工具调用和结果，以及工具造成的受控环境变化。记录本身不改变正常交互。
• 工作区：可恢复的受控环境是工作区目录树，本地运行或隔离容器都一样。检查点记录文件级变化；回退会撤销其后的修改、恢复被删文件、删除新建文件。
• 边界：工作区文件系统之外的效果不能撤销，作者列举网络请求、外部服务调用和外部运行时状态。附录C.5写明，工作区内.git默认不进快照；子目录中的.git另有副本，工作区根目录的.git回退后保持不动。82个任务中，4个把仓库放在子目录因而可完整恢复，其中包括所有涉及改写历史的任务；2个任务本身就是仓库；76个不含仓库。空目录以及可执行位以外的权限位也不恢复。

MettleBench如何定义任务

• 构成：82个任务保留五个来源的工程制品和可执行环境，并把指令改写成含一系列相关需求的作业。任务写成指令、初始状态、决策空间和有序验收标准。640条标准，每题5至12条，均值7.80、中位7（附录Table 7）。
• 成功：最终状态只有满足全部标准才算成功。Succ(s_T)=\bigwedge_{i=1}^{n}(g_i(s_T)=1)即这一条件。部分进度是最长已满足前缀的长度除以标准总数，用来区分未完成任务走到了哪里。
• 提交协议：清单对智能体隐藏。每次提交只返回第一个未满足项的自然语言反馈，且不点名造成失败的命令、脚本或清单内部实现。各项共享环境，满足一项可能促进或妨碍后面的项，后面的动作也可能使前面的项失效。基准不要求使用某种恢复机制。
• 准入：标准由LLM智能体按作者所定协议起草，通过确定性检查后纳入。参考解必须一次满足全部标准；违反依赖顺序的运行必须在被去掉前提的那一项失败；交付时的工作区必须失败。附录A.6还要求至少四个顺序阶段、至少五条标准，后续交付物至少两处引用先前阶段的运行时数值，并包含连续暴露的缺陷或至少30条待重建记录之一。作者做任务级复查，不是逐条手工标注；对抗式LLM评审的维度均分在3.65到5.00，每个被复查任务都被接受（附录A.2）。

实验设置

• 模型：Continue基线覆盖GPT-5.4、GPT-5.4 mini、Qwen3.7-Max、Qwen3.5-27B、Kimi K2.5、DeepSeek-V4-Flash、GLM-5.1。四策略对比只用前两个。除非另有说明，实验使用GPT-5.4和mini-SWE-agent。
• 数据与判定：MettleBench为82个任务、640条标准，成功由任务自带的Python检查器判定，不是LLM评审。附录A.5称82个检查器里只有等待本地gRPC启动的一处可能受计时影响。Terminal-Bench 2.0为89个任务，其标准没有语义顺序。
• 策略：Continue在当前上下文和环境上继续。Restart with Experiences把环境重置到初始状态，新尝试只携带失败经验。Safety Review在Continue之外，用AgentDoG1.5-Qwen3.5-4B于执行前审查每个拟议工具动作，判为不安全则不执行；监视器出错或无法解析时也按不安全阻断。AgentRewind使用可恢复执行。
• 指标：任务成功率是终止前满足全部标准的任务比例。平均清单进度是各任务前缀进度的均值。轨迹长度是记录下来的LLM与工具事件数。Terminal-Bench的部分完成是每任务已满足标准比例的平均。恢复实验另报恢复率，以及相对共享端点的清单进度变化，单位是百分点。
• 终止与解码：不预设墙钟时间、步数或token上限。同一个首个未满足标准连续出现在五次提交中，运行终止并记为失败。模型请求超时600秒。温度0.0；只有Kimi K2.5的Continue基线使用其no-thinking模式指定的0.6。
• 重复：四策略乘两个模型的主对比，每个配置独立运行3次（附录Table 10）。Table 1的七模型Continue对比没有写明重复次数。回退实验每次展示80个候选，回退次数不限。

主结果

下表是两次运行终止后的均值±样本标准差，n=3（Table 13）。SR为任务成功率，进度为平均清单进度。

| 策略 | GPT-5.4 SR | GPT-5.4进度 | mini SR | mini进度 | | Continue | 62.2%±2.1 | 81.4%±1.0 | 33.7%±0.7 | 64.6%±1.1 | | Restart with Experiences | 78.0%±2.4 | 88.8%±1.2 | 43.1%±1.4 | 64.5%±1.3 | | Safety Review | 34.1%±1.2 | 54.4%±2.1 | 36.2%±1.9 | 64.5%±0.8 | | AgentRewind | 87.8%±1.2 | 94.3%±0.5 | 51.2%±4.2 | 73.5%±3.0 |

• Continue的模型范围：Table 1中七个模型的成功率从Kimi K2.5的28.0%到Qwen3.7-Max的73.2%，清单进度从61.3%到84.8%，平均轨迹长度从GPT-5.4的50.5到DeepSeek-V4-Flash的337.2。作者称没有模型做满该基准，轨迹更长并不保证进度或完成更好。正文称GPT-5.4与GLM-5.1成功率接近，但未成功运行的清单进度分别为50.8%和38.1%；论文未写明这两组数字的重复次数。
• 作者对策略曲线的解读：作者称各策略在执行早期都上升，遇到持续失败后分开；Continue最早进入平台，Restart的最终成功率高于Continue，但清单进度增益不一致且波动更大。作者称Safety Review在GPT-5.4下明显更差，在mini上与Continue相当。作者称AgentRewind在基线进入平台后仍继续上升，进度回退少于Restart。Figure 3的横轴在附录B.6中截到1000条记录，图上增益标注可能与终止后的Table 13略有差别。
• 配对检验：附录D以任务为配对单位（n=82），先汇总重复运行再做双侧Wilcoxon符号秩检验。12项比较的方向都偏向AgentRewind，效应量r在0.34到1.00；Holm校正后，11项达到α=0.05。例外是GPT-5.4 mini上相对Restart with Experiences的任务成功率，pHolm=0.102；同对的清单进度比较达到该阈值。

跨harness与Terminal-Bench 2.0

• 三种harness：基座固定为GPT-5.4。mini-SWE-agent上AgentRewind为87.8%（+25.6个百分点）和94.3%（+12.9个百分点）；FnCallAgent从58.5%、77.9%到81.7%（+23.2）、91.4%（+13.5）；CodeAgent从67.1%、83.0%到82.9%（+15.8）、89.7%（+6.7）（Table 3）。作者认为收益来自增加的运行时恢复，而不是某一个harness。
• Terminal-Bench 2.0：Table 2中Continue为78.7%和88.7%，Restart with Experiences为70.8%和79.2%，AgentRewind为83.1%和90.2%。Restart两项都低于Continue。正文称未另作说明时使用GPT-5.4；附录B.2称该实验使用Table 10的基座模型设置，而Table 10列出两个模型。Table 2每策略只有一行，论文未说明该行对应哪一个模型，或是否合并。
• 轨迹分组：Figure 4按各模型三次Continue轨迹长度的中位数做三分位。作者称相对最强基线的优势在短轨迹组较小，在中、长组更大；正文没有给出各组增益的数字。

失败点恢复、消融与案例

• 同一失败端点：从50条因重复失败而终止的Continue轨迹复制上下文和工作区，两侧收到同一恢复提示，失败计数独立重置；只有AgentRewind一侧可以使用回退（附录Table 11，GPT-5.4，mini-SWE-agent）。恢复率从8.0%到30.0%，清单进度变化从5.1个百分点到12.2个百分点（Table 4）。作者称这是从相同的反复失败状态恢复。
• 去掉一个组件：完整系统为87.8%和94.3%。去掉环境回退为43.9%和63.5%，去掉上下文回退为65.9%和77.9%，去掉回退记忆为51.2%和69.4%（Table 5；附录Table 12写明GPT-5.4、mini-SWE-agent、82个任务）。作者称去掉环境回退的下降最大，并称对齐的两侧恢复与回退记忆承担互补功能。
• Astropy FITS案例：对象是GPT-5.4 mini。Continue修过库后用错误模式生成目录，最终清单进度9/10。Restart with Experiences做了26次重启，每次都恢复原始夹具，但也丢掉已完成的库修复，最终8/10。AgentRewind先到8/10，再回到生成目录之前的检查点，保留已验证的库修复并恢复原始夹具，随后通过全部34项测试，达到10/10（Figure 5）。

其他消融与分析

• 敏感性：按单次运行配对时，附录D称各项都不经校正即达到α=0.05，最大p为8.6×10的-3次方。合并运行后的McNemar检验六项均达到该阈值，最大p为1.3×10的-2次方；相对Continue、在GPT-5.4上，一侧成功而另一侧失败的次数为69对6。
• 运行一致性：主对比656个任务–策略–模型组合中，490个（74.7%）三次运行的成败相同。分格从Safety Review加GPT-5.4的48.8%（40/82）到Restart with Experiences加GPT-5.4的90.2%（74/82）。作者称这是各类运行波动的上界，不是检查器噪声的估计。
• 不依赖回退的可解性：某个模型在Continue下至少解出70/82；某种执行策略下至少解出79/82。作者称没有任何运行解出的任务是困难，不是无解，因为参考解满足全部标准（附录A.4）。
• 参考解形态：82份参考解都是无回滚、无重试的线性脚本，非空行均值79.3、中位71、范围16到220，且在新工作区上一次通过全部标准。

作者指出的局限与后续方向

• 只恢复受控状态：Conclusion写明，AgentRewind目前只恢复受控状态。正文的恢复边界把工作区文件系统之外的网络请求、外部服务调用和外部运行时状态列为不能撤销的效果。
• 依赖外部验证：Conclusion写明，它依赖外部验证来识别停滞的执行。
• 跨系统恢复：Conclusion提出，后续工作可能把恢复扩展到跨系统。
• 内部进度评估：Conclusion提出，后续可能开发带有内部进度评估的rewind-aware模型。

实验覆盖范围

• Continue基线：Table 1报告七个基座模型在MettleBench 82个任务上的成功率、平均清单进度和平均轨迹长度；该表未写明重复次数。
• 策略对比：Continue、Restart with Experiences、Safety Review、AgentRewind的对比使用GPT-5.4与GPT-5.4 mini，每配置3次，任务同为82个（附录Table 10、Table 13）。Safety Review的监视模型写明为AgentDoG1.5-Qwen3.5-4B。
• harness：Table 3比较mini-SWE-agent、FnCallAgent、CodeAgent，基座固定GPT-5.4，每套只比较Continue与AgentRewind。
• 另一基准与恢复：Table 2在Terminal-Bench 2.0的89个任务上比较三种策略；基座模型的对应关系论文未单行写明。配对恢复为50个失败端点，组件消融为GPT-5.4加mini-SWE-agent、82个任务（附录Table 11、Table 12）。
• 已报告与未报告的量：终止条件统一为五次相同的首个失败，且不预设步数、墙钟或token上限。附录D报告了以任务配对的Wilcoxon检验、Holm校正和McNemar敏感性分析。论文未报告各策略的token用量。

AgentRewind是长程LLM智能体的运行时恢复层，MettleBench则用来衡量含一系列相关需求的工程作业。

• 要处理的困难：早期错误会写进上下文和受控环境。作者认为计划修正与安全检查主要减少出错，对已经打乱的执行缺少恢复手段。
• 做法：每个LLM决策边界保存对齐检查点。智能体选定历史检查点后，系统从日志恢复前缀、把工作区目录树退回该点，并注入累计回退记忆，再生成新后缀。工作区以外的网络请求、外部服务和外部运行时状态不撤销。任务成功要求最终状态满足全部有序标准，部分进度按最长已满足前缀计算。
• 主对比：MettleBench有82个任务。GPT-5.4上，AgentRewind的成功率和清单进度为87.8%与94.3%，Continue为62.2%与81.4%；GPT-5.4 mini上成功率为51.2%对33.7%（Table 13，三次运行均值）。作者称两个模型上都高于该格最强基线。Safety Review在GPT-5.4上低于Continue。
• 其他证据：三种harness上两项指标都上升（Table 3，GPT-5.4）。50个相同失败端点上，恢复率从8.0%到30.0%（Table 4）。去掉环境回退、上下文回退或回退记忆后，成功率分别为43.9%、65.9%和51.2%（Table 5）。作者称环境回退的下降最大，三部分功能互补。
• 作者的收束：作者称该框架提高了长程设置中的任务成功率和清单进度。作者同时指出，它目前只恢复受控状态，并依赖外部验证识别停滞执行。