智能体在内部编码了工具调用图：一种新的监测面

这是什么？

2026年5月25日，Tianda Sun 与 Dimitar Kazakov（University of York）在 arXiv 上发表了 Tool-Call Dependency Structure is Linearly Decodable in LLM Agent Residual Streams。这一发现范围虽窄却很清晰：当一个使用工具的智能体运行时，串联其各次工具调用的依赖结构——即哪一次早期调用的输出为哪一次后续调用提供了参数——被写入了模型的内部激活之中，且以一种简单线性探针即可读出的形式存在。

作者以 Qwen3-32B 作为智能体策略，在多轮工具-智能体基准 τ-bench 的零售子集上运行，并在冻结的残差流上训练了一个低容量的逻辑回归探针。它以 0.869 的 AUROC 恢复出两次调用之间的依赖边，显著高于所有对照。据作者所知，这是首个针对智能体运行时工具调用依赖图的结构性探针，而非针对静态代码或思维链文本。

工作原理

每条智能体轨迹都会诱导出一个有向图：当调用 i 的输出为调用 j 提供了参数时，就存在一条从 i 指向 j 的边。作者先用一个独立的预言机构建该图，再检验它是否存在于激活中。

他们在每个解码边界记录全部 65 个表示层的残差流，然后在两次调用边界 token 上、经均值池化的激活之上训练一个 L2 正则化线性探针。该依赖边大约在第 14 层开始变得可线性解码。三项对照使结果难以被轻易否定：Hewitt–Liang 随机标签对照（探针以 +0.304 的 AUROC 胜出）、通过条件探测排除单纯调用顺序的位置基线（以 +0.0775 胜出），以及一项对照实验——破坏标识符的取值相较于扰动图的结构——结果表明探针追踪的是抽象拓扑，而非具体标识符。逐层的激活修补会改变后一个未被修补探针的读数，说明该表示在网络中传播，而非被动读取。这一非位置信号在另外三个多跳基准上重现，并在单步规划中消失，因为此时调用顺序本身已足以预测依赖关系。

关键之处在于：作者明确指出，其结论仅关乎表示，而非行为控制——修补移动了探针的读数，却没有改变智能体实际执行的工具选择。

为何重要

由工具介导的控制流劫持——间接提示注入重定向智能体调用哪些工具、以及其输出如何串联——是智能体面临的主要威胁之一。迄今为止，防御方主要观察智能体的外部：所发出的 token、实际触发的调用、推理轨迹的文本。这项工作表明，预期的调用结构同样可以从内部读取，存在于一个线性子空间中，且先于、并独立于表层输出。

这是一种新的监测面。它补充了基于激活的防御——任务漂移检测、判断是否需要工具或需要哪一个工具的逐步探针——但瞄准了后者未覆盖的目标：调用之间的关系结构。如果运营方能够重建模型「打算」遵循的依赖图，并将其与实际执行的情况比对，出现的偏差便可作为计划被改写的候选信号。

保留意见与结果同等重要。这是在一个主要领域和两个模型族上的可解码性发现，而非已部署的检测器；且表示不等于行为。它是防御的基础，而非防御本身。

防御

对运营自托管白盒智能体的团队而言，实用要点在于投入方向，而非现成工具。

1. 将内部激活视为可观测面，而不仅是输出。 预期的调用图似乎可线性访问；对残差流做探测，是留意执行结构是否被劫持的一个合理位置。
2. 与现有基于激活的防御叠加。 将调用图探测与任务漂移检测、逐步的工具需求探针结合——它们覆盖互补的失效模式。
3. 不要把探针误当作控制。 解码出预期图说明的是模型所表示的内容，而非其将要做什么。任何检测器在用于拦截之前，都需要自己的阈值、误报预算和对抗性评估。
4. 记住部署边界。 这需要访问内部激活，因此仅对自托管或模型提供方的部署可用——仅调用 API 的用户无法实施。
5. 让强制执行留在模型之外。 内部信号用于诊断；允许或拒绝一次工具调用的权限，仍应存放在模型之外的确定性策略中，而不是交给一个读取智能体「内心」的探针。

Status

项目	参考	日期	说明
首个针对智能体运行时工具调用图的结构性探针	arXiv 2605.25310（Sun 与 Kazakov，University of York）	2026-05-25	在 τ-bench 上使用 Qwen3-32B；依赖边 AUROC 0.869；结论仅限于表示
收敛的研究线：工具调用可线性读取并可引导	arXiv 2605.07990	2026	读取/引导所选工具；互补的逐步信号

一句话总结：智能体的工具调用依赖图以可线性读取的方式被写入其激活之中——作为监测执行劫持的防御信号颇具前景，但它是一项关于表示的发现，而非成熟的检测器，也绝不能替代模型之外的授权。