策展之后还成立吗：把文件依赖图接入 Agent 环境的演化—准备闭环

背景与动机

Env-Rethink 把 Agent 环境的两种操作放进同一个框架：准备（Collection Map 与 Event Log 加上一个学会判定文件权威性的准备模型）与演化（事件驱动地改环境状态，同步更新参考答案与评测器，产出更刁的实例）。论文在 30 个文件型任务上把九个下游配置的评测项通过率从 59.4% 抬到 72.7%，在 Terminal-Bench 2.1 上让 55 个成对任务里的 32 个至少在三个模型上掉分。标题里的递归自我提升说的就是这条回路：演化产出实例，实例供给下一轮学习。

这条回路在演化与执行之间插了一道门，门是准备模型的文件选择。门本身必要——30 个任务环境共 2,196 个文件，其中 2,004 个是噪声，全量喂给 agent 会把九个配置的平均通过率从 83.9% 压到 57.6%，落差 26.3 个百分点。麻烦在于这道门的删除行为没有证书约束，而证书签在门前。第 6.3 节的实例验证做的是「参考解在新环境上通过、旧答案失败」，验证对象是演化器刚生成的原始环境；下游 agent 拿到的是准备模型挑完之后的 431 个文件。两份文件集不相同，可解性不会自动传递。

论文自己的记录里已经写明该用什么约束这道门。第 5.2 节写教师轨迹的准入条件：轨迹被收进训练前要做 read-fidelity 检查，然后把 partition 判定、对权威记录的误拒（false rejection of authoritative records）、强诱导项（strong decoys）的分类与版本顺序逐项对标注核一遍；合格线的阈值放在附录 A.7。

这条判据只用在训练数据侧。部署侧的实测是另一回事：准备模型从 192 个标准文件里删掉 32 个（召回 83.3%），放进 271 个噪声文件，选中集精度 160/431 = 37.1%。下游九个模型赢下 13.3 个百分点的那个环境，缺了六分之一被标成必需的材料。

评分尺本身对这种缺失不敏感，这一点更棘手。表 7 的 GT 列是用真值标签做策展的参照：DeepSeek-V4.1-Flash 在 GT 策展下拿 95.1%、在 Env-Rethink 策展下拿 78.8%，差 16.3 个百分点；GPT-5.6-Sol 却反过来，79.1% 与 79.5%，删掉更多必需文件的那一版略高。同一把 1,280 项的评分尺，对「删没删掉权威文件」的敏感度在九个模型上从 16.3 个百分点跨到 −0.4 个百分点。递归自我提升每轮都靠这条曲线把下游分数翻译成准备模型的梯度，论文只取了它的一个端点。

缺口在演化侧还有一个更硬的版本。演化器注入的是「看似合理但错误的选项加消解它的证据」这一对（第 6.1 节的 counter-default 决策点），注入材料的形态与准备模型训练时学到的强诱导类别同源——false final version、fabricated authority、misleading redirection——而消解证据是一份后出的、与既有权威链冲突的记录。演化越成功，这两类材料越像准备模型被训练去处理的噪声。演化侧现有的 shortcut audit 只查「生成物是否泄漏了本该由 agent 推断的结论」，方向是防多给；对称的防少给那一条没有。

做这道证书要的依赖边其实就在原料里。这 30 个任务取自 Workspace-Bench，该基准的摘要原文写明：5 个 worker profiles、74 种文件类型、20,476 个文件、388 个任务，每个任务自带一份 file dependency graph，配 7,399 条 rubric。Env-Rethink 全文检索 dependency graph 零命中——它引用 Workspace-Bench 时取走的是任务与 rubric，没取依赖图。

依赖边现成不等于可直接用。Workspace-Bench 的边是文件级的，而 rubric 检查点要的常常是文件内的段落或字段（一个”取哪个版本的预算数”的检查点，依赖的其实是 plan_v1.xlsx 里的某一个单元格，不是整个文件）。把文件级 $S_c$ 直接当必需集，会系统性高估必需范围，$\nu_{\text{kill}}$ 随之偏大、门槛过严。

局限性与失效模式

1. $\sigma$ 只在准备模型判定时可信。 $\omega$ 高意味着注入材料落在准备模型的四个训练族之外，此时 partition / noise category 判定退化为先验。$\nu_{\text{kill}}$ 是在判定之上算出来的，判定不可信时 $\sigma=1$ 是一份看似可解、实则不可靠的证书。族内约束（技术路线第 4 步）不是可选优化，是 $\sigma$ 的前置条件。

2. 证书门槛与难度目标存在直接冲突，必须靠 $\iota$ 制衡。 把难的部分滤掉就能让 $\nu_{\text{kill}}$ 归零——这是本框架最容易产出的假收益。P4 的设计意图正在于此：$\iota$ 同步下降即判定收益为假。

3. 表 7 的 GT 列是上界参照，不是”真实可解性”的定义。 GT 策展用真值标签选出 192 个标准文件，它回答的是”在理想策展下这个环境能拿多少分”，不是”这个环境的内在难度是多少”。把它当优化目标会把门槛推向”复现 GT 的文件集”，而不是”保证检查点可判定”。论文自己的数据已经给出警告：同一把 1,280 项评分尺，GT 与 Env-Rethink 两列的差在九个模型上从 +16.3 个百分点摆到 −0.4 个百分点，这个差值测的是评分尺的逐模型敏感度，不是模型能力。

4. P1 的 42% 是独立性假设下的期望值。 $1-(1-0.167)^3\approx42\%$ 同时依赖三个前提：单文件误删率 16.7%（32/192）可外推、每个检查点平均依赖 3 个文件、各文件被删事件相互独立。如果准备模型的删除是成组发生的（同一目录、同一 version family 一起被判为噪声），实际占比会高于 42%，而不是更低。因此 P1 的否证判据应当写成”实测显著低于 42%“，而”接近零”这一档只能否证前提、不能精确估计效应量。

5. 依赖图粒度缺口暂无低成本解法。 文件级 $S_c$ 偏高估，但要做到段落/字段级就得引入 rubric 与文件内容的对齐，工作量接近重做标注。工程上可取的降级方案是保留文件级 $S_c$ 作为保守上界，同时用 $\nu_{\text{ins}}$（删掉 $S_c$ 里的文件后仍然通过的检查点数）反向标定：若 $\nu_{\text{ins}}$ 长期偏高，说明 $S_c$ 取得过宽，需收窄而不是继续加严门槛。

核心思路

提出策展感知可解性证书 CASC。可解性从环境的一个属性，改判成「环境 × 策展」这一对的函数：给变体 $v$ 的评测检查点集 $C_v$，每个检查点 $c$ 从依赖图与演化生成记录里拿到必需文件集 $S_c$，策展后的保留集记为 $\tilde F$，证书取

$\nu_{\text{kill}}(v)=|\{c\in C_v: S_c\not\subseteq \tilde F\}|$，$\sigma(v)=1-\nu_{\text{kill}}(v)/|C_v|$。

$\sigma$ 只在 $\tilde F=F$ 时才等价于论文现有的参考解验证，两者不是同一个量。

与现有工作的区别落在三点。作用面从「生成物是否正确」移到「生成物在策展之后是否还成立」，这是一道接口，不是又一层过滤。判据不新造，直接把第 5.2 节已经写下的「对权威记录零误拒」从训练数据侧搬到部署侧，$\nu_{\text{kill}}=0$ 就是它的部署形态。两侧第一次共享同一个观测：演化器看到自己注入的材料被判成了什么（族内还是族外、留还是删），准备模型看到自己删掉的文件是否落在某个检查点的 $S_c$ 里。

配套三个派生量。噪声泄漏 $\nu_{\text{leak}}=|\tilde F\cap D_{\text{decoy}}|$ 记该删没删。族外占比 $\omega$ 记演化注入材料落在准备模型四个训练族（attack scene、version family、redirect group、filler）之外的比例，$\omega$ 高说明判定正退化为先验。$\nu_{\text{ins}}$ 记「删掉 $S_c$ 里的文件后仍然通过」的检查点数，它直接测评分尺的分辨力，也解释表 7 里 GT 列与 Env-Rethink 列的逐模型差值。

技术路线

1. 依赖边抽取。从 Workspace-Bench 的 per-task dependency graph 取 $c\mapsto S_c$；对演化变体，把生成记录里「诱导项与消解证据」的配对追加进去。$S_c=\varnothing$ 的格式类检查点记 NA 不进分母，不可判定不得填 0。
2. 判定字段落盘。准备模型已经在输出 partition、noise category、stage、joint 四项判定，附录 B.4 正拿它们算准确率（训练集侧联合准确率 719/1579 = 45.5%，留出侧 200/617 = 32.4%）。把这些字段从离线指标改成运行时落盘，与 $S_c$ 求交即算出 $\nu_{\text{kill}}$ 与 $\nu_{\text{leak}}$，不需要下游跑一轮。
3. 门槛与回退。变体进训练池要求 $\nu_{\text{kill}}=0$；不满足就不进池，并把被删的那组文件写进失败摘要回传给演化器。第 6.4 节的 failure summaries 回传通道现成，缺的只是内容。不做策展时 $\tilde F=F$，$\nu_{\text{kill}}\equiv0$，CASC 严格退化为现有的 Full 条件。
4. 族内约束。给演化器加一条约束：注入材料落在准备模型的已知族内，或显式触发扩族重训。反向耦合由此变成可调参数，不再是隐藏变量。
5. 闭环。把 $(\nu_{\text{kill}},\nu_{\text{leak}},\omega)$ 写进演化器的生成条件与准备模型的重训采样权重。四臂对照：A 原 Env-Rethink，B 加证书门槛，C 加族内约束，D 两者全加。

关键技术挑战有三处。依赖图的粒度与 rubric 检查点不对齐，Workspace-Bench 的依赖边是文件级的，检查点要的常常是文件内的段落或字段。演化器生成的文件族在准备模型的训练分布之外，$\omega$ 高时判定不可信，$\sigma$ 会给出一个看似可解、实则不可靠的证书。证书门槛与难度目标互相拉扯：把难的部分滤掉就能让 $\nu_{\text{kill}}$ 归零，必须把诱导项保留率 $\iota$ 一并报告，挡住假收益。

预期成果

定量目标三条。部署侧必需文件误删从 32/192（16.7%）降到 0，这是 $\nu_{\text{kill}}=0$ 的定义本身；选中集精度从 37.1% 提到 60% 以上，留出侧联合准确率从 32.4% 提到 50% 以上；表 7 里 GT 列与 Env-Rethink 列的逐模型最大差值从 16.3 个百分点压到 5 个百分点以内，意味着评分尺对证据缺失的敏感度不再是随模型漂移的隐藏变量。

定性目标两条。给出第一个策展感知的可解性定义，让演化产出的实例在进训练池之前可被判定，而不只是在生成那一刻被判定。把递归自我提升从「两侧各自变强」改成「一侧的约束是另一侧的输入」。

四条可证伪预测。P1：把准备模型接进 55 个 Terminal-Bench 2.1 变体后，$\nu_{\text{kill}}>0$ 的变体占比应显著大于零；按表 6 的 16.7% 单文件误删率，检查点平均依赖三个文件时理论占比约 $1-(1-0.167)^3\approx42\%$，实测接近零则说明依赖边抽取或策展强度假设不成立，本提案的选题前提被否证。P2：表 7 的 GT 与 Env-Rethink 两列之差随下游模型大幅变化，且与 Full 列无关，它是评分尺的逐模型敏感度而非模型能力。P3：$\omega>0$，演化注入的材料有相当比例落在准备模型的四个训练族之外。P4：加证书门槛后 $\nu_{\text{kill}}$ 归零而诱导项保留率 $\iota$ 不降；$\iota$ 同步下降即说明门槛把难度一起滤掉了，收益是假收益。

影响落在数据工程侧。环境演化眼下是 agent 训练数据的一条高产生产线，RLVE 用 400 个可验证环境扩产能，EnvHarness 用插件层改造静态世界。产能扩到一定规模之后，决定数据价值的不是还能生成多少实例，而是每个实例进池之前能否被判定。CASC 给的是这道判定。

相关工作

1. Breaking the Environment Wall（Env-Rethink），arXiv:2609.29773。主锚点，SJTU、Theseus Labs 与腾讯混元，11 位作者（v2；v1 abs 页 citation_author 只列 10 位，v1 全文与 v2 均列 11 位）。本文数字取自 v1 全文；v2（2026-09-27）已将标题改作 A Unified Framework for Preparing and Evolving Agent-Native Environments。环境组织、轨迹监督的准备模型与事件驱动演化三件套，30 任务上把平均评测项通过率从 59.4% 提到 72.7%，Terminal-Bench 2.1 上 32/55 个变体在至少三个模型上掉分。§5.2 的误拒判据（阈值在附录 A.7）与表 6 的策展质量是本提案的直接原料。
2. Workspace-Bench 1.0，arXiv:2605.03596。22 位作者，5 个工作者画像、74 种文件类型、20,476 个文件、388 个任务、7,399 条 rubric，每个任务自带 file dependency graph。本提案的依赖边来源。
3. EnvHarness: Awakening Static Worlds for Agent Learning，arXiv:2608.19880。17 位作者，用插件层包裹静态环境重塑行为，保证每个被改造的环境保留原 verifier。它给的是加法侧的保真判据，本提案补减法侧。
4. RLVE: Adaptive Verifiable Environments，arXiv:2511.07317。17 位作者，400 个可验证环境，按策略能力动态调整难度分布。自适应缺一条策展约束：变难之后的实例是否仍能被下游消费。
5. Towards General Agentic Intelligence via Environment Scaling，arXiv:2509.13311。16 位作者，自动构造异构全模拟环境做环境规模化。本提案的门槛可直接挂在它的构造流水线末端。

引用核验记录（2026-09-28）

五条文献的 arXiv 编号经 abs 页 citation_title 逐条比对，标题与作者数全部精确匹配：2609.29773（v1 题名 Breaking the Environment Wall: Evolving LLM Agent Environments for Recursive Self-Improvement；v2 于 2026-09-27 改题为 A Unified Framework for Preparing and Evolving Agent-Native Environments，作者由 v1 abs 元数据的 10 位增至 11 位，新增 Xuzhou Zhu；v1 全文署名行同样为 11 位。本文全部数字取自 v1 全文）、2605.03596（Workspace-Bench 1.0: Benchmarking AI Agents on Workspace Tasks with Large-Scale File Dependencies，22 位）、2608.19880（EnvHarness: Awakening Static Worlds for Agent Learning，17 位）、2511.07317（RLVE: Scaling Up Reinforcement Learning for Language Models with Adaptive Verifiable Environments，17 位，Comments 标注 ICML 2026）、2509.13311（Towards General Agentic Intelligence via Environment Scaling，16 位）。

核心数字在 arxiv.org/html/2609.29773v1 全文逐条命中：2,196 文件 / 192 标准 / 2,004 噪声、83.9%→57.6%（−26.3pp）、59.4%→72.7%、+13.3pp、Terminal-Bench 2.1 上 32/55、表 6 的 431 / 32 / 271 / 83.3%、表 7 的 95.1 / 78.8 与 79.1 / 79.5、1,280 项 rubric、附录 B.4 的 1,579 与 617 文件（对应 719 与 200 的联合正确数）。