组合策略违规：Agentic AI 工作流中步骤级合规为何失效

一篇 arXiv 论文指出，在受监管场景中执行关键决策的 Agentic workflow，其治理手段几乎全部按步骤设置，如输入输出分类器、逐轮护栏和 span 级评估器。但组织真正持有的策略（推荐阈值、权限上限、复核要求）属于整个执行过程，而非单一步骤。这种错配导致组合策略违规（CPV）：每一步都通过自身检查，组合后的执行却违反治理策略。论文提出四类分类法，并给出基于 provenance 的运行时架构。

此前行业默认把合规监控拆成单步检查，并假设单步都通过则整体合规。该论文指出这类监控存在结构性盲区，且提升步骤级监控精度也无法发现 CPV，意味着现有护栏在受监管流程中可能给出虚假的安全感，合规评估的单元需要从步骤上移到完整执行轨迹。

单步谓词无法评估该步骤本身不决定的属性。推荐阈值、权限上限、累计金额等被守护的量，只有在跨步骤累积或跨上下文组合时才发生变异。因此正确的修复方式取决于被守护量在何处变异：需要在完整执行轨迹上重算这些量，并从未经 pipeline 派生的原始 provenance 重新取值，而不是依赖下游已加工的表示。

对做 agent 产品的团队，合规检查不能只接在单步输入输出或每轮护栏上，需要增加轨迹级策略引擎与可追溯的 provenance 记录，这会改变日志、状态存储与评估管线的设计，增加运行时成本与工程复杂度，但也可能让高风险场景的自动化审批真正可用。

• 为 agent 工作流提供轨迹级策略引擎，按权限、阈值、累计量在完整执行记录上重算并判定合规。
• 构建 provenance 采集与回放层，保留原始事件而非派生的 pipeline 表示，支撑事后审计与违规定位。
• 针对四类 CPV 分别设计检测器与修复策略，形成可出售的合规评估套件或开源基准。

• 论文提出的 provenance-aware 运行时架构是否有可复现实验或基准数据支撑？
• 四类 CPV 分类法是否覆盖真实生产环境中的主要违规形态？
• 轨迹级策略评估带来的延迟与成本开销有多大，是否适合实时拦截？
• 该架构与现有 agent 框架、可观测性工具的集成方式尚不明确。