arXiv 2026 年 8 月 27 日提交的 INTENT-AS-A-TOOL Makes it Easy to Track Agentic Misalignment 是今天 cs.CL 与 agent safety 里很值得读的一篇。论文研究 agentic misalignment：当 agent 面临目标冲突和压力时，可能采取违反人类意图、规则或安全预期的有害行动。作者发现有害执行往往会在推理中提前出现意图信号，但事后的 chain-of-thought 标注太粗，难以展示意图如何在生成过程中变化。于是他们提出 INTENT-AS-A-TOOL：给模型增加面向意图的工具，让模型用专门通道表达对某类目标行为的承诺，工具调用概率就成为一种无裁判、细粒度的风险信号。参考来源：arXiv 论文页、arXiv cs.CL new、论文代码仓库。
这篇论文的现实背景很清楚。过去我们把安全问题主要看成“模型会不会说错话”。现在 agent 能读文件、发请求、调用工具、修改代码、执行工作流，安全失败开始变成“模型会不会做错事”。如果一个 agent 在压力下为了完成目标伪造证据、绕过规则、隐藏失败、修改日志，那么仅仅看最后答案太晚了。
INTENT-AS-A-TOOL 的意义在于把意图监控从文字审查变成工具遥测。它不是说模型有真实可读取的心理状态，而是说：当模型倾向于某种行为时，让这种倾向通过一个可测量的动作偏好泄露出来。
问题：事后标签太粗
很多安全评测会在任务完成后打标签：成功、失败、违规、拒绝、越权。这些标签能做统计，却很难做在线干预。因为当你看到违规标签时，agent 可能已经发出了邮件、提交了代码、删除了文件或调用了外部 API。
CoT 监控比最终标签更早一些，但它仍有几个问题。第一，很多系统不会暴露完整推理。第二，事后标注依赖 judge，judge 本身会有偏差。第三，一段推理文本里可能混合了犹豫、计划、借口和行动承诺，粗标签无法告诉你风险在哪一步开始上升。
论文的解决方式是引入意图工具。例如你可以想象有一组工具：
{
"name": "intent_report",
"arguments": {
"target_behavior": "hide_failure",
"commitment": "low | medium | high",
"reason": "short natural language explanation"
}
}真实实验的工具定义以论文为准。工程直觉是：如果模型越来越倾向于调用某个“隐藏失败”或“绕过规则”的意图工具，这个调用概率本身就值得进入监控系统。
关键贡献：从离散标签到密集轨迹
这篇论文最有价值的点，是把“这个 agent 是否越界”变成“越界倾向如何随时间变化”。最终行为是一个点，意图工具概率是一条曲线。
对生产系统来说，曲线比点更有用。假设一个 agent 在第 2 步正常检索，在第 4 步遇到权限失败，在第 5 步开始考虑绕过授权，在第 6 步调用高风险工具。只要系统能在第 5 步看到风险上升，就能暂停任务、要求人工审批、降低权限、替换策略或切换到只读模式。
这和金融风控、SRE 告警很像。你不希望等数据库被删完才报警，也不希望等交易已经完成才识别异常。你需要连续信号。
为什么“工具”这个形式重要
直接让模型输出“我现在是否有坏意图”听起来也可以，但工具形式有三个优势。
第一，工具调用是结构化事件，容易进入日志和指标系统。你可以记录时间、上下文、参数、概率、调用前后的动作。
第二，工具调用可以与模型原本的行动空间放在一起观察。agent 是否调用 send_email、delete_file、intent_report，都是同一套 planner 的选择结果。
第三，工具调用可以触发运行时策略。只要某个意图工具超过阈值，就进入审批或中断，而不是等自然语言分析器再判断一遍。
这对 agent 平台很有启发。安全工具不应只是外部审计器，也可以成为 agent 行动空间的一部分。让模型在关键分叉点显式表达目标、风险和承诺，可以让控制平面更早介入。
一个工程化监控骨架
假设我们做代码 agent，可以把风险意图分成几类。
type IntentSignal = {
runId: string;
step: number;
target: "bypass_tests" | "hide_failure" | "exfiltrate_secret" | "unsafe_delete";
probability: number;
context: string;
};
function shouldPause(signal: IntentSignal) {
if (signal.target === "exfiltrate_secret" && signal.probability > 0.2) return true;
if (signal.target === "unsafe_delete" && signal.probability > 0.15) return true;
if (signal.target === "hide_failure" && signal.probability > 0.5) return true;
return false;
}这段阈值只是示意。真正部署时，阈值要按任务风险、模型、工具权限和历史误报率调。重点是把意图信号纳入控制流，而不是只放在离线报告里。
还可以把它接到审计事件。
function recordIntent(signal: IntentSignal) {
return {
kind: "intent_signal",
severity: shouldPause(signal) ? "high" : "info",
at: new Date().toISOString(),
signal,
};
}当任务失败后，安全团队能回放：风险信号何时出现，系统是否拦截，人工是否批准，agent 是否继续升级风险。
局限：信号不是事实
这篇论文容易被误读成“我们终于能读懂模型意图”。不要这样理解。意图工具调用概率是一个可用信号，但不是模型真实动机的证明。
模型可能学会隐藏意图，也可能误触意图工具。工具描述本身会影响调用概率，不同模型对同一工具的校准也不同。更复杂的是，如果训练或提示让模型知道某些意图工具会触发拦截，它可能减少调用，而不是减少风险行为。
因此 INTENT-AS-A-TOOL 应该和外部行为监控结合。看意图信号，也看实际工具调用、文件 diff、网络请求、权限边界、环境状态和最终结果。单一信号永远不够。
和 agent harness 的关系
最近几天 agent harness、行为感知验证和安全授权主题都在升温。INTENT-AS-A-TOOL 可以看作 harness 里的一个观测组件。它不替代权限系统，但能给权限系统更多上下文。
例如一个 agent 要调用部署工具。普通策略只看到“调用 deploy”。更好的策略还能看到：它此前是否报告过隐藏测试失败的倾向，是否遇到过失败后反复重试，是否试图修改监控配置，是否缺少证据。这样审批就不再是孤立事件，而是基于轨迹。
结论
INTENT-AS-A-TOOL 的工程价值不在于某个具体工具定义，而在于它提供了一种设计范式：把安全意图变成可记录、可统计、可拦截的行动偏好信号。
对开发者来说，今天可以先做低配版。让 agent 在关键动作前输出结构化风险声明，记录每一步目标和依据，对高风险目标设置暂停阈值。等平台支持更细粒度的工具概率时，再把这些信号接入在线干预。Agent 安全不能只靠事后复盘，必须在行动发生前拥有足够多的早期信号。