编码智能体越来越像正经员工了：会写代码、会跑测试、会提交 PR。但 ParanoiaEval（arXiv 2610.08662，2026 年 10 月 6 日提交）盯上的是员工素养里更微妙的一项——判断什么时候该出手、什么时候该收手。这篇来自多机构团队的论文造了第一个统一评测编码智能体「风险处置能力」的基准，结论有点扎心：八个代表性模型里，即便证据明确显示无风险，仍有 11.2% 到 58.7% 的运行在做不必要的防御。
问题：防御性编程的智能体版
人类工程师有句行话叫防御性编程，适度是美德，过度是灾难。智能体把这件事放大了：任务说明里已经写明「该行为已有测试覆盖」，它仍要再补一整套测试；依赖已确认安全，它仍要做全面加固扫描；上下文里证据清清楚楚，它仍选择绕道重写。这些动作不只浪费 token 和时间——不必要的改动会污染 diff、增加审查负担，论文的后置人类研究证实处置违规显著损害开发者体验。
既有评测各自盯着智能体行为的某个侧面，缺少统一框架把「风险处置是否得当」作为独立维度度量。ParanoiaEval 补的就是这个位置，而且开宗明义：风险处置是独立于任务能力的维度。
方法：证据受控的任务对
设计上有两个聪明之处。
框架借用成熟理论。基准锚定软件工程风险管理里经典的 ATMA 四处置框架：回避（Avoidance）、转移（Transfer）、缓解（Mitigation）、接受（Acceptance）。前三类是主动干预，第四类要求智能体在证据充分时「敢于不作为」——确认无风险、放行、说明理由。 ParanoiaEval 把四类处置操作化到编码智能体场景，并为「处置违规」和「证据响应度」定义了专门指标，评测裁判用人工校准过的 agentic judge 保证可靠性。
任务对只差证据。基准包含 200 组仓库级任务对，每组内两个任务几乎完全相同，唯一差别是决定正确处置的关键证据：一个版本里测试确实覆盖了目标行为，另一个版本里没有；一个版本的依赖确实打了安全补丁，另一个没有。这样任何表现差异都能干净地归因于「证据解读」，而不是任务难度或代码风格。这种受控构造让「过度防御」第一次变得可测量。
结果：能力与判断脱钩
八模型大规模实验加人类对照研究给出三个层次的信息。
过度防御普遍存在且方差惊人。不必要的风险处置出现在 11.2% 到 58.7% 的运行中，跨模型、跨配置差异巨大——下限的模型已经相当「淡定」，上限的模型每两次任务就有一次在白忙活。
强模型不等于好判断。任务能力更强的模型并不天然做出更恰当的处置，两者相关但不决定。这对「买最强模型就万事大吉」的选型逻辑是个提醒：如果你的智能体在真实代码库里天天做无用功，换更强的模型未必治得了。
失当模式有系统性，且与人类研究吻合。智能体的处置偏差呈现出与软件工程风险管理文献一致的规律性模式——意味着这不是随机噪声，而是可以诊断、可以针对性修复的行为倾向。人类几十年积累的风险管理知识，居然可以直接拿来当智能体的「行为医学」教科书，这是论文最有工程味的发现。
工程视角：把「判断力」列入评测清单
这篇论文的价值不在分数榜，而在把一个此前模糊的品质变成了可测指标。对正在生产环境跑编码智能体的团队，有三件事可以马上做。
第一，给自己团队的高频任务构造「证据对」：同一任务配「有证据」与「无证据」两个版本，统计模型在证据充分时是否选择接受并说明理由。成本低，信号强。
第二，系统提示词里显式管理处置行为：明确「证据充分时选择接受、并引用证据」的期望，同时对回避类动作设置更高的触发门槛。ParanoiaEval 的任务对构造天然就是提示词优化的对照实验模板，改一句提示词前后各跑一轮即可量化收益。
第三，把处置违规计入成本核算：过度防御的真实代价是 token 费用加审查时间加代码库噪音。当你发现某个模型配置的三成运行在做无用功，那部分账单其实是纯损耗。
局限方面：基准聚焦仓库级编码任务，结论外推到其他智能体场景需谨慎；agentic judge 虽经人工校准，裁判偏差仍需在关键结论上留心；四处置框架的操作化也在早期，指标定义还会演进。另外任务对只覆盖四类处置的典型形态，现实中「部分缓解加部分接受」的混合策略如何计分，还有待后续版本细化。
结语
智能体评测正在从「能不能完成任务」走向「能不能像靠谱的工程师一样行事」。ParanoiaEval 选的切口很准：判断力不等于能力，而判断力恰恰是委托关系里最贵的品质。当你的编码智能体下一次坚持要给一段完美代码补上第三层防御时，可以想想这份基准——它量化了你正在支付的「偏执税」。