面向工具型 LLM Agent 的渐进式技能发现：以角色为边界的访问控制

一篇 arXiv 论文提出 skilder 框架，把能力打包为角色，即技能、工具与指令的组合，并附带其使用边界。Agent 从最小角色目录起步，自行学习任务所需角色，再经单一 MCP server 获取该角色的技能、指令与工具。作者用六个模型、十三项任务、每项十次运行，与扁平上下文工具选择和 multi-agent 编排对比，报告在模型完成发现并发出受治理调用时，无越权工具调用或参数违规被执行。

此前企业工具治理主要靠 prompt 中的策略文本或多 agent 领域分工，前者只是概率性建议，后者分散审计日志且难以跨会话保证合规。该工作把治理从提示约束转为按角色确定性执行的范围控制，并给出跨模型、多任务的可对比实验结果。

工具不再被直接暴露给 agent，而是封装进被学习到的技能里，只有完成角色发现后经 MCP server 下发。因此同一 server 能在调用层确定性地限定已学范围，未学到的角色能力无法触达。聚合任务通过率还受模型是否遵循发现协议和回答质量检查影响，这部分未通过不属于授权失败。

对企业级 agent 平台而言，这提示把工具权限建模为可下发的角色包，而非在 prompt 中写策略，从而缩小上下文、改善工具选择并保留集中审计。产品需要在发现流程、MCP 接入和授权层之间划分职责，并单独区分协议遵循失败与授权失败两类指标。

• 将内部工具按角色封装为 MCP 可下发的能力包，为 agent 提供最小初始目录
• 在调用层实现确定性授权校验，拦截越权工具调用和参数越界，如超额支出
• 把发现协议遵循率与授权失败率拆成两个监控指标，用于评估 agent 上线风险
• 针对跨角色动态获取能力的中途场景，设计范围回收与审计留痕机制

• skilder 的授权层是模拟实现，未说明是否有生产级部署验证
• 跨角色能力中途动态获取的完整机制与限制未在证据中说明
• 除支出上限外的参数违规类型和覆盖范围尚不明确
• 与 multi-agent 编排对比的完整结果数据未给出