为什么仅检查单个动作会失败：你需要追踪整个工作流，而不只是个别步骤
工作流级策略指引在演示之外失效的核心原因在于，大多数防护措施只孤立地检查单个操作。运行时护栏或许能拦截诸如向不符合条件的客户发放退款之类的违规操作，但它无法告诉智能体它遗漏了验证客户身份或在继续前获取确认这一步骤。这正是PolicyGuide论文中指出的缺口：合规失败既源于违规操作，也源于被省略的程序性要求，而针对单个操作的检查无法引导智能体完成多步骤流程[2]。换言之，你可以阻止错误的步骤，但仍无法确保智能体遵循正确的步骤顺序。
PolicyGuide提出的解决方案是，将每个领域的策略编译成工作流图，并使用一个验证器在每次用户回合边界检查智能体的状态。这种主动检查会协调未完成的请求，并沿着符合策略的路径返回针对具体步骤的补救措施。结果是：在τ2-bench基准测试（涵盖航空、零售和电信领域）上，平均Pass@4分数——衡量智能体正确完成任务频率的指标——从0.42提升至0.62，相对提升了48%。提升幅度最大的是电信领域，这是工作流结构化程度最高的领域，分数从0.19跃升至0.61，增长超过三倍[2]。这表明，任务越流程化，从工作流层面的指导中获得的收益就越大——但同时也说明，即使采用这种方法，系统平均仍有38%的时间会失败。
更深层的障碍：大语言模型具有随机性，因此你无法完全信任其推理或行为
即使构建了工作流图和检查点，底层的大语言模型仍然是概率性系统。对LLM智能体的独立分析指出，其随机性本质与控制系统对安全性和可靠性的要求存在冲突[3]。这意味着，即使拥有完美的工作流检查器，智能体的推理和行动仍可能不可预测地偏离预期。论文提出了一个三层护栏模型——分别控制推理、行动和后果——但这仅作为框架提出，并非经过验证的解决方案。其隐含意义在于，仅靠工作流层面的引导并不足够；你还需要机制来验证和控制智能体的实际行为，而不仅仅是其计划中的行为。
这是一个根本性的矛盾：你可以增加检查点和验证器，但无法消除大语言模型内在的不可预测性。PolicyGuide论文表明，工作流图确实有所帮助，但它也指出，验证器本身也是一个LLM（在他们的实验中是GPT-5.4），这意味着验证步骤同样是概率性的。这是一个关键局限：导致合规失败的同一随机性，也可能影响验证器的判断。因此，尽管工作流层面的指导是向前迈出的一步，但它并未完全解决可控性问题——只是将不确定性转移到了另一个层面。
可移植性与重构：让策略指导在不同工具和领域间发挥作用
另一个尚未解决的问题是，当前的智能体架构往往缺乏统一设计，且与特定环境紧密耦合，这限制了其可移植性和复用性。《清洁智能体架构》论文中强调了这一点，指出工具增强型智能体设计常因临时拼凑的架构而难以适应新领域[1]。该论文提出了一种模式，将稳定的工作流逻辑与易变的工具集成相分离，并采用标准化接口（如模型上下文协议，MCP）。然而，这仅作为早期阶段的架构提案提出，而非经过验证的解决方案——论文明确提到尚无完整实现，并呼吁进行实证验证。
这对工作流层面的政策指导很重要，因为如果你无法轻松地将一个智能体从一个领域迁移到另一个领域，你就很难将相同的政策指导应用于不同的工作流。PolicyGuide 论文表明，他们的工作流图可以迁移到不同的 LLM 智能体（Claude Sonnet 4.6 和 Gemini 2.5 Pro），这很有前景，但它并未解决整个智能体架构的更广泛可移植性问题。因此，尽管工作流图方法向前迈进了一步，但构建能够以最小努力重新配置以适应新领域的智能体这一更大问题仍未得到解决。
关于这些来源
该回答基于3项研究（均为预印本）——发表于2026年，其中3项为2024年或之后——从3项通过质量筛选的研究中选出最具相关性的，这些研究源自从超过5亿篇论文数据库中检索到的41篇文献。
本文引用的文献
LLM智能体架构中的模型上下文协议：清洁智能体架构模式
Clean Agent Architecture论文（Kulonen，2026）指出，当前工具增强型LLM智能体缺乏系统性设计，与特定环境紧密耦合，并提出了一个利用MCP等标准化接口的模块化模式，但该方案仍处于早期阶段，尚未有完整实现。
PolicyGuide：从守护单一动作到引导全工作流，实现符合政策的LLM智能体
PolicyGuide（Kang等，2026）将政策编译为工作流图，并在用户轮次边界使用主动验证器，将τ2-bench上的平均Pass@4从0.42提升至0.62，其中电信领域提升最大（从0.19升至0.61），且该方法可迁移至其他LLM智能体。
自主LLM智能体中的可控性与验证问题
可控性与验证分析（Yevzhenko & Kurochka, 2026）指出，LLM的随机性本质与安全要求存在根本性冲突，并提出了一种三层护栏模型（推理、行动、后果）作为框架，而非经过验证的解决方案。