SafeActBench 发布：工具型 Agent 在证据到行动链上的失败模式

工具调用在改变外部状态前，是否已有可观测证据支持该行动，现有评测难以把失败定位到证据—行动链的具体环节。

• 为何重要：作者称智能体已不只作答，而会退款、发文件、改记录并触发下游操作。他们把改变应用状态或产生外部效果的工具调用称为 consequential actions。Figure 1 中，对 C2 的退款可以参数正确且成功，但轨迹只核验了 C1，观测证据不支持该行动，缺失支持还会传到下游。
• 现有不足：作者称评测已从静态函数调用转向有状态环境中的任务完成、里程碑、策略与终态。信息寻求、澄清、对环境观测的信任、行动克制或弃权也已被单独研究。作者认为较少被直接刻画的是：每个行动是否由执行前实际建立、并绑定到正确实体与状态的证据所支持。
• 作者的问题：不只问任务是否完成，而问链在何处断开，以及行动结构变复杂时失败如何变化。作者认为信息仍可获取时应继续调查，而不是过早拒绝；支持执行时须用正确工具、目标与精确参数；下游须等待依赖并用实际返回结果。
• 提出的基准：作者把 consequential tool use 写成可观测的 evidence-to-action chain，并构建 SAFEACTBENCH：656 个案例、六个操作域、一个静态判断协议和四个交互协议，配有带出处绑定的 Evidence Ledger 与确定性轨迹评测器。
• 被测设定：论文没有攻击者威胁模型。智能体只见公开任务和工具接口，证据要求与期望行动隐藏；环境为六个合成操作域。exact case success 由确定性评测器判定，不看隐藏推理，不用 LLM judge。

相关工作按第 2 节分成三类；附录 A 用评测属性对照，而不是分数对照。

交互式工具智能体评测

• 状态改变环境：AgentBench、WorkArena、OSWorld、WorkBench、AppWorld（Liu et al., 2024; Drouin et al., 2024; Xie et al., 2024; Styles et al., 2024; Trivedi et al., 2024）把工具调用预测扩展到带状态改变行动的交互环境。
• 更细的完成信号：τ-bench、τ2-Bench、ToolSandbox、AgentBoard（Yao et al., 2025; Barres et al., 2025; Lu et al., 2025; Ma et al., 2024）加入领域策略、模拟用户、更丰富的状态转移和中间进度。作者称这些工作使任务完成评测更接近实际场景；作者改为问：即使结果正确，执行前建立的证据是否支持该状态改变行动。

证据、策略与状态改变

• 风险与策略遵守：Ruan et al.（2024）、Agent-SafetyBench（Zhang et al., 2024）、Zwerdling et al.（2025）、SABER（Cuadron et al., 2026）研究有风险的工具使用、策略违反和状态改变失败。
• 观测信任与终态：EnvTrustBench（Sheng et al., 2026）考察对过时或被操纵观测的过度信任。作者称 Near-Miss（Rabinovich et al., 2026）中，智能体可以绕过策略检查仍到达终态。作者称自己检查的是：支持是否在执行前对特定实体和状态建立，链式行动是否绑定到先前结果与依赖。

信息寻求、弃权与行动校准

• 何时停手：HiL-Bench（Trinh et al., 2026）、澄清时机（Gulati et al., 2026）、Gloaguen et al.（2026）、Agentic abstention（Luo et al., 2026）、AgentAbstain（Liu et al., 2026）研究智能体何时寻求信息、求助、停止或弃权。作者称这些工作把信息获取和行动决策当作评测目标；SAFEACTBENCH 要求在采取该行动时，证据已在观测轨迹中为这个具体行动建立，并覆盖 investigated non-action、行动绑定和行动间依赖。

属性对照与实验对照

• Table 5：对照的是协议是否把某项写成显式计分。✓ 为显式要求，△ 为部分或任务相关覆盖，– 为无显式标准。SAFEACTBENCH 在轨迹检查、行动前证据、实体/状态绑定、结果传递、investigated non-action 上均为 ✓。τ-bench 与 AppWorld 的后四项为 –。ToolSandbox 的结果传递为 ✓，行动前证据、实体/状态绑定和 investigated non-action 为 △。Near-Miss 的行动前证据为 ✓，实体/状态绑定为 △，结果传递和 investigated non-action 为 –。
• 分数基线：主实验没有外部方法的分数基线，比较十组 model–harness 在 SAFEACTBENCH 上的 ECS。附录 E 的 SCGR 以同一主评测为 Baseline。

作者将 SAFEACTBENCH 定位为更宽的 evidence-to-action 视角：显式计分证据是否建立并绑定到相关实体与状态、证据支持的是执行还是 investigated non-action、返回结果是否沿依赖传递；全部用可观测轨迹上的确定性评测器检查。

SAFEACTBENCH 把 consequential tool use 落成可检查的证据—行动链：案例规定行动前要建立的证据、条件成立时支持的行动，以及期望结果或状态变化。路径可以不同，只要证据和依赖满足。

支持关系与不行动

• 证据先于行动：信息收集调用与改变任务相关外部状态的行动分开。行动可以被完整任务状态允许并成功，仍可能不被此前交互支持。Figure 1 中，查询 C1 不能为 C2 建立重复扣款、可退和金额条件。
• 绑定到实体与状态：另一笔费用的金额、另一用户的授权或其他资源的状态，不能仅因数值相同就支持目标行动。标准看执行前可用信息是否建立了该行动使用的实体、状态和取值，不看内部推理。环境中为真但未被观测到的事实，不算已建立。
• investigated non-action：不应产生副作用时，必须先完成能说明原因的调查再停止。更早停止则理由未建立。条件未建立就行动是过早行动。信息仍可获取时，未解析条件应继续调查；调查后必要条件仍未解析或被违反，则应停止。
• 链式依赖：前序结果可以成为后序的必要证据。后序只能在前序完成且必要输出或结果状态可用之后发生。需要确认状态变化时，必须先观测更新后的状态。独立行动可以按依赖允许的任意顺序发生。另一次操作的标识不满足该依赖。

案例结构与五个协议

• 可见内容：智能体只见任务说明和该案例暴露的工具接口。证据要求、期望行动和工作流依赖只用于评测。不提供评测器导出的计划、参考轨迹或首选工具顺序。
• R(a)：行动 a 的 R(a) 是执行前必须建立的证据要求，可涉及目标实体、当前状态、金额、授权、版本或其他任务条件。规格还记录所需操作、目标、参数，以及下游需要的结果或状态变化。
• Table 1：Legacy，86 例，对固定候选做 ALLOW/BLOCK/DEFER，不评轨迹。V0，175 例，完成所需调查且不发生 consequential action。V1，131 例，恰好一个正确行动，所需证据在其之前建立，之后回合结束。V2，132 例，至少两步的链，后步使用前序的实际结果。V3，132 例，至少两步的 DAG，顺序为任一合法拓扑序。合计 656。
• 依赖表示：线性设定中每步跟随规定的前序链。图设定中独立行动可用任一拓扑序，依赖行动必须等到所需的更早结果或结果状态可用。

Evidence Ledger

• 出处：交互协议中，每条 consequential action 的证据都保留出处。Ledger 把已建立事实绑到源交互以及它们描述的实体或状态。
• 何时算满足：只有具备所需出处的证据在执行前可用，要求才算满足。从 C1 读到的金额不能建立 C2 的金额，即使数值相同。相关前序返回的字段可以直接支持依赖行动；任务或工具语义要求确认结果状态时，需要另一次观测。

确定性判定

• 二元 ECS：每回合 exact case success 为二元。对行动 a，当且仅当 R(a) 中每条要求都在 a 之前建立，才记为被支持：Supported(a) ⇐⇒ ∀r ∈ R(a), r is established before a。
• 分协议检查：Legacy 只看结构化判断。V0–V3 要求该协议的每一项都满足：所需调查是否完成，consequential 调用的工具、目标和参数是否正确，所需结果或结果状态是否实际产生或建立，行动依赖和终止条件是否被遵守。任一必需成分失败则该案例不成功。
• 计分输入：只用任务上下文、观测到的工具交互和结果环境状态。不检查隐藏推理，不用 LLM judge。

规模、复杂度与规格审核

• 六域：客户与策略 112、工程与基础设施 109、法律与金融 144、研究协助 97、智能家居 96、医疗操作 98。附录 B.1：六个域在每个协议都有案例；V0–V3 共 570 个证据导向任务。
• Table 7：规定的工具—参数读取（不含额外发现查询）均值，V0 为 5.59、V1 为 6.47、V2 为 7.14、V3 为 5.88，单例最多 17。V3 有 501 个行动节点、439 条依赖边、103 例含 fork、96 例含 join；V2 的 fork 与 join 为 0。
• 规格审核：案例与证据要求由有智能体评测、工具使用安全和基准构建经验的研究者编写，依据任务说明、策略条款和工具语义。每例由非主要作者独立复核；复核区分事实前提与调查约束，并检查遗漏前提和过严的来源要求。

实验设置

• 十组配置：五个模型各配家族 harness 与共享的 Inspect AI ReAct harness。正文模型名为 Claude Opus 5、GPT-5.6 Sol、DeepSeek-V4-Flash、Qwen3.8-Flash、GLM-5.2；表中简写为 Claude-5、GPT-5.6、DeepSeek-V4、Qwen3.8、GLM-5.2。家族 harness 为 Claude Code、Codex、DeepSeek Harness（DSH）、Qwen Code、ZCode。
• 数据与接口：SAFEACTBENCH 656 例，协议与域的规模见 Table 1 与第 3 问。各组看到同一套公开任务和工具接口；私有评测规格全程隐藏。给定模型的采样设置在其两个 harness 间固定（附录 B.4）。
• 采样与预算：Qwen、DeepSeek、GLM 为 temperature 0.6、top-p 0.95、单次请求最大输出 32,768 token。GPT 与 Claude 用提供方默认采样，并在支持处开启 high reasoning effort。每例运行预算 600 秒，另有案例级信息调用上限。主评测每对案例—配置跑三次。
• 指标：ECS 为回合是否满足全部协议条件的二元指标。P-M、D-M 为五协议、六域上的无权宏平均。诊断率在每次重复内计算再等权平均（附录 B.6）。BSR 的分母是全部计分 V0。PAR 的分母是有行动尝试的 V1，分子是首次尝试发生在调查完成前。CAS 的分母是首次尝试发生在调查完成后的 V1，分子是其中 ECS 成功者。Gap 为该协议中至少一个行动检查点有 MISSING 要求的回合比例。Part. 为至少执行了一个 consequential action 但评测器报告工作流失败的比例。Gap 与 Part. 可重叠，不是可加分解。
• 覆盖与校验：主评测无基础设施失败，每组覆盖率 100%。基础设施失败不记为拒绝。附录 B.3：656/656 作者参考解通过评测器。分层抽样 120 例，裁决前行动支持一致率 95.83%（n=120，Cohen's κ=0.87），要求必要性 93.36%、要求是否建立 86.72%（均 n=813，κ=0.81 与 0.74）。300 条轨迹审计中，相对裁决后人工判断，误接受 3/150、误拒绝 2/150。
• 附加范围：证据干预在 43 个 V1 案例上做，规则见 §5.3.3 与附录 C.4。附录 E 另报告 SCGR。三次重复的 ECS 样本标准差为 0.2–0.7 个百分点（附录 C.9，同一 570 个 V0–V3 案例，覆盖率 100%）。

主结果

下表摘自 Table 2，数值均为百分比。十组里总体 ECS 最高为 67.2%，最低为 37.7%。表后省略 Claude-5/Inspect（总体 ECS 63.4%）、GPT-5.6/Inspect（61.0%）、Qwen3.8/Inspect（63.9%），三者的分协议数字仍在 Table 2。

表格较宽，可左右滑动

配置	ECS	Legacy	V1	V2	V3
Claude-5 / Claude Code	67.2	97.7	60.3	60.6	65.9
Qwen3.8 / Qwen Code	66.0	91.9	58.8	59.8	53.8
GPT-5.6 / Codex	65.4	96.5	52.7	58.3	64.4
DeepSeek-V4 / DSH	63.0	96.5	61.1	65.2	59.1
DeepSeek-V4 / Inspect	57.5	83.7	49.6	56.8	50.8
GLM-5.2 / Inspect	41.0	77.9	31.3	22.0	41.7
GLM-5.2 / ZCode	37.7	97.7	32.1	12.1	34.1

• 静态与交互可以分开：作者称强的 Legacy 判断可以与更弱的交互执行并存。GLM–ZCode 与 DeepSeek–DSH 的 Legacy 为 97.7% 与 96.5%，都超过 96%；V1–V3 上 DeepSeek–DSH 为 61.1%、65.2%、59.1%，GLM–ZCode 为 32.1%、12.1%、34.1%。
• 同一批案例仍有差距：附录 C.2 在同一 100 个 V1 案例上比较。静态条件给出完整证据包和候选行动；交互条件是原 V1 任务。Table 9：DeepSeek–Inspect 静态准确率 95.0%、交互 ECS 52.0%；GLM–Inspect 为 97.0% 对 28.0%；GLM–ZCode 为 99.0% 对 33.0%。配对差的 95% CI 都不含零。另 24 个非法参数负例，三组全部拒绝，且不计入这 100 例。作者称该对比同时改变了证据是否给定和由谁构造并执行行动，因此不能分离各成分贡献。
• harness 随模型而变：DeepSeek 的总体 ECS 从 Inspect 的 57.5% 到 DSH 的 63.0%，Legacy 为 83.7% 对 96.5%。GLM 则是 Inspect 41.0% 高于 ZCode 37.7%。作者称其余家族的家族 harness 高出 2.1–4.4 个百分点。

失败出在何处

Table 3 把失败拆到调查、行动时机和多步工作流。作者称失败常常出现在得到支持的执行之前。

• V0 与 V1：BSR 为 21.7%–62.9%，端点是 Qwen–Qwen Code 与 GLM–ZCode。有行动尝试的 V1 上，PAR 为 37.0%–66.9%，端点是 Qwen–Inspect 与 GLM–ZCode。证据完成后再尝试行动时，九组 CAS 为 93.2%–100%，DeepSeek–Inspect 为 83.3%。作者称调查和行动时机是重要的上游失败来源，证据完成后的单步执行则较少失败。
• V2 与 V3：未满足的前提和未完成的工作流同时出现，相对高低随配置变化。GLM–ZCode 在 V2 上 Gap 80.3%、Part. 33.3%；Qwen–Inspect 为 27.3% 对 29.5%。作者称二者可同时发生，多步失败不是单一执行瓶颈。
• 失败类型会换，而不只是成功率升降：§5.3.2 称，V1 上 GLM 从 ZCode 换到 Inspect，过早行动失败从 0.66 到 0.29，不行动失败从 0.01 到 0.37，总失败率几乎不变。Figure 5 的数值是各协议内全部案例中的比例。

扣留或矛盾的证据

§5.3.3–§5.3.4 在 43 个 V1 案例上干预 DeepSeek–DSH、GLM–ZCode、Qwen–Qwen Code。Withheld 使一条决定性记录不可用；其中 22 例另有 Contradicted，把一个字段改到违反行动前提。公开任务和工具接口不变。

• 仍会行动：作者报告，扣留使行动概率下降 37.2–45.2 个百分点，但已完成的 Withheld 回合中仍有 46.5%–53.5% 继续行动。矛盾证据在其合格子集上使行动概率下降 54.5–70.0 个百分点。作者称这些下降不一定是正确拒绝。66 个仍行动的 Withheld 回合中，65 个调用了受影响工具；这不能确立缺失在行动前已被观察到。
• 呈现方式：证据包把相关工具回复呈现给智能体，记录仍按 Withheld 固定。行动提交从 DeepSeek 的 23/43 到 18/43、GLM 的 20/43 到 14/43、Qwen 的 23/43 到 13/43；只有 Qwen 的配对区间不含零。请求者声称缺失记录已经核过且满意时，三组分别为 6/43、10/43、6/43，相对 Withheld 的三个区间都不含零。作者称智能体对请求者的冲突声明反应大于对证据缺失本身。
• 急迫、警告与干扰项：急迫提示和“缺失证据不意味着安全”的系统警告，三组配对区间都含零或触及零。扣留下，干扰记录使平均信息调用增加 1.0–1.2 次/回合，三个区间都高于零；行动概率的区间都含零。作者称额外检索与行动克制不必一起变化。这些探测测的是行为反应，不是对缺失支持的内部解释。

其他消融与分析

• 配对 harness（Table 4，同一 570 个 V0–V3 案例，5000 次案例配对 bootstrap）：DeepSeek 的 DSH 相对 Inspect 为 +4.4 个百分点，95% CI [+1.1, +7.9]；GLM 的 ZCode 相对 Inspect 为 −6.8，CI [−11.2, −2.5]，调查完成率 29.8% 对 38.8%。Claude +4.2 [−0.7, +9.1]、GPT +4.7 [0.0, +9.5]、Qwen +2.8 [−1.2, +6.8] 的区间含零或触及零。
• 案例级不一致：若某 harness 下三次中至少两次成功才算该案例成功，Qwen 的两套 harness 在 134/570（23.5%）上不一致：75 例只在 Qwen Code 成功，59 例只在 Inspect 成功。
• 类别平衡对照（附录 C.2.1，99 个场景，ALLOW/BLOCK/DEFER 各三分之一）：六组有完整覆盖的配置里五组静态更高；GLM–Inspect 为静态 73.7% 对交互 83.8%（Δ −10.1，95% CI [−18.2, −2.0]）。Qwen 两配置各只有 1 个完整配对基任务，论文未给出其准确率。两边都给定候选行动。
• SCGR-EG（Table 13）：十组总体 ECS 都上升，增益 0.3–16.2 个百分点。GLM–ZCode 从 37.7% 到 53.9%，V2 从 12.1% 到 58.0%，V3 从 34.1% 到 68.0%。DeepSeek–DSH 的 V3 升 4.9 个百分点，V1、V2 分别降 1.3、1.4 个百分点。
• SCGR-Select（Table 14，ECS 算在纳入的 V0–V3 案例上）：Qwen 从 62.1% 到 73.7%，Claude 从 62.6% 到 53.5%，GPT 从 60.7% 到 58.1%，GLM 从 28.6% 到 25.8%。GPT 的 V1 从 52.7% 到 74.0%，V3 从 64.4% 到 32.6%。作者称结构化选证本身不保证更高任务成功。
• 跨 harness 的证据敏感度（附录 C.8.2）：DeepSeek 在 DSH 与 Inspect 上，扣留与矛盾的行动概率降幅同为 45.2 与 70.0 个百分点。GLM 的 Inspect 减家族 harness 的差值区间含零。DeepSeek 两套 harness 在 43 个已完成 Withheld 案例中有 6 个行动提交不一致。

作者指出的局限与后续方向

• 只见可观测支持：第 6 节写明，分析捕捉的是可观测支持，而不是模型内部是否依赖这些证据。
• 多步干预留作后续：第 6 节把干预扩展到多行动协议、并在每个行动检查点变化证据，写成下一步，用来连接可观测支持与内部依赖。
• 静态—交互对比不能拆成分：附录 C.2 写明，同一案例的对比同时改变了证据是否给定，以及由谁构造并执行行动，因此不能分离各成分的贡献。
• 平衡对照不是完整自主执行差距：附录 C.2.1 写明，候选行动由两边给定，静态证据由参考选择，因此该对照不衡量到自主构造行动的完整差距。
• 跨 harness 归因受限：附录 C.8.2 写明，native 与 Inspect 的干预回合采集时间不同，超时与恢复历史也不同，这限制了把差异单独归因于 harness；跨 harness 差异的大小仍不确定。

实验覆盖范围

• 主评测：五个模型家族各配家族 harness 与 Inspect，共十组；SAFEACTBENCH 656 例、六域、五协议；每对三次；主评测覆盖率 100%（§5.1，Table 1，Table 2）。
• 判定：确定性回放，不用 LLM judge；作者参考解 656/656 通过。人工侧为分层抽样 120 例，以及 300 条模型轨迹的行动支持审计（§4.3，附录 B.3）。
• 证据干预：主文队列是 43 个 V1 案例上的 DeepSeek–DSH、GLM–ZCode、Qwen–Qwen Code；其中 22 例有 Contradicted（§5.3.3）。附录 C.8.2 在同一队列上比较了 DeepSeek 与 GLM 的家族 harness 和 Inspect。
• 补充运行时：SCGR-EG 覆盖全部十组。SCGR-Select 对 Claude、GPT、Qwen、GLM 覆盖全部 570 个 V0–V3 案例；DeepSeek 的对应结果在排除 SCGR-EG 条目后的部分队列上（附录 E，Table 13，Table 14）。
• 环境：六个操作域是带虚构实体、记录和策略的合成任务环境（Ethics Statement）。论文报告了主评测三次重复的样本标准差，以及若干分析的案例配对 bootstrap 区间。

SAFEACTBENCH 评测工具智能体的 consequential actions 是否由行动前已建立的证据支持，而不是只看终态对不对。

• 问题：退款、改记录等行动可以参数正确且成功，但轨迹核验的可能是另一个实体。后继行动还可能没用到前序实际返回的结果。作者要定位调查、执行和下游依赖上的断点。
• 做法：656 例、六域。Legacy 判断固定候选的 ALLOW/BLOCK/DEFER；V0 要求查完再停；V1 只做一个有证据支持的行动；V2 按链传递实际结果；V3 按 DAG 的合法拓扑序执行。Evidence Ledger 把事实绑到出处与实体。确定性评测器检查调查、工具、目标、参数、回执、依赖和状态变化，不用 LLM judge。
• 主结果：Table 2 的总体 ECS 从 GLM–ZCode 的 37.7% 到 Claude–Claude Code 的 67.2%。同一配置上，GLM–ZCode 的 Legacy 为 97.7%，V2 为 12.1%。同一 100 个 V1 案例上，三组静态准确率至少 95.0%，交互 ECS 至多 52.0%（Table 9）。
• 断点：Table 3 中，V0 的 BSR 为 21.7%–62.9%，有行动尝试的 V1 上 PAR 为 37.0%–66.9%。证据完成后，九组 CAS 为 93.2%–100%，DeepSeek–Inspect 为 83.3%。扣留一条决定性记录后，已完成回合仍有 46.5%–53.5% 继续行动；请求者声称记录已核过且满意时，三组行动提交为 6/43、10/43、6/43。
• 补充：SCGR-EG 使十组总体 ECS 上升 0.3–16.2 个百分点，最大为 GLM–ZCode 从 37.7% 到 53.9%。SCGR-Select 的 V0–V3 ECS 对 Qwen 从 62.1% 到 73.7%，对 Claude 从 62.6% 到 53.5%。
• 作者的结论：失败不只来自信息缺失，也来自如何使用已建立的证据。这一分析针对可观测支持，不是内部依赖。