信任不是分数：高风险 AI agent 的运行时保证契约

一篇 arXiv 论文指出现有基准、审计和 agent 协议只描述性能、权限与修复，却未规定观察到证据应如何改变 agent 在高风险任务中的权限，作者称之为assurance-transition gap。论文提出 Runtime Assurance Contract（RAC），一种策略层形式化 schema，绑定自主边界、组件资格、证据状态、转移策略、人工审核容量与非补偿性门禁，并在临床、工业和司法故障探针中示意。

此前对 AI agent 的信任主要用分数、基准或审计表达，允许用总体性能为具体动作授权。该论文把问题重新定义为权限转移规则缺失，提出聚合性能不能授权行动、单一强制门失败即触发重试、切换、升级、延迟或停止，这与主流评分式治理思路形成差异。

RAC 将软性指标用于路由，将硬性门禁设为非补偿性：若某个必需门失败或状态未知，即使其他指标得分很高也不能放行。论文通过故障注入实验说明，在示例权重与阈值下，仅看分数的规则会放行 100 个需阻断注入中的 80 个，以及全部 40 个需人工复核的注入；并给出正权重、正阈值、二元风险信号等条件下，分数规则与门禁合取完全一致当且仅当阈值不超过最小权重。

对做 agent 产品的团队，这意味着权限管理不能只依赖模型自评或风险评分，需将证据状态、版本化记录、门禁与人工审核容量纳入运行时策略，并设计失败时的重试、切换、升级、延迟或停止路径。研发上需把策略层与执行层解耦，产品上需向用户暴露审核与升级节点，可能增加流程成本但降低高风险误放行。

• 为高风险 agent 提供运行时保证契约配置层，把自主边界、组件资格、门禁与人工审核容量写成可版本化策略。
• 在 agent 可观测性产品中增加证据记录与权限转移审计，支持版本固定证据和审核转移回溯。
• 面向临床、工业和司法场景提供故障注入评测服务，验证评分规则与门禁合取在客户阈值下的差异。
• 为 agent 平台增加非补偿性门禁编排，当必需门失败或未知时自动触发重试、切换、升级、延迟或停止。

• 摘要中 prospective synthetic holdout 的 24 个 episode 结果被截断，未显示最终数据。
• RAC 的五个不变量在真实高风险流程中的落地与合规映射尚未给出。
• 论文的故障注入实验基于构造案例与 agentic coding，能否推广到临床、工业和司法实际部署尚不明确。
• 人工审核容量作为契约参数时，如何设定与评估其对延迟和成本的影响未在证据中说明。