Agent System：从请求推理到自主工作流的系统范式跃迁 #

1. 主题缘起 #

2025–2026 年，LLM 的主流使用模式正从单请求问答向多轮自主工具调用剧烈迁移。以 Cursor、Claude Code、Windsurf、Cline 为代表的编程 agent 成为最显著的工作负载形态——它们运行 12+ 小时的连续 session、在单次任务中产生 4000+ 工具调用、消耗 100K–262K tokens 的上下文窗口 [kimi-k2-6] [2604.14228]。这一转变引发了贯穿 model、framework、agent、code 四个领域的系统性重构需求。

应用层驱动的基础设施危机。对 Claude Code 512K 行源码的逆向分析首次揭示了生产级编程 agent 的核心范式——1.6% 决策逻辑 + 98.4% 确定性基础设施 [2604.14228]。极简的 while-loop + AsyncGenerator 架构的成功证明：agent 的核心瓶颈不在"如何让 LLM 决策更好"，而在"如何让基础设施高效支撑 LLM 决策" [2604.14228]。Claude Code 的 5 层渐进式上下文压缩管道（budget reduction → snip → microcompact → context collapse → auto-compact）暴露了编程 agent 对 serving 层的深层需求：prompt cache awareness、超长上下文（200K–1M tokens）、streaming tool dispatch、abort/recovery semantics [2604.14228]。

CPU 侧工具执行被发现是隐藏的主导瓶颈。在 agent 领域，CPU 侧工具执行占端到端延迟高达 88% [2511.00739]，file read/write、shell exec、web search 等 CPU-bound 操作使得 GPU kernel 优化的边际收益上限仅 12% [2511.00739]。投机性工具执行方案将延迟降低 48.5% [2603.18897]，但更深层的问题在于 KV cache 管理——end-of-turn eviction 导致 per-turn queueing delay 累积占总延迟 58.2% [2511.02230]，标准 LRU 在 agent 工作流中命中率仅 27–28% [2605.06472]，启发式剪枝更导致模型崩溃（non-completion rate 60%+）[2602.22603]。

投机执行（speculative execution）成为 idle-time 利用的系统范式。当 35%–88% 的端到端延迟锁定在 CPU 侧工具执行时 [2511.00739]，2025–2026 年涌现出三种互补的投机方案攻击同一物理瓶颈：PASTE 在 middleware 层用历史模式投机预测下一个 tool call（48.5% E2E 降低）[2603.18897]；IdleSpec 在推理策略层将 idle time 重定义为额外的 test-time compute budget——通过 Thompson 采样在 progressive/recovery 双策略间切换做投机规划，准确率提升 +5.1% 且延迟开销接近零 [2605.22154]；Speculative Interaction Agents 在 agent 本体层借鉴硬件投机执行思想——async I/O + safe/unsafe 工具分类 + commit-point 语义将 3B 边缘模型延迟降低 1.6–2.2× [2605.13360]。三者分别从 middleware、推理策略、agent 架构三个层次构成 "agent 投机执行" 方法三角 [2605.22154] [2605.13360]。

编程 agent 的工作负载特征与现有基础设施的根本错配。当前 serving 系统为 chatbot（短 session、独立请求、LRU-friendly 缓存）优化。编程 agent 则要求：session affinity（12h+ session 跨越数千轮 tool call）、KV persistence（工具返回后 KV 必须保留而非驱逐）、workflow atomicity（整个编程任务而非单次请求是调度原子）、bursty tool calls（文件操作/编译/测试 在 CPU 侧产生极端长尾延迟——cd 命令最慢 10% 占 94.1% 总延迟）[2511.02230]。SAGA 测量显示 38% 的集群执行时间花在重新生成被驱逐的 KV cache 上，GPU 利用率仅 42% [2605.00528]。

Framework 层正经历从请求级调度到程序级编排的范式转变。PD 分离架构的存储带宽瓶颈在 agentic workload 下尤其严重——KV cache 命中率高达 98.7%，prefill 从计算密集退化为 I/O 密集 [2602.21548]。ThunderAgent 发现朴素 PD 分离在 agent 场景下退化（更低并发就触发 thrashing）[2602.13692]。Halo 首次将数据库批查询优化引入 agentic workflow [2509.02121]，GLM 的 multi-agent serving 达到 15.1× 吞吐提升 [2511.01633]。vLLM Semantic Router 通过 20+ 异构信号类型上的布尔表达式树决策实现模型集群间的实时 per-request 智能路由 [vllm-project-semantic-router]。

Model 层的两条架构路线同时为 agent serving 开辟空间。DeepSeek-V4 的 hybrid CSA+HCA attention 将 1M 上下文下 KV cache 压至 V3.2 的 10%，单 token 推理 FLOPs 仅 27% [deepseek-v4]。Kimi K2.6 将单次 rollout 推到 4000+ 工具调用、12–13 小时连续执行 [kimi-k2-6]。Kimi Linear 的 KDA 线性注意力将 decode 吞吐提升 75%、KV cache 减少 75% [2510.26692]——直接降低编程 agent 的 per-session 内存占用。

Code 层提供了可落地的开发范式。OpenAI Agents SDK 和 Hermes Agent 分别代表"声明式编排"和"自我进化闭环"两条工程路线 [openai-openai-agents-python] [NousResearch-hermes-agent]。CMV 的 DAG 版本控制 + 三遍裁剪则代表了一种新兴的客户端 context 管理范式——将 serving 层无法感知的会话级优化下沉到 agent 本地 [2602.22402]。

外层优化（outer-loop optimization）兴起为消除人工 harness 工程的新范式。当编程 agent 的性能高度依赖于"包裹固定 LLM 的 harness 代码"（决定存什么/取什么/怎么呈现给模型）时——仅改 harness 就能在同一 benchmark 上造成最高 6× 性能差，但 harness 至今基本靠人手工设计 [2603.28052]。Meta-Harness 把 harness 优化形式化为"冻结模型权重、在代码空间 argmax 期望 reward"的问题，用一个 coding-agent proposer 通过文件系统读取全部历史候选的源码、分数、执行 trace 来逐轮提出新 harness [2603.28052]——它比 SOTA 上下文管理系统 ACE 高 7.7 分且 context token 少 4×，并在 TerminalBench-2 上超过手工 harness [2603.28052]。这与 AgentOpt 的客户端模型组合优化 [2604.06296] 共同确立了"对冻结基座做外层搜索"作为独立于 serving 层的优化范式——前者搜 harness 代码（白盒），后者搜模型组合配置（黑盒）[2603.28052]。

"Code as harness" 把 harness 从工程细节升格为研究对象，并给出了脆弱性的根因诊断。当 Claude Code 的 98.4% 确定性基础设施 [2604.14228] 和 Meta-Harness 的 6× harness 性能差 [2603.28052] 都在暗示 harness 是主导变量时，一篇 478 引用的立场综述把这一直觉写成了明确命题——自主性的瓶颈不只是基座模型的推理能力，也是把模型输出连接到长程动作与持久状态的那套系统的可靠性 [2605.18747]。其论证路径是把 code 从"agent 的输出物"重定义为"agent 的运行底座"：executable（harness 得以验证模型意图）、inspectable（失败可被诊断并回灌）、stateful（交互史不在步与步之间丢失）三性质是功能性的而非记法性的 [2605.18747]。更硬的一击在多智能体侧——把约 25 个多智能体编码系统的 Harness Substrate 列当作一个分布来读，得出"多数系统落在 implicit / file-only 表征层级、根本没有形式化可查询的共享程序状态"，并把三个看似无关的现象（固定轮次停机最盛行、自适应拓扑越来越复杂、context 管理机制层出不穷）全部归因到同一个缺失抽象上 [2605.18747]。这一诊断直接把本主题里的 context 管理集群（Claude Code 5 层 compaction、CMV、SideQuest）重新定位为代偿而非进步——不过该重定位本身有争议，见 §5 与 §6。

四个领域的技术演进共同指向：agentic workload 不是 LLM serving 的一种特殊模式，而是需要从模型训练、推理引擎、缓存策略、路由策略、调度策略到应用框架全栈重新设计的新系统范式。编程 agent 作为当前最具规模的 agentic workload，正在反向驱动整个基础设施栈的演进方向。

2. 覆盖的 category 分布 #

本轮并入的 Cache-to-Cache [2510.03215] 与 Mostik latent-bridge [mostik-latent-bridge] 归属 algorithm 类（本 topic 的 scope_categories 之外），作为"agent 间潜在通信"子线的跨类邻接实体被引用，不计入上表四类计数（见 §5 新增节）。

Framework 类占比最高（14/52），反映 2025–2026 年 agentic 系统优化的主战场在推理基础设施层——不仅包括 KV cache 管理和调度策略，还延伸到 PD 分离路由、模型集群级的智能路由、和批量查询优化 [framework]。Agent 类（29/52）从瓶颈刻画跃迁到成熟的方案集群并显著扩展覆盖面：5 篇论文攻击同一 KV cache 管理问题，同时新增多个独立维度——Qualixar OS 代表 maximalist orchestration 极端 [2604.06392]，Agent Interop Survey 首次引入协议层分析 [2505.02279]，PrefillShare 开辟了训练时干预消除 serving 层限制的新范式 [2602.12029]。新增三大维度：(1) Agent Safety & Governance——AgentAssert 的行为合约验证 [2602.22302]、SkillFortify 的供应链安全形式化扫描 [2603.00195]、AgentAssay 的随机测试框架 [2603.02601]；(2) Agent Memory——SLM-v2 的 Bayesian 信任防御 [2603.02240] 和 SLM-v3 的 Fisher 信息几何检索 [2603.14588]；(3) Model Routing——RouteLLM 的偏好数据路由 [2406.18665]、OI-MAS 的置信感知多尺度路由 [2601.04861]、CASTER 的双分支神经路由 [2601.19793]、AgentOpt 的组合级客户端优化 [2604.06296]。新增 Outer-loop / Harness 优化 维度：Meta-Harness 把"包裹冻结 LLM 的 harness 代码"本身当作搜索目标，用 coding-agent proposer 通过文件系统对全部历史诊断经验做选择性、非 Markov 的访问 [2603.28052]——与 AgentOpt 同属"对冻结基座做外层优化"，但 Meta-Harness 是白盒代码搜索、AgentOpt 是黑盒配置搜索 [2603.28052]。同一维度上 Code as Agent Harness 提供的是命名与诊断而非新方法——三层脚手架（harness interface / harness mechanisms / scaling）加四级表征层级（File-only / Execution-based / Repository-based / Blackboard）把 harness 拆成可比较的坐标系 [2605.18747]，其采纳证据方向是反的：三级权限已由生产 harness 近似出货、AHE 已由 Meta-Harness 带三域数字实现完毕 [2605.18747]。Claude Code 分析和 CMV 代表应用层 context 管理维度 [agent] [2604.14228]。新增 Speculative Execution 维度：IdleSpec 将 idle time 从系统开销重新定义为 test-time compute budget（精度优化）[2605.22154]，Speculative Interaction Agents 将硬件投机执行迁移到 agent 工具调用（延迟优化）[2605.13360]——两者与 PASTE 的 pattern-aware 投机构成方法三角，标志着 idle-time 利用从单一延迟优化扩展为精度-延迟双目标优化。新增 MAS 结构反证 维度：MetaGPT 树立 SOP 结构化交接的正面样本（但角色非单调、强依赖强 backbone）[2308.00352]，MAST 把 MAS 失败提炼为 14 模式 3 类分类（失败集中在规格与验证）[2503.13657]，Scaling MAS 实测缩放收益有界且存在能力阈值 [2607.27942]，MAS Survey 提供四轴分类坐标系 [2402.01680]——四者共同确立"多智能体结构并非天然更优"的反证轴，为本主题 serving-centric 的效率优化标注适用边界。Model 类（5/52）代表从架构和训练双侧为 agentic 能力做端到端适配。Code 类（2/52）提供可落地的开发框架 [code]。

本轮扩展（52→85 sources）在四个方向上加密：(1) 奠基性谱系补全——ReAct 的 reason-act 交错 [2210.03629]、AutoGen 的 conversational MAS [2308.08155]、Parrot 的 Semantic Variable DAG 恢复 [2405.19888] 把本主题的时间轴上溯到 2022–2024 的 agent/serving 起点；(2) Agent KV cache / 调度集群从 5 篇扩到 15+ 篇——Autellix 的 program-level LAS [2502.13965]、TOPAS 的 prefix-state 调度 [2608.25523]、TokenCake/IntentKV/CacheWise/MORI/ForkKV 一批 agent KV serving 方案、以及 SmoothAgent/SwarmX/PipeSwift/Justitia/Decoupling-Readiness 一批尾延迟与公平性调度把"agent-aware runtime"坐实为密集竞争赛道；(3) Agent Memory 从 3 篇扩到 8+ 篇并取得理论地基——AI-Meets-Brain 的认知神经科学映射 [2512.23343]、Learning-to-Remember/Mem-π 的 learned memory policy、Library Drift 的 skill 治理、Experience Compression Spectrum 的 memory/skill/rule 统一坐标系；(4) MAS 理论边界从事后失败归因升级为可计算的适用边界——Science-of-Scaling / IB-MAS / Attention-Handoff-Tax 三篇用三种独立方法推出同一结论（见 §5 新增节）。此外 context 管理子线新增 Active Context（RL curator）、PEEK（orientation cache）两个主动外部状态管理方案，speculative 子线新增 Speculative Tool Calls，decoding 子线新增 DCCD，edge 子线新增 Native MLX 与 Persistent Q4 KV。

3. 时间线 #

4. Evolution timeline (技术谱系) #

关键谱系路径：

1. KV cache 管理的四代演进：KVFlow 引入 workflow-aware 驱逐（静态步数距离）[2507.07400] → Continuum 引入 cost-benefit TTL（时间维度 + 工具延迟 CDF）[2511.02230] → SideQuest 引入语义级淘汰（LLM 自身作为自己的 KV cache 垃圾回收器——这一范式跃迁代表了从"统计代理信号"到"语义信号"的质变）[2602.22603] [2602.22603] → SAGA 和 PBKV 引入预测驱动（DAG 结构 + GNN 多步预测），其中 PBKV 首次将 algorithms-with-predictions 框架引入 KV cache 管理并建立了 Lipschitz 退化保证 [2605.00528] [2605.06472] [2605.06472]。
1. 从瓶颈发现到调度重构：CPU-Centric Profiling 揭示工具执行瓶颈 [2511.00739] → Sutradhara 打破 orchestrator-engine 黑箱（5 API 暴露内部状态）[2601.12967] → Concur 将 KV cache 重新定义为共享有限资源（类比网络带宽），在 agent 粒度做准入控制 [2601.22705] [2601.22705] → ThunderAgent 提升 workflow 为一等调度单元并给出指数衰减 + shortest-first eviction 的最优性证明 [2602.13692] [2602.13692] → SAGA 将 workflow-atomic 推到集群级（64 GPU，SLO 99.2%）[2605.00528]。
1. 模型侧双路径：DeepSeek-V4 通过压缩注意力（CSA 做 4× 压缩 + sparse top-k，HCA 做 128× 压缩 + dense）将 1M context 的 KV 需求压至 10% [deepseek-v4]；Kimi Linear 通过线性注意力（KDA per-channel diagonal gate + DPLR 约束）将 per-token KV 从 O(n) 降为 O(1) fixed-size recurrent state（128×128/head）[2510.26692] [model]——两条路径都直接降低 agent serving 的内存压力。K2.6 将 RL rollout 推到 4000+ 工具调用、12–13 小时、config.json 三代逐字未变 [kimi-k2-6] [model]，反向驱动 serving 系统支持超长 agent session。
1. 应用层 context 管理的独立路线：Claude Code 的 5 层 compaction（在 agent 内部做实时在线压缩，与 prompt cache 经济学深度耦合）[2604.14228] [2604.14228] + CMV 的 DAG 版本控制（在 agent 外部做跨会话结构化裁剪）[2602.22402] [2602.22402] 共同定义了一个新层次——客户端 context 管理作为独立于 serving 层的调度层。这一层让 agent 应用在 serving 引擎感知不到的粒度上管理推理上下文，与 serving 层的 KV cache 管理形成互补而非竞争。
1. 多 agent 内存与缓存融合：Pancake 解决 agent 长期记忆的 ANN 索引 [2602.21477]，TokenDance 解决 agent 间 KV 共享（测得 91–97% 块级重叠暴露了当前系统的巨大浪费）[2604.03143]，GLM 解决 Graph-CoT 的 prefix 复用 [2511.01633]——三者正趋向统一的 multi-agent 内存管理层。
1. 投机执行的三层分化：CPU-Centric Profiling 揭示 81%–92.6% 的 agent 时间花在工具执行等待上 [2511.00739] [2605.22154] → PASTE 在 middleware 层做 pattern-aware 投机（48.5% E2E 降低，Top-1 仅 27.8% 但多候选弥补至 93.8% 命中率）[2603.18897] → IdleSpec 将 idle time 重定义为 test-time compute budget，用 Thompson 采样在 progressive/recovery 策略间动态分配推理，实现精度提升而非延迟降低（+5.1% 准确率，延迟 ~0）[2605.22154]——这是 "投机执行 for accuracy" 的首个系统方案 [2605.22154]。Speculative Interaction Agents 同期从架构层面将硬件投机执行（MIPS R10000 store buffer commit）迁移到 agent 工具调用——async I/O 同时解耦用户输入流和工具返回流，safe/unsafe 分类 + DAG commit-point 保证正确性，但需要专门的 clock-based SI-SFT 训练（3B 模型无法 zero-shot 理解异步格式，normal SFT 崩溃至 33.4%）[2605.13360] [2605.13360]。三者的本质区别：PASTE 预测"下一步做什么"，IdleSpec 规划"如果成功/失败该怎么办"，SIA 训练模型"在信息不完整时就行动"——分别攻击工具预测、observation uncertainty、I/O 阻塞三个不同瓶颈。
1. 外层优化作为"改进固定基座"的第二条路线：当模型权重冻结时，除了 serving 层调度，还能在外层代码/配置空间搜索以撬动巨大收益。AgentOpt 在客户端搜索模型组合配置（黑盒 bandit，Matrix UCB-E）[2604.06296] → Meta-Harness 把同一"冻结基座外层搜索"推进到白盒代码空间——把"包裹固定 LLM 的 harness 代码"当作搜索目标，用 coding-agent proposer 通过文件系统对全部历史候选的源码/分数/trace 做选择性、非 Markov 访问 [2603.28052] [2603.28052]。其消融证明原始 trace 访问是不可压缩的关键成分——把诊断信号压成 summary 或 scalar 会使 median 从 50.0 跌到 34.9/34.6 [2603.28052]。Meta-Harness 的本质是把 Claude Code/CMV/SideQuest 等系统人工设计的"存什么/取什么/怎么呈现"策略变成自动搜索出来的产物 [2603.28052]——它优化的正是 context 管理系统手工设计的对象。
1. 训练时干预作为第三条 KV 优化路线：现有 KV cache 管理方案（Continuum/SAGA/PBKV/SideQuest）100% 在 serving 层操作，假设模型不可变。PrefillShare 打破这一前提——通过 cache-conditioned fine-tuning 让 N 个 task-specific decode module 共享单份 base model KV，从 O(N) 降至 O(1) [2602.12029] [2602.12029]。这开辟了与模型侧压缩（V4 CSA/HCA、KDA）平行但独立的第三条路线：模型压缩降低每模型的 KV 大小，PrefillShare 消除跨模型的 KV 冗余——两者可叠加。其与 serving 层方案完全正交可组合 [2602.12029]，预示了 "training + serving 联合优化" 将成为 multi-model agent serving 的标配。
1. Harness 从工程细节到被命名的形式对象：Claude Code 的逆向分析首次量化了 harness 的体量（98.4% 确定性基础设施）[2604.14228] → Meta-Harness 把 harness 代码变成可搜索对象并给出 6× 性能差的量级 [2603.28052] → Code as Agent Harness 给这条线补上概念地基与坐标系：把 model-internal capabilities / system-provided harness infrastructure / agent-initiated code artifacts 三分，并指出第三类（agent 在任务循环内自建、执行、观察、修订、持久化的代码对象）是被忽视的靶心 [2605.18747]。这条谱系的方向值得注意——它是实践先行、命名后到：三级权限已被生产 harness 近似实现、AHE 已被 Meta-Harness 带数字实现，Code as Agent Harness 的采纳证据方向是"总结已被采纳的东西并指出其共同缺陷"，其唯一可直接照搬的产物是一个诊断问题——"看一个多智能体编码系统，先问它的共享程序状态是什么、agent 能不能查询它" [2605.18747]。

5. 技术线交错 #

编程 Agent 的工作负载特征重塑全栈设计 #

编程 agent（Cursor、Claude Code、Windsurf、Cline）已成为最具规模的 agentic workload，其特征对基础设施提出了系统性挑战：

• 超长 session（12+ 小时）：K2.6 的 4000+ 工具调用 / 12–13 小时连续执行 [kimi-k2-6] 对推理基础设施提出了极端的 KV cache 持久化要求。DualPath 分析显示 working set 随 tool call latency 以 $r^2$ 扩展、总成本以 $r^3$ 增长 [2602.21548]。ThunderAgent 证明 KV offload 到 CPU 因 PCIe 带宽不足而失效 [2602.13692] [2602.13692]。
• Bursty tool calls：文件读写、shell 执行、web 搜索产生极端长尾延迟分布。Continuum 的分析表明 cd 命令最慢 10% 占 94.1% 总延迟 [2511.02230]——这使得标准的 TTFT/TPOT SLO 定义失效。CPU-Centric Profiling 发现 CPU 并行化饱和点在 BS=128 [2511.00739]。
• Context window 压力（100K–262K tokens）：Claude Code 的 5 层 compaction 管道是对 context 压力的直接回应——从 budget reduction（移除不重要 tool output）到 auto-compact（model-generated summary）的渐进策略 [2604.14228]。SideQuest 在 80+ 轮的 deep research agent 上实现 56–65% token 降幅 [2602.22603]，SAGA 的 session-affinity routing 确保 agent 不被分配到冷 worker [2605.00528]。
• Prefix caching 需求：编程 agent 的 system prompt + tool schemas 构成大量可缓存前缀。Claude Code 的 compaction 决策与 Anthropic API 的 cache_deleted_input_tokens 返回值深度耦合——compaction 本身需要考虑 prompt cache 的经济学 [2604.14228] [2604.14228]。

从 Request-Level 到 Workflow-Level Scheduling #

编程 agent 的模式驱动了调度范式的根本变革：

• From LRU to workflow-aware KV cache management：KVFlow 的 steps-to-execution [2507.07400] → SAGA 的 Agent Execution Graph [2605.00528] → PBKV 的 GraphSAGE 多步预测 [2605.06472]。核心洞察是 agent workload 的缓存访问模式有结构（DAG/graph），而非 chatbot 的随机/LRU-friendly 模式。
• From static PD disaggregation to dynamic routing：PPD 发现 append-prefill（Turn 2+）仅造成 2% TPOT 劣化 [2603.13358]，而 ThunderAgent 证明朴素 PD 分离在 agent workload 下导致"单侧 HBM 池变小，更低并发就触发 thrashing" [2602.13692] [2602.13692]。DualPath 的成功恰恰证明朴素 PD 分离确实退化，但优化过的 PD 分离（layerwise streaming + 带宽聚合 + VL QoS 隔离）在超大 MoE 规模可工作 [2602.21548] [2602.13692]。
• From passive context to active context management：Claude Code 的 5 层 compaction 在 agent 内部主动管理 context [2604.14228]；SideQuest 在 serving 层用 LLM 语义推理主动淘汰 [2602.22603]；CMV 在用户端用 DAG 版本控制实现跨会话 context 复用 [2602.22402]——三者代表了 agent 侧、serving 侧、用户侧三个不同层次的主动 context 管理。
• 客户端 context 管理作为新调度层：CMV 揭示了一个重要的架构趋势——当 serving 引擎无法感知 agent 内部状态时，agent 应用本身承担一部分"调度"职责。Claude Code 的 compaction 决策本质上是一个客户端调度器（"什么时候压缩、压缩多少"的决策直接影响 serving 层的 KV cache 利用率）[2604.14228]。

模型能力驱动框架需求 #

DeepSeek-V4 的 CSA+HCA 将 1M 下 KV cache 压至 V3.2 的 10% [deepseek-v4]——若应用于 agent serving 可直接将 per-agent 的 GPU 内存占用降低一个数量级。Kimi Linear 的 KDA 层以 fixed-size recurrent state（128×128/head）替代累积 KV [2510.26692]，从根本上消除了 KV cache 随 turn 数线性增长的问题。这对 Continuum/SAGA/PBKV 的 cache 管理策略构成"上游问题消失"的挑战——当 KDA 的 O(1) KV 取代 MLA 的 O(n) KV 时，精细的缓存管理策略是否仍有必要 [model]？

然而模型侧压缩的落地存在时间差。V4 的 CSA+HCA 仅验证文本模态 [model]，K2.6 的 MLA 仍是 O(n)。在模型侧完全解决 KV 问题之前（预估 2–3 年），serving 层的 agent-aware KV 管理仍是必要的过渡方案。

Agent KV Cache 管理成为独立研究集群 #

2025-11 至 2026-05 的 8 个月内，5 篇论文从不同信息源攻击同一问题——agent 多轮推理中的 KV cache 管理 [agent]：

方案	淘汰决策信号	信号类型	运行时开销
Continuum	tool call 延迟分布 + 显存占比	serving 指标	≈0（TTL 计时器）
SideQuest	LLM 对 tool response 语义有效性的推理	模型语义	~110–140 token/次
SAGA	AEG 后继节点转移概率 × token 重叠度	工作流结构	12.3 + 3.1 ms/轮
PBKV	GraphSAGE 拓扑嵌入 + 前缀注意力 + 语义信号	GNN 预测	~350K 参数，1.18 ms
CMV	message 类型（user/assistant vs tool_result/base64）	结构启发式	零（离线裁剪）

这一集群的谱系关系为 [2602.22603]：

统计代理 ← ← ← → → → 语义理解
H₂O/SnapKV  Continuum  SAGA/PBKV  CMV/5-layer  SideQuest
(attention)  (TTL+cost) (AEG+GNN)  (structure)  (LLM reasoning)

五种方案在 serving 栈的不同层次操作且可组合：SAGA 管集群级 workflow 调度，Continuum 管 turn 间 KV 保留，SideQuest 管单 session 内 token 级语义淘汰，CMV 管跨会话客户端裁剪，PBKV 管动态工作流的预测驱动缓存 [2602.22603]。

2025-10 → 2026-09 的调度/KV 密集化浪潮。本轮新增的一批工作把这一集群从"淘汰信号竞争"扩展到完整的 agent-aware runtime 栈，并在多个正交维度上加密：(1) program/workflow 级调度正统化——Autellix 把 OS 级 Least-Attained-Service 搬到 program 级消除队头阻塞（4–15× 吞吐）[2502.13965]，TOPAS 按"最长剩余路径边际缩减"做 prefix-state 调度 [2608.25523]，Justitia 把网络公平队列移植进来并给 KV 的二次 token-time 成本建模 [2510.17015]；(2) 剪枝与 prefix 复用从互斥走向可组合——IntentKV 用 slot-map 间接寻址把 cross-turn 剪枝与 radix 前缀复用解耦（prefix-hit 20.7% vs compaction 0–3%）[2606.09916]，CacheWise 用参数级工具时长聚类做 Belady 式驱逐 [2606.16824]，MORI 把 idleness 重构为连续相对谱做三层（GPU/CPU/Waiting）自适应分配 [2606.00866]；(3) 多 agent / 多 LoRA 的 KV 冗余结构化消除——ForkKV 沿 LoRA 代数把 cache 拆成共享 base + per-agent residual（12.7× 内存节省）[2604.06370]，TokenCake 协同时间（工具调用 idle 窗口 offload）与空间（动态 KV 分区）两类调度 [2510.18586]；(4) context 变换与尾延迟的异步化——SmoothAgent 把段可分解 context 变换放进 lookahead 流预计算消除 11.9× 变换点 TTFT [2607.00151]，Decoupling Readiness 用 CVaR occupation-form 把 readiness 与 release 解耦做尾风险门控（P95 降 3.50×）[2609.10964]；(5) 可编程/workflow-aware serving 层成形——Pie 用 Wasm inferlet 开放应用级 KV 与 decoding 控制 [2510.24051]，Orla 作为介于编排框架与引擎之间的 workflow-scoped 库避免 mid-workflow 驱逐 [2603.13605]，Latency-Aware Orchestration 在异构 GPU 池上按累积瞬态内存可行性做 model 生命周期 coalescing [2609.03335]，PipeSwift 证明 completion-oriented 负载需 prefill–decode 平衡而非 prefill 优先（360B+ MoE 上 1.45×）[2609.16491]。此外 Parrot 的 Semantic Variable [2405.19888] 和 CPU-GPU 异构调度 [2607.22242] 分别从"服务边界恢复应用结构"与"工具执行的设备放置"两端补齐了这张栈。这批工作与前述五种淘汰信号方案正交叠加——前者决定"KV 放哪/何时迁移/怎么调度"，后者决定"哪些 token 该留"。

投机执行与 Idle-Time Compute：Agent 延迟-精度优化的新维度 #

2026 年 5 月，投机执行作为一个独立的 agent 优化方向达到临界密度。三种方案从不同层次攻击同一物理瓶颈——工具执行期间的 idle time（81%–92.6% 的 agent 运行时间）[2605.22154] [2511.00739]：

方案	投机对象	优化目标	模型修改	正确性机制	延迟效果	精度效果
PASTE	下一个 tool call + 参数	延迟	无	Preemption + 副作用 policy	-48.5% E2E	不变
IdleSpec	Future plan candidates	精度	无（prompt-only）	Reference-based aggregation（soft）	~0 开销	+5.1% avg
Speculative Interaction	Tool call 本身	延迟	必须（SI-SFT）	Safe/unsafe + commit-point + DAG	1.6–2.2× 降低	-0.6–1.7pp
Speculative Tool Calls	工具调用（小模型投机执行）	延迟	无	tool-cache 命中校验	6–21%（client）+2–3%（engine）	不变（<2× 理论上界）

[2603.18897] [2605.22154] [2605.13360] [2512.15834]

早于这三者（2025-12），Speculative Tool Calls 已把投机解码从 token 级（3–10 token）正式升到 tool 级（秒级）——小模型投机执行工具、主模型并行解码，证明 tool-level 投机与 token-level 的本质差异在于工具延迟大数个量级、使 tool-cache 命中比 token draft 更具预测性，并给出 <2× 的理论加速上界（Lemma 1）[2512.15834]。它是 PASTE pattern-aware 投机的直接前驱。

三者的核心差异在于 observation uncertainty 的处理方式 [2605.22154]：

• PASTE 假设历史 tool-call pattern 在未来成立（Pattern Tuple $(C,T,f,p)$ 基于频率统计）[2603.18897]
• Speculative Interaction 假设当前轨迹将成功——投机发起的 tool call 假设 "用户输入最终会到达且行动是正确的"，通过 safe/unsafe 分类 + commit-point 保护不可逆操作 [2605.13360]
• IdleSpec 是唯一显式建模 observation uncertainty 的方案——将策略选择建模为 exploitation-exploration 问题，用 Beta-Bernoulli Thompson sampling 在 progressive（假设成功、推进路径）和 recovery（假设失败、探索替代）之间动态分配计算 [2605.22154]。消融证明双策略（48.2）显著优于单一策略（progressive-only 44.7 / recovery-only 44.0）[2605.22154]

与 serving 基础设施的正交性。IdleSpec 和 Speculative Interaction 均可与 serving 层优化叠加使用 [2605.22154]。IdleSpec 的兼容性实验已部分验证：叠加在 Sequential Revision 上提升 27.9→32.2，叠加在 Planning 上提升 32.2→35.3 [2605.22154]。但在多租户环境中，idle-time drafting 的额外 LLM 请求会占用 batch 槽位和 KV-cache 容量——正是 ThunderAgent 试图解决的问题 [2605.22154]。PASTE 明确用 slack 资源做投机并用 preemption 保护 authoritative 请求 [2603.18897]，而 IdleSpec 缺乏类似的资源管理机制。Speculative Interaction 则需要 serving framework 支持 interruptible streaming（基于 vLLM 实现）[2605.13360]。

精度-延迟 trade-off 的 Pareto 前沿。IdleSpec 和 Speculative Interaction 的优化目标正交——前者提升精度不增延迟，后者降低延迟微损精度 [2605.22154]。两者的组合定义了一个二维 Pareto 前沿：在 idle time 前半段做 speculative tool call（延迟优化），后半段做 speculative planning（精度优化）[2605.22154]。但 benchmark 不重叠——IdleSpec 验证于 GAIA/FRAMES/MLE-Bench，Speculative Interaction 验证于 HotpotQA/TinyAgent [2605.22154]——使得 Pareto 分析目前无法进行。

边缘部署与实时场景的特殊需求。Speculative Interaction 面向实时 voice agent（<1s 响应延迟目标）[2605.13360]，其 clock-based SI-SFT 训练使 3B 边缘模型（Qwen2.5-3B / Llama-3.2-3B）理解异步中断语义——normal SFT 用于 SI format 时准确率崩溃至 33.4% [2605.13360]。但该方法在自然语音数据上严重退化（延迟从 9.3s 增至 14.3s，准确率从 22.0 降至 13.6）[2605.13360]，暴露了 clean benchmark 训练分布与真实语音 disfluency 的严重 gap [2605.13360]。

Agent 运行时约束框架设计 #

PASTE 的投机执行中间件要求 serving 引擎支持 authoritative vs speculative 任务的优先级隔离 [2603.18897]。SAGA 的 session-affinity batching 要求引擎暴露 per-session KV cache 的跨 worker 迁移接口 [2605.00528]。SideQuest 的辅助线程需要 serving 框架支持 KV cache 的 fork-and-share 机制 [2602.22603]。这些需求推动 vLLM/SGLang 从"单请求引擎"演进为"agent-aware runtime"。

SDK 设计反映架构共识 #

OpenAI Agents SDK 的 Runner 循环 + Guardrails + Handoffs 结构 [openai-openai-agents-python] 与 Claude Code 的 queryLoop + Permission System + AgentTool 设计 [2604.14228] 在抽象层级上高度同构，表明生产级 agent 的架构模式已收敛：中央循环 + 安全网关 + 工具分发 + 子代理委派 [code]。Hermes Agent 的 skill 自动创建和持久记忆则映射到 Claude Code 的 CLAUDE.md 4 级层次和 MCP 扩展机制 [NousResearch-hermes-agent] [2604.14228]。两条路线的核心对称性在于：OpenAI SDK 追求 可控性（Guardrails + HitL + RunState 序列化）但无学习能力，Hermes 追求 自治性（Skill patch + 持久记忆 + Atropos RL）但无安全护栏——尚无框架同时实现两者 [code]。

Maximalist Orchestration vs Minimal Loop：Agent OS 设计的哲学极化 #

2026 年 agent 系统设计出现了两个对立极端，形成当前最根本的架构分歧：

• Minimalist 范式（Claude Code）：1 个 while-loop + AsyncGenerator，1.6% 决策逻辑 + 98.4% 确定性基础设施，依赖 frontier model 的 "good judgment" [2604.14228]。生产验证充分（SWE-Bench 49%）。
• Maximalist 范式（Qualixar OS）：12 种执行拓扑 + Forge 自动团队设计 + 三层模型路由（meta-layer bandit → strategy → POMDP belief）+ 8 模块质量保障流水线，试图用系统工程弥补单模型局限 [2604.06392] [2604.06392]。设计极度完备但实证未达显著——自改进循环 3 轮后分数从 0.564 降至 0.519 [2604.06392]。

这一张力的深层含义：Claude Code 证明当 backbone model 足够强时，最小化编排框架反而最优（复杂性的负回报）；Qualixar OS 则赌注当 backbone 不够强时，系统化编排仍能通过 multi-agent 拓扑 + 质量兜底弥补。SGH 的 scheduler 理论将两者映射为 $|\mathcal{U}|=1$ non-det（Agent Loop）vs $|\mathcal{U}| \geq 1$ det（Structured Graph）的连续谱 [2604.11378]，但 Qualixar OS 试图同时覆盖两端（12 种拓扑既含 sequential/circular 也含 hierarchical/forest）却未提供形式化正确性保证——这是其与 SGH 的关键脱节。

悬而未决：Qualixar OS 的 Forge 自动团队设计和 Goodhart 检测是组件级创新 [2604.06392]，但整体系统未通过标准基准验证（仅 20 定制任务，不含 web browsing/file manipulation）。若 frontier model 能力持续提升，minimalist 范式的优势将加速放大——Qualixar OS 的价值可能最终体现在其组件被 minimalist 系统吸收，而非整体架构被采纳。

Multi-Agent 结构并非天然更优：一条贯穿全栈的反证轴 #

本主题的绝大多数工作默认"更多 agent / 更复杂拓扑 = 更好"，并围绕这一假设优化 serving 基础设施。四篇 application-side 工作从不同角度提供了系统性反证——多智能体结构不会自动带来收益，团队规模存在最优点，且失败集中在规格与验证而非执行效率。这条轴与本主题 serving-centric 的主线正交，却直接决定了那些优化的适用边界。

• MetaGPT 树立了"结构化交接换可靠性"的正面样本，也标注了其代价。它把人类软件公司 SOP 编码为线性流水线（PM→架构师→项目经理→工程师→QA），关键不在"加角色"而在把每个角色输出约束成下游可稳定解析的结构化 schema（PRD/File List/Data Structure/Interface/Sequence Flow），以此把自由对话的"传声筒"级联幻觉压到最低，可执行反馈循环（≤3 retries）再带来 +4.2%/+5.4% Pass@1 [2308.00352]。但其角色消融揭示了非单调性——3 角色下"加项目经理"产出更多代码行却可执行性更低（2.0 < 2.5）[2308.00352]，且方法强依赖 GPT-4 级 backbone（Deepseek Coder 33B 可执行性崩至 1.4）[2308.00352]。这与 §5「harness 机制 × backbone 强度」的能力替代型/能力放大型区分完全一致——SOP 结构无法拯救较弱的 backbone。值得注意的是 MetaGPT 正是 TOPAS 等 serving 论文的评测负载，但此前从未在本 KB 被直接引用。
• "Why MAS Fail" 把这条反证轴形式化为可复用的失败分类。对 7 个 SOTA MAS 的 1642 条 trace 做 Grounded-Theory 分析得到 MAST——14 种失败模式聚成 3 类：规格与系统设计（FC1）、智能体间错位（FC2）、验证与终止（FC3）[2503.13657]。三个最常见模式是步骤重复（15.7%）、推理-行动不匹配（13.2%）、未察觉终止（12.4%）——全部落在规格/协调/验证而非执行效率上。最尖锐的发现是：同模型下 MAST 指导的孤立修复只带来 +9.4%（角色规范）/+15.6%（任务目标验证），任务完成率仍低，失败是结构性的、需系统级而非战术级补救 [2503.13657]。它同时给 §5「架构选择在失败类别间做权衡」提供了硬证据——固定 GPT-4o 时 MetaGPT 的 FC1/FC2 失败远少于 ChatDev（SOP 强制规格/角色遵守），但 FC3 验证失败反而 1.56× 更多 [2503.13657]。这与 Code as Agent Harness「验证与终止是脆弱性根因」的诊断 [2605.18747] 从实证侧相互印证。
• "Scaling MAS" 给出了团队规模的最优点与可靠性瓶颈。在 terminal-bench 上扫 4 档复杂度（Singleton→MAS-S→MAS-M→MAS-L），强 backbone（GPT-5-mini）呈倒 U——升到 MAS-M 达峰再跌（MAS-L 因超时掉回 MAS-S 之下），弱 backbone（GPT-5-nano）全程近乎持平甚至 MAS-S 负增长（−7.7%）[2607.27942]。最有生产后果的发现是一致性：所有缩放档下被"所有 run 都解出"的任务比例始终 <50%，且缩放的边际唯一贡献递减 [2607.27942]。根因是 framing-lock——下游 agent 强化上游（可能微错的）framing，错误在 agent 间传播而非被拦截，而为质检设计的 Approver 回环在强模型上大量休眠（MAS-M 有 70% 试次完全不用任何回环）[2607.27942]。核心命题：MAS 放大一个有能力的 LLM，但不能替代它。
• MAS Survey 给出了这条轴的历史坐标系。四轴分类（环境接口/角色画像/通信/能力获取）+ 问题求解 vs 世界模拟双流早已把级联幻觉、"孤立调整 agent 无法兑现集体智能"、以及"缺少多智能体缩放定律"列为核心开放挑战 [2402.01680]。它预示的正是后续三篇的实证发现——本主题里 §6 分歧 9（能力替代型 vs 能力放大型）、Scaling MAS 的最优规模、MAST 的验证类失败，都是这份综述"集体智能尚未实现"命题的具体化。

这条反证轴对本主题的直接含义：serving 层为 MAS 负载做的所有优化（TOPAS 的 prefix-state 调度、Autellix 的 program-level 调度、跨 agent KV 复用）都假设"多 agent 拓扑值得高效支撑"，但 Scaling MAS 表明超过中间档后加 agent 只增成本不增可靠性、MAST 表明失败集中在规格与验证——基础设施效率的边际收益被上游架构可靠性上限所封顶。在为更大 MAS 投入 serving 优化前，先确认该 MAS 尚未越过其规模最优点。

三种方法殊途同归：MAS 适用边界从事后归因升级为可计算量 #

2025-12 至 2026-10 之间，三篇独立工作用三种完全不同的方法论推出了同一条机制结论——multi-agent 的收益来自去除噪声/冗余上下文，代价来自 handoff/relay 的信息损失，二者之差决定胜负，且随基座模型增强而向"代价"一侧倾斜。这标志着 MAS 研究从 MAST/Scaling MAS 的事后失败归因跃迁到事前可计算的适用边界。

工作	方法论	收益项（去噪）	代价项（信息损失）	边界的可计算形式	强模型效应
Science of Scaling [2512.08296]	260 组 compute-matched 配置的经验缩放律（quadratic-in-capability 回归 + 误差放大量纲）	并行子任务分解 + verification bottleneck 收敛误差（Centralized 收 22.7%）	协调税：relay 压缩使并行 agent 发散，Independent 误差放大 17.2×	决策边界 $P_\text{SA}^*\approx45\%$：baseline 过此线加 agent 转负（$p_{Holm}=0.018$）	能力饱和——SAS baseline 越高，MAS headroom 越小
IB-MAS [2607.16133]	信息瓶颈 + 数据处理不等式	上游上下文削减 $H(M_i\mid m_i)$（上下文隔离而非分解，消融 Table 3 证实）	能力加权 relay 损失 $\beta\Delta_i(m_i)$，$\Delta_i\ge0$ 由 DPI 保证	$G_i^{\text{MAS}}>0 \iff H(M_i\mid m_i)>\beta\Delta_i$；relay 复杂度 $\delta$ 分级预测符号	$\beta$（下游能力代理）增大 → 损失项压过收益，TravelPlanner-HC 翻转至 −0.233
Attention/Handoff Tax [2610.06069]	两种税的 stylised 可靠性模型（log-loss 可加性 + 6 定理）	累积 attention tax $\sum a_t$（重置上下文负载换低 per-step 失败率）	handoff tax $h_\text{eff}=h+\Delta_o$（摘要相对全工作区的信息损失，预算内核账）	交叉深度 $L^=\lfloor 2(h+\lambda s)/(\lambda k)\rfloor+1$、最优块 $m^=\sqrt{2h/(\lambda k)}$	平坦退化曲线（强模型/短上下文）→ $a_t\equiv0$ → $L^*=\infty$，单 agent 永胜（Corollary 1）

三条推导路径的汇合点。(1) 方法论互不依赖：Science of Scaling 是受控经验拟合（无闭式证明，R²=0.41 的预测模型），IB-MAS 是信息论恒等式（Theorem 4.1 代数分解 + DPI 下界），Attention/Handoff Tax 是可靠性记账（6 定理 + ledger 任务预测验证误差 <9pp）。(2) 却推出同构的双项结构：IB-MAS 的 $H(M_i\mid m_i)-\beta\Delta_i$、Attention/Handoff Tax 的 $\sum a_t-(L-1)h_\text{eff}$、Science of Scaling 的"误差收敛收益 − 协调税"在数学形式上一一对应——收益是去噪、代价是信息损失、符号由二者之差决定。(3) 强模型反转是三者共同的尖锐预言：IB-MAS 的 $\beta$ 随能力上升、Attention/Handoff Tax 的退化曲线随能力变平、Science of Scaling 的 45% 能力饱和线——都指向"基座越强，MAS 的净收益越小甚至为负"。这与本主题 §6 分歧 9（能力替代型 vs 能力放大型）的区分一致：MAS 作为一种能力替代型脚手架，在弱 backbone 上去噪收益大、在强 backbone 上信息损失代价显。

与 MAST / Scaling MAS 失败轴的连接。MAST 的 14 失败模式（步骤重复 15.7%、推理-行动不匹配 13.2%、未察觉终止 12.4%）[2503.13657] 和 Scaling MAS 的 framing-lock / 中间档峰值 [2607.27942] 都是观察到的失败现象——它们告诉你 MAS "怎么坏了"，但不告诉你"在什么条件下不该上 MAS"。这三篇理论工作补上了后者：Science of Scaling 把它写成一条可代入 baseline 的阈值、IB-MAS 把它写成一个可按 relay 复杂度分级的符号判据、Attention/Handoff Tax 把它写成一个可从单 agent 两次运行外推的交叉深度。MAST 的"验证与终止失败"正是 IB-MAS 的高 $\delta$ relay（下游执行所需精确证据被压进离散 schema 后不可回溯，如 WorkBench 的 record ID）的微观实例；Scaling MAS 的 MAS-L 掉分正是 Attention/Handoff Tax 中 $L$ 超过 $L^*$ 后 handoff 累积代价反超的宏观表现。理论层现在给出的是可计算的 go/no-go 判据，而非仅有事后失败归因——判别成本极低（Attention/Handoff Tax 只需测单 agent 退化曲线 + 一次 handoff 税即可外推任意深度），直接把"要不要上 MAS、团队多大、每 agent 管几步"从架构信仰降为可测的工程量。

协议标准化缺口：Agent 通信的碎片化危机 #

Agent Interop Survey 首次系统揭示了 agent 系统栈中被忽视的协议层碎片化 [2505.02279] [2505.02279]。四阶段协议栈（MCP: Tool Access → ACP: Messaging → A2A: Enterprise Coordination → ANP: Open Internet）中，实际采用呈极端 power law 分布：MCP >> A2A > ACP ≈ ANP。

与已有工作的交叉：

• Claude Code 的 tool-call 是 MCP 的生产级实现——仅 Stage 1 即覆盖绝大多数场景 [2505.02279]，反向质疑了"四层皆不可或缺"的论断
• Qualixar OS 的 Claw Bridge 在应用层通过 adapter 兼容 8+ 框架，本质上绕过了协议标准化——走的是 $O(N^2)$ adapter 路线而非 $O(N)$ protocol 路线 [2604.06392] [2505.02279]
• SAGA 的 session-affinity 路由和 Agent Fair Share 隐式假设了多 agent 间的发现与协商能力——正是 A2A Agent Card 和 ANP DID 试图标准化的能力 [2505.02279]
• CPU-Centric Profiling 的 35%–88% tool 延迟意味着每增加一层协议调用（JSON-RPC parsing + auth + session state），都可能进一步放大 CPU-side overhead [2505.02279]

核心张力：协议标准化的理论收益（O(N) 集成、跨组织互操作）与实际开销（链式调用延迟放大、协议组合复杂度）之间的平衡点尚未找到。当前市场正以 MCP 一家独大的方式隐式"解决"碎片化——但这以牺牲高层协议的 enterprise/internet 级互操作为代价。

Agent 间通信协议本身成为优化对象：潜在通信 vs 文本通信 #

前述协议标准化危机（MCP→ACP→A2A→ANP）默认 agent 间的消息是文本。2025–2026 年出现一条正交的支流——质疑文本信道本身是否应当是 agent 间的通信介质。潜在通信综述把这个此前隐式的默认提升为显式的设计变量：文本信道每 token 只传约 15 bit，而一个 hidden state 承载约 4 万 bit（10³–10⁴ 压缩比），每条文本消息还要付约 2× 的 decode+prefill 成本 [2606.05711]。综述沿 WHAT(embedding / hidden state / KV-cache)×WHICH(对齐)×HOW(融合)三轴归纳 18 个方法，其中 KV-cache 法占 50%、集中在 prefill 相，embedding/hidden-state 法集中在 decode 相；关键贡献是把"潜在是否划算"压成一条 break-even 不等式 $t_{saved}>t_{setup}+S/B+t_{align}+t_{inject}$ 而拒绝宣称 latent 普遍胜过 text [2606.05711] [2606.05711]。

两个具体系统把 council/advisor/subagent 的 handoff 点替换为 latent state：Cache-to-Cache 让 Sharer 的 KV-Cache 经神经投影、以残差+逐层门控融进 Receiver 的 cache（冻结双模型只训融合器），比文本通信高 3.1–5.4% 且 2.5× 加速；其承重约束是"永不覆盖只加修正"——无残差直接替换会使准确率坍塌至 ~20%（低于 4 选 1 随机）[2510.03215]。Mostik 的 latent-bridge 则训练一个冻结权重的"桥"把 753B 模型的 hidden state 翻译进 4B 模型空间，供应商自报 +25% 准确率、2.5× 更省算力（无正式评测）[mostik-latent-bridge]。

与本主题 KV cache / 调度子线的分工对照。潜在通信是通信内容层——决定 agent 之间交换什么表征（文本 token vs hidden state vs KV 张量）；而 TokenDance 的 collective KV 去重 [2604.03143]、TOPAS 的 prefix-state 调度 [2608.25523]、ForkKV 的多 LoRA cache 分解 [2604.06370] 是调度/复用层——决定同一表征放哪、何时迁移、怎么共享。两层正交：C2C/Mostik 把 KV/hidden state 当语义消息跨 agent 传递，与 TokenDance 把近似相同的 KV 去重摊销复用，攻击的是不同问题（语义传输 vs 冗余消除），但都把 KV 张量而非文本当一等公民。核心张力仍是综述自己点明的：潜在通道是"opaque, high-privilege interface"，文本级验证会漏掉被篡改的 KV——这与本主题 §Agent Safety 的 AgentAssert 行为合约 [2602.22302] 冲突，后者的可观测前提（输出可子串检测）在连续张量信道上直接消失 [2606.05711]。

协调代价与 System-One 分工：MAS 效率优化的两条新证据 #

Collaboration Tax 把本主题 §MAS 反证轴从"失败归因/缩放律"推进到协调代价的合作博弈刻画：当两个各自能独立解题的 LLM 被迫分持半题并对话求解时，配对性能低于单 agent 拿到全题，这个 tax = best-single − paired 在 11 个模型上满足两条无例外序（Spatial≻Relational≻CSP、随能力单调缩小），且 Shapley 审计证明弱 agent 无法搭便车、强 agent 也被配对拖累（$\phi_i[2608.22152]。其最尖锐的机制发现是：tax 是对话性而非认知性的——四阶段级联里 Integration(L3) 是唯一有正边际贡献的预测子，而分阶段 prompt 干预仅回收 38.3%，残差部分受 50 轮上限所限 [2608.22152]。这与 Science of Scaling 的协调税、IB-MAS 的 relay 信息损失、Attention/Handoff Tax 的 handoff 代价在机制上同源——都把 MAS 的净损失定位到 agent 间信息对齐/传递这一环，而非单 agent 的推理能力。

S1-MAS 从效率侧给出一个互补处方——若协调代价主要来自"用昂贵 LLM 做本质有界的协调决策"（选任务/派角色/判停止），那就把协调从生成式 worker 剥离：轻量 System One 控制器在确定性编译的类型化动作菜单上打分做有界路由，0.6B 阅读器定位证据做 grounding，只把开放推理留给 GPT-4o worker [2610.08155]。消融给出全文最有力的一击：把协调交回 GPT-4o-mini 路由既贵（2.19M vs 0.54M token）又不更准（83.14% vs 84.17%），证明生成式协调是纯浪费 [2610.08155]。S1-MAS 与 Collaboration Tax 形成因果闭环——后者诊断协调代价集中在对话级 Integration 环节，前者用"非生成式 System One + 证据定位阅读器"把该环节的 token 成本压到近零而不损精度，恰是对"协调代价可通过削减生成式协调来回收"这一假设的系统级验证。

训练时干预作为 Serving 优化新范式：PrefillShare 的突破 #

PrefillShare 在 agent 类别中开辟了一个全新的优化层次——通过修改模型训练过程消除 serving 层的根本限制 [2602.12029] [2602.12029]。现有 agent-serving 研究（Continuum/SAGA/PBKV/ThunderAgent）100% 在 serving 层操作，假设模型参数不可变。PrefillShare 通过 cache-conditioned fine-tuning 打破这一前提：frozen base model 生成共享 KV cache + task-specific decode modules 读取共享 cache，将 $N$ 模型的 KV 冗余从 $O(N)$ 降至 $O(1)$。

与已有 KV cache 管理方案的正交性使 PrefillShare 可直接叠加：

• PrefillShare 消除跨模型冗余 → Continuum 的 TTL 进一步管理共享 cache 的保留策略（且 Benefit 项应乘以 $N$）[2602.12029]
• SAGA 的 AEG 可预测下一步调用哪个 decode module → 提前预加载 task-specific 权重 [2602.12029]
• TokenDance 的跨 agent KV 共享面向同模型不同 prompt，PrefillShare 面向不同模型相同 prompt——两者解决 KV 冗余的不同维度 [2602.12029]

这一范式的深层含义类似于 quantization-aware training vs post-training quantization：PrefillShare 选择改变模型以适应部署约束，而非在不可变模型上做调度优化。其隐含预测是：当 multi-model agent pipeline 成为主流（coding + reasoning + testing 分别用不同 fine-tuned 模型），训练时对齐将成为消除跨模型 KV 冗余的唯一彻底方案。

路由层作为独立系统层 #

vLLM Semantic Router 在 agent stack 中引入了全新的基础设施级路由层——位于应用编排器之下、推理引擎之上 [vllm-project-semantic-router]。这一层将"模型选择"从应用代码中剥离并下沉到基础设施，类似 Envoy 将负载均衡从应用代码中剥离。其信号驱动决策架构与 Sutradhara 的 orchestrator-engine co-design [2601.12967] 和 Scepsy 的 aggregate pipeline scheduling [2604.15186] 形成三层互补：Semantic Router 决定"哪个模型"，Sutradhara 优化"单模型上的 agentic pipeline"，Scepsy 优化"多模型间的 GPU 分配"。

2024–2026 年的路由研究呈现清晰的演进谱系。RouteLLM 首次证明人类偏好数据（Chatbot Arena 80K 对战）编码了 query-difficulty 信号，MF 路由器以 <0.4% 开销实现 >2× 成本节约且跨模型族迁移（GPT-4/Mixtral → Claude Opus/Sonnet 零样本）[2406.18665]。OI-MAS 将路由从 query-level 提升到 per-step level——层级化 role router + model router 联合优化，置信感知 RL 目标中高置信放大成本惩罚、低置信允许升级，实现 +7.68% 准确率同时 79.78% 成本削减 [2601.04861]。CASTER 进一步引入 on-policy 自改进——双分支融合网络（语义 1536d + 结构 6d）预测 step 难度，routing 失败自动成为最高价值训练信号，72.4% 成本削减且 Pareto 优于 FrugalGPT cascading [2601.19793]。AgentOpt 则发现路由的 组合级本质——模型质量不是 context-free 属性：Opus 4.6 作为独立模型最强，但作为 planner 最差（31.71% vs 74.27%，7/9 配置完全绕过 solver）[2604.06296]。这一发现从根本上否定了 per-call 路由的假设——必须在 pipeline 级评估模型组合。

路由研究的谱系可按决策粒度和信号类型组织：

方案	决策粒度	信号类型	训练数据	成本节约
RouteLLM	per-query	偏好数据预测 $P(\text{win}_s\	q)$	80K Arena + augmentation	>2× (CPT 13.4%)
Semantic Router	per-request	20+ 异构信号布尔表达式	无训练（规则驱动）	—
OI-MAS	per-step	token log-prob 置信 + RL	任务正确性奖励	79.78%
CASTER	per-step	语义嵌入 + 结构元特征	合成冷启动 + 负反馈	72.4%
AgentRouter	per-step（轨迹感知）	5 路由时特征（含上下文占用 $f_{ctx}$）	依赖感知标签 + 非对称损失	71.8%
AgentOpt	per-pipeline	端到端 accuracy/cost/latency	bandit exploration	62–76%

AgentRouter 从另一侧补强了 per-step 路由——它指出 agent 轨迹的独特可利用性质是步内复杂度差异极大（规划步需 Frontier、紧随的 JSON 格式化步只需 7B），而单轮路由器错失两个信号：步 $t$ 的决策影响步 $t{+}1$ 的上下文质量、累积轨迹上下文决定一步的真实复杂度 [2609.22951]。其核心壁垒是依赖感知标签：对 6,250 条轨迹每步 × 四档模型穷举执行打分，再在"前序步已按最小充分档路由"的反事实假设下归因每步的最小充分档，把不可分解的端到端质量折成可监督标签 [2609.22951]。这与 AgentOpt 的 per-pipeline 发现（模型质量非 context-free）相互印证——两者都证明"把每次调用当独立事件"的单轮假设在多步轨迹上失效，但 AgentRouter 是 per-step 分类器、AgentOpt 是 per-pipeline 组合搜索，落在决策粒度梯度的不同位置。

核心张力：per-call 路由（RouteLLM、Semantic Router）vs per-step 路由（OI-MAS、CASTER）vs per-pipeline 优化（AgentOpt）代表三个不同的抽象层次。AgentOpt 的实证表明 per-call 路由在多步 pipeline 中可能产生反直觉结果（LM Proposal 仅 34.13% vs brute-force 74.27%）[2604.06296]，但 per-pipeline 搜索需要 exhaustive evaluation（$51–124/benchmark）[2604.06296]。OI-MAS 和 CASTER 的 per-step 路由在中间找到了实用平衡点。

外层优化：Harness 代码搜索 vs 模型组合配置搜索 #

当模型权重冻结时，"如何改进固定基座"分化出两条互补的外层优化路线，二者共同把"对冻结基座做外层搜索能撬动巨大收益"确立为独立于 serving 调度的优化范式：

• AgentOpt——黑盒配置搜索：优化对象是模型组合配置（planner/solver 各用哪个模型），用 Matrix UCB-E bandit 在组合×数据点网格上搜，62–76% 预算节约 [2604.06296]。它把模型选择当作不可窥探的黑盒，只 condition 在 end-to-end 标量分数上 [2603.28052]。
• Meta-Harness——白盒代码搜索：优化对象是"包裹冻结 LLM 的 harness 代码"本身（prompt 构造、检索、记忆、orchestration 逻辑），用 coding-agent proposer 在代码空间 argmax 期望 reward [2603.28052]。其关键创新是把全部历史通过文件系统暴露给 proposer——每个被评估过的 harness 贡献一个含源码、评分、执行 trace 的目录，proposer 用 grep/cat 按需检索、对失败做因果归因（每轮中位读 82 个文件，访问是非 Markov 的）[2603.28052] [2603.28052]。

两者占据"同一外层优化空间的两个不同坐标"——黑盒配置 vs 白盒代码 [2603.28052]。一个尚未占据的杂交格子是把"谁当 proposer、谁当 base"也纳入 Meta-Harness 的联合搜索空间，做 (组合配置, harness 代码) 的二级优化 [2603.28052]。

Meta-Harness 与本主题 context-management 成员的关系——自动化 vs 人工设计。Claude Code 的 5 层 compaction [2604.14228]、CMV 的 DAG 三遍裁剪 [2602.22402]、SideQuest 的 LLM 语义淘汰 [2602.22603] 都是人工设计的"存什么/取什么/怎么呈现给模型"策略。Meta-Harness 的核心主张是这类决策可被自动搜索——它优化的正是这些 context 管理系统手工设计的对象，并在文本分类上把发现的 harness 做到比 SOTA 上下文管理系统 ACE 高 7.7 分（48.6 vs 40.9）、context token 仅 ACE 的 ~22% [2603.28052]，在 TerminalBench-2 上超过手工 harness Terminus-KIRA（76.4% vs 74.7%）[2603.28052]。其壁垒不在"用 LLM 改代码"，而在"全保真历史 trace + proposer 选择性访问"二者缺一不可——压成 summary/scalar 即塌掉 [2603.28052]。

与 serving 层优化的成本口径张力。Meta-Harness 报告的"48.6 分只用 11.4K token、比 ACE 省 4×"指的是被发现 harness 的部署期推理成本，其搜索期成本被隐藏——单次评估可达 10M token、一次 run 约评估 60 个 harness、proposer 是 Opus-4.6 [2603.28052]。相较之下 AgentOpt 明算了搜索 $ 开销（brute-force $4.71–123.87/benchmark，bandit 省 62–76%）[2604.06296]。这是一次性巨额前置成本——外层优化的真实经济性需把"一次性搜索投入"与"长期部署节省"一并核算，而 Meta-Harness 在这点上拿部署省 4× 去对标 ACE，回避了搜索投入 [2603.28052]。

Code 作为 Harness 底座：共享程序状态的缺失作为脆弱性根因 #

前一节的两条外层优化路线都在改进 harness，但都没有回答"harness 究竟由什么构成、它的表达力边界在哪"。Code as Agent Harness 补上了这一层，方式是把 code 从"agent 的输出物"重定义为"agent 的运行底座" [2605.18747]。

三性质是功能性的，不是记法性的。executable 意味着 harness 能验证模型意图；inspectable 意味着失败可被诊断并回灌；stateful 意味着交互历史不在步与步之间丢失 [2605.18747]。作者同时钉死了非隐喻边界——程序、脚本、形式规范、API schema、工具定义、测试、仓库、模拟器、配置文件，以及由可执行系统产生/消费的 trace 和 log 都算 code；原始感知、物理状态、人类意图、模型内部隐式推理不算，它们只能被 code 序列化、估计、验证或作用 [2605.18747]。这条边界解释了为什么纯文本推理路线（CoT 式）在 harness 视角下是不可检验的：它"几乎不给 harness 任何能力去验证中间状态、检视执行行为、跨步持久化计算进度"。

PEV 回路把本主题里散落的机制缝成一个控制过程。plan 阶段产出一份关于下一次状态转移的 contract（read set / write set / 不变量 / 验证命令 / 回滚点 / 风险操作），execute 阶段在 sandbox + 权限分层内完成有界转移，verify 阶段用确定性传感器（linter / parser / compiler / type checker / unit+integration test / static analyzer / fuzzer / runtime monitor / CI）与人审 gate 判定状态是否可接受 [2605.18747]。三个交叉点值得记：

• 终止判据。PEV 规定终止由验证决定而非模型置信度决定——这与 SGH 的 bounded termination 证明 [2604.11378] 是同一诉求的两种表述。但该规范在实现侧近乎零命中：被系统性核对的 6 个实现全部用轮数上限或最大 trial 数停机，Code as Agent Harness 自己的 PEV 代表性表 15 行中也只有 1 行覆盖全回路 [2605.18747] [2605.18747]。因此这一条应被读作 roadmap 而非现状描述。
• 权限分层。read-only（浏览/检索/静态检视/日志分析）→ sandbox-edit（局部打补丁/跑测试/临时装依赖）→ full-access（网络、凭证、部署、发包、破坏性文件操作、Git 历史改写，强制挂 HITL gate），切分依据是后果溢出沙箱与否 [2605.18747]。这比 Claude Code 的 7 层安全管道（按检查类型分层）和 Agents SDK 的 Guardrails（按并行组件分层）多了一个正交轴，也给 93% approval fatigue 问题 [2604.14228] 提供了一个非"逐次确认"的收敛方向：只在最高一层强制人审。
• plan 阶段 contract 与 AgentAssert 的行为合约同构。前者声明 read/write set + 不变量 + 验证命令，后者用六元组声明 hard/soft 前置/后置条件并给 $(p,\delta,k)$-满足语义 [2602.22302]。PEV 缺的正是 AgentAssert 提供的东西——随机 LLM 下的概率合规语义与漂移界；AgentAssert 缺的是 PEV 提供的东西——contract 与权限层、回滚点的绑定。两者尚未被任何工作组合。

中心诊断：缺少形式化可查询的共享程序状态。把约 25 个多智能体编码系统的 Harness Substrate 列当作分布而非清单来读，结论是多数系统落在 File-only / implicit 层级，agent 之间没有可查询的共享程序状态表示——作者主张这才是系统脆弱性的技术根源，而非规模问题 [2605.18747]。三症归一因：固定轮次停机最盛行（没有客观状态表征就没有原则性停机判据）、拓扑越来越复杂（底座不可查询，只能靠更丰富的交互模式补状态信息）、context 管理机制层出不穷（都是同一问题的不同代偿）[2605.18747]。其唯一的形式化支点是借自被引工作的 $\lvert B_k - S_k \rvert$（仓库真值状态与 agent 信念状态之差），而该量的度量空间未定义、绝对值号是隐喻性的 [2605.18747]。

这一诊断对本主题的其他成员是重新定位而非否定，且该重新定位有直接反证：

本主题成员	在四级表征层级中的位置	诊断给出的读法	反证
Claude Code 5 层 compaction [2604.14228]	File-only / implicit	context 机制爆发 = 代偿	生产验证充分，SWE-Bench 49%
CMV DAG 三遍裁剪 [2602.22402]	File-only（客户端）	同上	会话级 20% 缩减为实测
SideQuest LLM 语义 GC [2602.22603]	Execution-based（语义信号）	无形式底座下的语义补偿	56–65% token 降幅
Cursor 的文件系统即惰性上下文 [blog-dynamic-context-discovery]	File-only 的极端形态	最弱层级	MCP 重度会话 A/B 显著省 46.9% token

层级排序是表达力排序，不是优劣排序。File-only 被放在最低端，但 file-only 的极端形态在生产上拿到了 A/B 显著的 token 下降，其价值恰恰来自不引入新抽象——任何模型都已会用 rg/tail/jq [blog-dynamic-context-discovery]。而形式化底座必然引入新抽象与新适配成本。两个排序的目标函数不同（可查询性 vs 上下文成本），"层级"一词暗示的单调优劣是修辞越界 [2605.18747]。

关键矛盾：harness 瓶颈的前提只在能力替代型机制上成立。Code as Agent Harness 的归因转移（瓶颈不只在基座模型）是其全篇前提，也是其最未被检验的一条——0 实验，无法给出 harness 侧改进的边际收益比例 [2605.18747]。跨篇核对暴露出它混了两类性质不同的机制 [2605.18747]：

• 能力替代型（角色分解、工具、确定性传感器、权限门）在弱模型上就有效。Code as Agent Harness 自举的最极端例子是承重的 Test Executor 不是 LLM 而是一段普通 Python 脚本 [2605.18747]；多 agent 相对单 agent 的增益在弱 backbone 上更大也属此类。
• 能力放大型（reflection、critique、causal 归因）依赖 backbone 的自诊断能力，在能力阈值以下完全无效——某些 backbone 消融显示方法增益为零，自诊断是涌现的，任何回路工程都补不回来。Meta-Harness 的 proposer 要跨轮对比 trace 隔离 confound [2603.28052]，正落在阈值之上才成立的那一类。

这一区分对本主题的实践含义是直接的："harness 是瓶颈"不能作为无条件命题指导选型。在 3B–8B 边缘模型场景（如 Speculative Interaction Agents 的 Qwen2.5-3B [2605.13360]），应优先投入能力替代型 harness（确定性传感器、权限门、角色分解）；能力放大型机制（自动 harness 搜索、agentic critique）只在 frontier backbone 上才有正回报——这与 Meta-Harness 必须用 Opus 级 proposer [2603.28052] 和 Qualixar OS 自改进循环三轮后退化 [2604.06392] 两条证据一致。所需的判别实验是一张 harness 机制 × backbone 强度的二维网格，两条轴的方法论在相关工作里都是现成的，但至今无人做 [2605.18747]。

反馈压缩的尺度依赖。Code as Agent Harness 转述 imagined execution（LLM 逐步模拟解释器、不真跑代码）在 MBPP 上达 98%+ precision/recall，据此开出"语言推理走快路径、执行只在特定失败模式上作为 oracle"的处方 [2605.18747]。Meta-Harness 的接口消融给出反向证据：把原始 trace 压成 score 或 score+summary，median 从 50.0 跌到 34.6/34.9 [2603.28052]。二者的调和是尺度不同——前者是任务态单次判定（一个函数过不过测试，失败模式浅），后者是 harness 态跨轮因果归因（把下游失败归因到很多步之前的设计决策），后一层压缩反馈会直接塌掉 [2605.18747]。本主题里凡涉及"该给模型多少原始 trace"的决策（Claude Code 的 budget reduction 与 auto-compact、CMV 的三遍裁剪、SideQuest 的语义淘汰）都应按这个尺度轴分别定档，而不是套用统一的压缩处方。

四级层级缺"刻意分区"这一格。多智能体框架的消息可见性隔离（某些 agent 间的对话对彼此不可见）被其作者视为多 agent 正确性的隐形前提，用来防分心、幻觉与走捷径——这是故意不共享状态，与"底座越形式化、越共享越好"的单调轴正交，四级层级里没有位置放它 [2605.18747]。真实多智能体系统需要同时要两者：哪些 artifact 全局可查询、哪些必须 agent 私有。本主题内没有任何工作给出这个划分的原则 [2605.18747]。

Agent Safety & Governance #

2026 年 agent 安全研究从"事后检测"走向"形式化验证 + 运行时强制"的范式转变。三篇论文从互补角度构建了 agent 安全的三层防御：

行为合约层（AgentAssert）：首次将 Design-by-Contract 引入 AI agent 运行时——六元组合约 $(\mathcal{P}, \mathcal{I}_{\text{hard}}, \mathcal{I}_{\text{soft}}, \mathcal{G}_{\text{hard}}, \mathcal{G}_{\text{soft}}, \mathcal{R})$ 区分 hard/soft 约束，$(p,\delta,k)$-satisfaction 为随机 LLM 提供概率合规语义 [2602.22302]。核心创新是 Ornstein–Uhlenbeck 漂移模型的 前导指标——JSD 分布漂移在约束违反 发生之前 检测行为偏移（类似于金融市场的波动率预警 vs 实际亏损），这是所有先验方法（NeMo Guardrails、输出过滤）所不具备的能力 [2602.22302]。组合性定理（Theorem 4.9）为 multi-agent 链提供了可靠性量化退化界：可靠性乘法退化 $p_{\text{chain}} \geq \prod p_i$，漂移加法积累 $\delta_{\text{chain}} \leq \sum \delta_i$。实验覆盖 7 模型 × 1,980 session，<10 ms 执行开销证明生产可行性。

供应链安全层（SkillFortify）：agent skill 生态系统面临供应链危机——ClawHavoc 渗透 1,200+ 恶意 skills、MalTool 编录 6,487 恶意工具、26.1% 扫描 skills 存在漏洞 [2603.00195]。SkillFortify 提供首个形式化分析框架：Dolev-Yao 攻击模型适配 5 阶段 skill 生命周期（maximality theorem 3.6），抽象解释在 4 元素 capability lattice 上实现 sound 静态分析（Galois connection 保证 soundness: $\mathit{Viol}(s) = \emptyset$ 则无具体执行超出声明能力），SAT 编码将 capability 约束注入依赖解析 [2603.00195]。0% FPR + 96.95% F1 是工程级可用的——"no findings = no risk" 的形式化保证类似于 A380 飞控软件的 Astrée 验证器。

随机测试层（AgentAssay）：agent 的内在非确定性使传统二值 pass/fail 测试失效——同一 prompt/tools/model 产生发散行为。AgentAssay 引入三值随机判决（Wilson score CI）+ SPRT 自适应停止（78% 试验缩减）+ 行为指纹检测（Hotelling's $T^2$ test）[2603.02601]。核心发现：当 agent 改变工具使用模式或推理链但不影响输出正确性时，传统测试有 完全 0% 检测力，而指纹方法达 86% [2603.02601]。与 AgentAssert 的集成点：trace-first 离线分析可在存储的 traces 上运行合约检查，零 API 成本。

三层防御的互补性和与已有安全机制的交叉：

层次	时机	保证类型	与 Claude Code 7 层安全的关系
SkillFortify	部署前（CI/CD）	形式化可靠性（soundness）	替代 permission-based gatekeeping 的静态分析层
AgentAssert	运行时（per-action）	概率合规 + 漂移界	形式化 Claude Code 的 defense-in-depth 中 approval 机制
AgentAssay	版本间（regression）	统计检测力保证	为 Claude Code 的 5 层 compaction 提供回归检测

这一集群显著加强了 Challenge 4（Agent 安全性的多层联防）的方案侧：AgentAssert 的合约验证提供了 Claude Code 93% approval fatigue 问题的替代路径——用形式化合约代替人类确认 [2602.22302]；SkillFortify 攻击 Hermes Agent 缺乏安全护栏的具体盲区——skill supply chain [2603.00195]；AgentAssay 为 SGH 的 validation gap（$0.95^{10} \approx 0.6$）提供了统计检测框架 [2603.02601]。

Agent Memory #

Agent 持久记忆系统从"附加功能"演进为安全关键型基础设施。SuperLocalMemory 的两代演进代表了这一领域的两个独立突破：

安全优先的记忆架构（SLM-v2）：OWASP ASI06 将记忆投毒识别为关键威胁——中毒记忆跨越 session 边界影响所有后续决策（Gemini Memory 漏洞、日历邀请投毒 73% 成功率）[2603.02240]。SLM-v2 的核心创新是 architectural isolation——local-first 设计从结构上消除云介导攻击面（记忆永不经过网络），Bayesian 信任评分以不对称信号幅度（负 > 正）使信任获取比丧失更难（trust gap = 0.90），sleeper agent 攻击从 0.902 衰减到 0.249（低于 0.3 写入阈值）[2603.02240]。四层渐进增强栈（SQLite+FTS5 → 层次索引 → 知识图谱 → 模式学习）+ v2.7 自适应 re-ranking 实现 +104% NDCG@5，20 ms 开销。

信息几何驱动的检索（SLM-v3）：三个数学上未被解决的问题——(1) cosine 对所有嵌入维度等权（忽略 per-dimension 统计精度），(2) 固定 TTL/指数衰减忽略记忆空间几何，(3) 无形式化矛盾检测 [2603.14588]。SLM-v3 的解决方案：Fisher 信息加权检索（Theorem 6.1, Čencov 唯一性定理保证这是唯一满足统计不变性的检索度量），Poincaré ball 上 Riemannian Langevin 动力学驱动记忆自然遗忘（Theorem 6.3, Fokker-Planck 证明唯一稳态分布），Sheaf 上同调（$H^1 \neq 0$ = 不可调和矛盾）[2603.14588]。实证：LoCoMo +12.7 pp（最难对话 +19.9 pp），Fisher vs cosine 的优势随 memory store 密度增长（Proposition 7.2：Fisher 打破 cosine 集中屏障）。

与已有 agent 记忆系统的关系：

系统	定位	关键差异
Pancake [2602.21477]	多 agent 长期记忆 ANN 索引	性能优化（82%→3.2% 开销），无安全考量
SLM-v2	单/多 agent 本地记忆	安全优先（Bayesian 信任 + 架构隔离），无高级检索数学
SLM-v3	单/多 agent 本地记忆	检索质量优先（信息几何），建立在 SLM-v2 基础设施上
Hermes Agent Memory [NousResearch-hermes-agent]	Skill 持久化 + 记忆	功能实现，无安全或数学基础
Learning How to Remember [2601.07470]	可迁移记忆 copilot	DPO 训练的抽象/组织策略与冻结 task model 解耦，"怎么记"跨模型迁移
Mem-π [2605.21463]	端到端生成记忆策略	decision-content 解耦 GRPO + Δ-gating 学"何时/写什么"，无外部验证器
Active Context [2604.11462]	RL context curator	每轮重写工作记忆，闭源 executor 吸收进环境使 distal reward 有效
PEEK [2605.19932]	orientation cache	缓存常数大小"定向知识"，提取(Distiller)与编辑(Cartographer)分离

记忆方向从"存储/检索"扩展为"学习如何记忆"。本轮三条新增把 agent memory 推进到策略学习层次：Learning How to Remember 用 DPO 训练一个与冻结 task model 解耦的 Memory Copilot，证明"怎么记"（抽象策略）比"记什么"（内容）更可跨模型迁移（GPT-4o-mini +20.71% / Gemini +22.86%）[2601.07470]；Mem-π 把记忆建模为端到端生成策略，用 decision-content 解耦的 GRPO + Δ-gating 同时学"何时生成"与"生成什么"，解决扁平 per-token 目标无法解决的 abstention 问题 [2605.21463]；Active Context 则把"记忆"做成 RL 训练的 context curator，每轮重写工作记忆、把闭源 executor 吸收进环境动态以获得有效的 distal reward [2604.11462]。三者与 SLM-v2/v3 的"安全+检索数学"路线正交——前者学策略、后者保正确性与几何。AI Meets Brain 从认知神经科学侧为整个方向提供了统一管线坐标系（extraction→updating→retrieval→utilization）并明确 agent memory 以交互反馈环区别于静态 RAG [2512.23343]，而 Experience Compression Spectrum 指出 memory/skill/rule 三个社区（20+ 系统）互引用 <1%、各锁定单一压缩层级、缺"自适应跨层路由"这条对角线 [2604.15877]——这与 PEEK（orientation cache）的 active×external-context 格子、Library Drift（skill 库无界累积退化 + Ratchet 治理）[2605.19576] 共同暴露了记忆/技能生命周期治理的系统性空白。

核心张力：SLM-v2/v3 的 local-first 假设（零云依赖）与 multi-agent collaboration 的共享记忆需求存在本质矛盾——当多个 agent 需要共享记忆时，"local" 的边界如何定义？Pancake 解决了共享记忆的性能问题，SLM-v2 解决了安全问题，但两者尚未组合。SLM-v3 的 sheaf 上同调矛盾检测可能成为 multi-agent 共享记忆的一致性层——当不同 agent 写入矛盾记忆时，$H^1 \neq 0$ 提供形式化检测。而 Learning-to-Remember/Mem-π/Active Context 的"学习型记忆策略"与 SLM 的"静态安全检索"尚未组合——一个可学习的 curator 若写入被投毒记忆，SLM-v2 的 Bayesian 信任与 Mem-π 的 Δ-gating 如何协同仍是开放问题。

6. 共识与分歧 #

共识 #

共识 1：KV cache 管理是 agentic serving 的核心瓶颈。从 KVFlow 的 STE 驱逐 [2507.07400]、Continuum 的 TTL [2511.02230]、Concur 的 AIMD [2601.22705]、ThunderAgent 的指数衰减 [2602.13692]、SideQuest 的语义 GC [2602.22603]、DualPath 的双路径加载 [2602.21548]、Helium 的 Templated Radix Tree [2603.16104]、TokenDance 的 collective 去重 [2604.03143]、SAGA 的 WA-LRU [2605.00528]、到 PBKV 的 GraphSAGE 预测 [2605.06472]——10+ 篇论文从不同角度攻击 GPU HBM 中的 KV cache。SAGA 量化表明 38% 集群时间花在 KV 重建 [2605.00528]。

共识 2：请求级调度在 agentic workload 下系统性失效。Concur 证明 request-level admission 可能比无控制更差（某配置 0.72×）[2601.22705]。ThunderAgent 测得 vLLM 的 KV-aware 路由导致 51% 跨节点内存不均衡 [2602.13692]。KVFlow 证明 LRU 在循环 workflow 下产生反向驱逐信号 [2507.07400]。SAGA 的 O(k²c) 退化分析给出了理论解释 [2605.00528]。Halo、Helium、ThunderAgent、SAGA 一致认为需要 agent-level 或 program-level 的调度粒度 [framework]。

共识 3：Tool 执行是 agentic 系统的主要延迟源，且 idle time 是可利用的资源。CPU-Centric Profiling 测得 35%–88% [2511.00739]，PASTE 复现 35%–61% [2603.18897]，Sutradhara 在 Microsoft 生产 trace 上测得 30%–80% [2601.12967]，Continuum 发现排队延迟占 58.2% [2511.02230]，IdleSpec 独立测得 81%–92.6% 的 agent 运行时间被工具执行占据 [2605.22154]。五篇独立工作一致确认 CPU 侧是主要延迟贡献者——GPU 越强（H200/B200），CPU 瓶颈越突出（Toolformer 推理占比从 Sys1 88% 降至 Sys2 77%）[2511.00739]。更重要的是，PASTE、IdleSpec、Speculative Interaction Agents 三篇方案一致证明这些 idle time 并非不可避免的浪费，可分别用于投机工具执行、投机规划、和异步 I/O 重叠 [2603.18897] [2605.22154] [2605.13360]。

共识 4：安全正从附加检查上升为形式化验证体系。Semantic Router 将 jailbreak/PII/hallucination 检测作为路由决策的一等信号 [vllm-project-semantic-router]。Claude Code 的 7 层安全管道将安全嵌入 agent runtime 核心循环——93% 的 approval rate 证明交互式确认不可靠，必须用 defense-in-depth 替代人类警觉性 [2604.14228] [2604.14228]。Agents SDK 的 Guardrails 将安全检查作为并行执行组件 [openai-openai-agents-python]。2026 年安全研究进一步走向形式化：AgentAssert 的行为合约将概率合规从直觉提升为可证明性质 [2602.22302]，SkillFortify 的 soundness 保证（Theorem 4.9: $\mathit{Viol}(s)=\emptyset$ 则无越权执行）为 agent skill 生态系统提供了首个可靠性形式化基础 [2603.00195]，AgentAssay 的三值随机判决将测试从"定性 pass/fail"提升为有统计保证的"定量检测力" [2603.02601]。安全从"事后检查"→"事前决策输入"→"形式化验证"的三阶段演进正在完成。

共识 5：编程 agent 的架构模式趋于收敛。Claude Code 的 "while-loop + harness"、OpenAI SDK 的 "Runner + Guardrails + Handoffs"、Hermes 的 "Agent loop + Skill + Memory" 在核心结构上同构——都采用中央循环 + 安全网关 + 工具分发 + 子代理委派 [2604.14228] [openai-openai-agents-python] [NousResearch-hermes-agent] [code]。SGH 的 scheduler 模型将此形式化为 $|\mathcal{U}|=1$ 的单就绪单元调度器 [2604.11378]。Code as Agent Harness 从 478 篇文献的横向普查给出了同构的第三个表述——PEV（Plan–Execute–Verify）把 planning、execution、debugging、verification、escalation 统一为一个 harness 级控制过程，其中 repair / reflection / termination 都是 Verify 的后果而非独立阶段 [2605.18747]。三条独立路径（源码逆向、调度理论、文献普查）收敛到同一控制结构，是本主题里架构共识最强的一处证据。

共识 6：harness 是一等研究对象，其可靠性与基座模型能力同等重要。Claude Code 的 1.6% 决策 + 98.4% 基础设施量化了 harness 的体量 [2604.14228]；Meta-Harness 量化了它的效应大小——仅改 harness 就能在同一 benchmark 上造成最高 6× 性能差 [2603.28052]；Code as Agent Harness 把这一点写成明确命题并给出坐标系（三层脚手架 + 四级表征层级 + 三级权限）[2605.18747] [2605.18747]。三者都不再把 agent 不可靠归因为"模型推理不够强"。注意这条共识的适用范围有争议——见分歧 9。

分歧 #

分歧 1：KV cache 应该保留多久——时间维度 vs 语义维度。Continuum 声称 TTL 应由 cost-benefit 模型决定——tool call 在 TTL 内返回则 KV 被保留 [2511.02230]。SideQuest 的核心论点是 token 重要性非单调——某些 tool response 在第 t 轮看似无用但到第 t+n 轮可能重新变关键 [2602.22603]。根源：实验 workload 不同。Continuum 的 SWE-Bench/BFCL 是 6–11 轮短 horizon function-calling agent，SideQuest 的 FRAMES/BrowseComp 是 80+ 轮 120K+ token 的 deep research agent——时间维度对短 horizon 足够，语义维度对长 horizon 不可或缺 [agent]。SideQuest 在 coding agent benchmark（SWE-bench）上未评估 [2602.22603]——这一关键盲区使两者无法直接比较。

分歧 2：静态 DAG vs 动态预测。SAGA 用 Agent Execution Graph（DAG + 转移概率）预测 KV 复用 [2605.00528]。PBKV 明确批评"静态 DAG 假设无法处理运行时条件分支和重试循环"——在动态工作流上 PBKV 命中率 69% vs KVFlow 的 39.87% [2605.06472]。根源：SAGA 的 AEG 支持 backward retry edges 和 transition probabilities（非纯静态 DAG），在无 framework hints 时仍达 87% accuracy [2605.00528]。PBKV 的批评更准确地针对 KVFlow 的纯静态距离，而非 SAGA 的概率化 DAG [2605.06472]。两者面向不同的动态性程度——SAGA 面向结构化 coding agent（SWE-bench），PBKV 面向含重试循环的高动态工作流。

分歧 3：Agent Loop vs Structured Graph。SGH 论证 Agent Loop 有三个结构性缺陷（隐式依赖、无界 recovery、不可审计）[2604.11378]。但 Claude Code 恰恰是一个 Agent Loop 系统，通过 7 层安全管道 + append-only transcript 实现生产级可靠性 [2604.14228]。根源：对 LLM 判断力的信任程度不同。SGH 假设 LLM 策略"不可检查"（non-det $\mathcal{P}$）；Claude Code 假设 frontier 模型有"good judgment"并用 harness 兜底 [agent]。关键的可攻击面在于：Claude Code 的 "minimal scaffolding" 范式可能是 Claude-specific——如果 backbone 换为 Llama-70B 或 Qwen-72B，minimal scaffolding 是否仍然可行 [2604.14228]？

分歧 4：PD 分离在 agent workload 下是否可行。ThunderAgent 实验证明朴素 PD 分离在 agent workload 下退化——"单侧 HBM 池变小，更低并发就触发 thrashing" [2602.13692]。然而 DualPath 的整个方案正是在 PD 分离架构内通过聚合 DE SNIC 带宽来解决 agent workload 的存储 I/O 瓶颈，在 1152 GPU 上实现近线性扩展 [2602.21548]。根源：ThunderAgent 评测的是 vLLM 标准 PD 实现（无 QoS 隔离、无带宽聚合），DualPath 的方案带有 layerwise streaming + CNIC-centric flow isolation + InfiniBand VL QoS。两者的结论在各自硬件假设下都正确：朴素 PD 分离对 agent 退化，优化 PD 分离在超大规模可行 [2602.13692]。PPD 提供了第三种视角——Turn 2+ 的 append-prefill 干扰仅 2%，可以安全 co-locate [2603.13358]——暗示小模型场景下 PD 分离本身可能不必要。

分歧 5：GPU 侧优化 vs CPU-GPU 协同。当 CPU 工具执行占 E2E 延迟 88% 时，GPU kernel 优化上限仅 12% [2511.00739]。KV cache 优化攻击 GPU 侧，COMB/MAS 攻击 CPU-GPU 调度 [2511.00739]。但 SideQuest 证明语义淘汰可使 SGLang 峰值吞吐提升 83.9% [2602.22603]——表明 GPU 侧优化仍有巨大空间。根源：CPU 瓶颈和 GPU 瓶颈在不同并发度下交替成为主导约束——低并发 CPU 主导，高并发 GPU（内存）主导。

分歧 6：Maximalist Orchestration vs Minimal Loop——框架复杂度的方向。Qualixar OS 用 12 种拓扑 + Forge 自动设计 + 8 模块质量保障构建最大化编排栈 [2604.06392]。Claude Code 用极简 while-loop + 98.4% 确定性基础设施取得生产成功 [2604.14228]。根源：对 backbone model 能力的不同预期。Minimalist 范式赌注 frontier model 的 reasoning 足以替代复杂编排；maximalist 范式赌注 model 不够强时系统化补偿仍有价值。Qualixar OS 的自改进循环实际退化（0.564→0.519）[2604.06392] 为 minimalist 方向提供了反面证据——但这也可能是实现质量而非范式选择的问题。关键观察：两者不一定互斥——Qualixar OS 的 Goodhart 检测和 Forge 组件可被 minimalist 系统作为可选模块吸收 [2604.06392]。

分歧 7：Idle-time 应用于延迟优化还是精度优化。IdleSpec 和 Speculative Interaction Agents 同月发表，研究同一 niche（工具执行期间的投机推理），但优化目标正交 [2605.22154]。IdleSpec 将 idle time 定位为 test-time compute budget——生成 plan candidates 作为 reference 聚合，追求精度提升（+5.1%）而不改变延迟 [2605.22154]。Speculative Interaction 将 idle time 定位为 I/O 重叠窗口——投机发起 tool call 并异步执行，追求延迟降低（1.6–2.2×）而容忍微小精度损失 [2605.13360]。根源：目标函数不同决定了设计选择的完全分化——IdleSpec 不修改模型（prompt-only），需要多候选聚合；SIA 必须修改模型（SI-SFT），需要正确性保护机制（commit-point）[2605.13360]。两者的 benchmark 完全不重叠（GAIA/FRAMES/MLE-Bench vs HotpotQA/TinyAgent），核心假设冲突未被任何实验检验 [2605.22154]。理论上两者可叠加——idle time 前半段做 speculative tool call，后半段做 speculative planning [2605.22154]——但这一组合方案尚无实证。

分歧 8：淘汰决策的开销——极简 vs 重模型。PBKV 的预测器仅 ~350K 参数、1.18 ms 推理 [2605.06472]，SAGA 的 coordinator 开销仅 12.3ms + 3.1ms [2602.22603]。而 SideQuest 的辅助线程每次生成 ~110-140 token 的管理推理——GPU 开销可能高 1-2 个数量级 [2602.22603]。SideQuest 用"精度"换"开销"（non-completion rate 近零 vs heuristic 60%+），PBKV/SAGA 用"开销"换"覆盖度"（跨工作流全局操作）。

分歧 9：瓶颈在 harness 还是在 backbone——且这个问题本身被问错了。Code as Agent Harness 的前提命题是归因转移：自主性瓶颈不只在基座模型，也在把模型输出连到长程动作与持久状态的那层系统 [2605.18747]。Claude Code 的实证方向相反——它的成功恰恰建立在"frontier model 有 good judgment"之上，其 minimal scaffolding 范式可能是 Claude-specific，换成 Llama-70B 或 Qwen-72B 是否仍可行未被检验 [2604.14228]。Qualixar OS 押注"backbone 不够强时系统化编排仍有价值"，但自改进循环三轮后分数从 0.564 降至 0.519 [2604.06392]。根源：把 harness 当成单一变量是范畴错误。跨篇核对显示 harness 里混着两类机制——能力替代型（角色分解、工具、确定性传感器、权限门）在弱 backbone 上就有效甚至收益更大，能力放大型（reflection、critique、causal 归因）在能力阈值以下完全无效，因为自诊断能力是涌现的 [2605.18747]。归因转移在第一类上成立、在第二类上不成立，而提出它的工作 0 实验、0 消融，无法定位这个比例 [2605.18747]。这一分歧的判别成本很低（一张 harness 机制 × backbone 强度的网格，两条轴方法论现成 [2605.18747]），但它决定了本主题内近半数工作的适用边界，因此是当前最值得优先解决的分歧。Scaling MAS 已在同一模型家族内实测出这张网格的一部分——GPT-5-nano（阈值以下）四档缩放近乎持平、MAS-S 甚至 −7.7%，GPT-5-mini（阈值以上）才呈现升到 MAS-M 的收益 [2607.27942]，直接证实了"backbone 能力阈值"的存在；MetaGPT 的 backbone 敏感性（Deepseek Coder 33B 崩至 1.4）[2308.00352] 是同一结论在编排型 harness 上的又一实例。

分歧 10：多智能体结构本身是否值得——收益有界 vs 收益递增。本主题多数 serving 工作隐含"更多 agent / 更复杂拓扑值得高效支撑"的前提，而三篇 application-side 工作给出系统性反证。Scaling MAS 实测缩放收益有界且架构相关——峰值在中间档（MAS-M），MAS-L 掉分，一致性始终 <50%，"MAS 放大有能力的 LLM 但不能替代它" [2607.27942]。"Why MAS Fail" 进一步证明 7 个 SOTA MAS 失败率 41%–86.7%、相对单 agent 甚至 best-of-N 的增益常常微弱，且失败集中在规格与验证（FC1/FC3）而非执行 [2503.13657]。MetaGPT 则代表反方——结构化 SOP 交接确实把可执行性从 1.0 拉到 4.0 [2308.00352]，说明结构在特定任务（自包含代码生成）+ 强 backbone 下有真实收益。根源：任务自包含度与 backbone 能力共同决定结构的边际价值——MetaGPT 的高分部分来自 HumanEval/MBPP 的自包含性（从未在 SWE-bench 级真实仓库任务验证）[2503.13657]，而 Scaling MAS 的 terminal-bench 是交互式工具密集任务，结构收益在中间档就饱和。这一分歧把"要不要上 MAS"从架构信仰问题降为可测的经验问题，判别方法（复杂度 × backbone 扫描）已由 Scaling MAS 示范。2026 年这一分歧已从"可测"推进到"可计算"——Science of Scaling 给出 45% 能力饱和阈值 [2512.08296]、IB-MAS 给出按 relay 复杂度 $\delta$ 分级的符号判据 $G_i^{\text{MAS}}>0\iff H(M_i\mid m_i)>\beta\Delta_i$ [2607.16133]、Attention/Handoff Tax 给出可从单 agent 两次运行外推的交叉深度 $L^*$ [2610.06069]，三种独立方法殊途同归地把"收益=去噪、代价=handoff 信息损失、强模型翻转"写成可代入的闭式（详见 §5 新增节）。至此收益递增派的立足点被压缩到"低 baseline + 高可分解 + 弱 backbone"这一可验证的角落。Collaboration Tax 进一步在构造上剥离能力因素后给出纯协调代价的下界证据——任务 solo-trivial、靠拆分制造难度，配对仍系统性低于单 agent（tax≥0 由 Prop 1 保证），且代价是对话级 Integration 环节而非推理缺陷 [2608.22152]；但它也标注了收益派的一线生机——分阶段 prompt 干预能回收 38.3% 的 tax [2608.22152]，说明协调代价部分可由更好的协调协议（而非更强 backbone）消除，S1-MAS 的 System-One 分工正是这条路径的系统化实现 [2610.08155]。

7. Open challenges (根本性困难) #

Challenge 1：Agent KV Cache 管理的信息论极限 #

为何根本性困难：当前 5 种方案分别在各自假设下工作，但缺乏统一的信息论框架来回答"KV cache 最优淘汰策略的理论极限是什么"。SAGA 达到 Bélády 最优的 1.31× [2605.00528]，但 Bélády 假设 perfect future knowledge，agent workload 的 future knowledge 天然受限于 LLM 决策的非确定性。PBKV 首次将 algorithms-with-predictions 框架引入此领域，其 Lipschitz 遗憾界 $\mathcal{R}(B) \leq \frac{1}{2(1-\gamma)} \sum \epsilon_c^\gamma$ 将预测误差与性能退化定量关联 [2605.06472] [2605.06472]——但尚未建立与模型表达力（attention 的 effective context window）之间的关系。

需要哪些 category 协同：model 层的注意力机制选择（KDA 的 fixed-state 完全消除问题 [2510.26692]，CSA/HCA 的压缩改变问题规模 [deepseek-v4]）决定了 cache 管理的问题空间；agent 层的 workload 可预测性（SAGA 87% AEG accuracy [2605.00528]，PBKV 0.94 1-step accuracy [2605.06472]）决定了可达到的 competitive ratio；framework 层需标准化 cache 管理 API 让不同策略可插拔。

预估难度：3–5 年。需先建立 agentic workload 的信息论模型。

Challenge 2：跨层 Context 管理的一致性问题 #

为何根本性困难：编程 agent 的 context 管理现在分散在三个独立层：(1) 应用层——Claude Code 的 5 层 compaction [2604.14228]、CMV 的 DAG 裁剪 [2602.22402]；(2) Serving 层——Continuum 的 KV TTL [2511.02230]、SAGA 的 WA-LRU [2605.00528]、SideQuest 的语义淘汰 [2602.22603]；(3) 模型层——V4 CSA/HCA 的物理压缩 [deepseek-v4]、KDA 的 recurrent state [2510.26692]。三层独立优化可能互相冲突：agent 做 auto-compact 后 KV cache 前缀失效，serving 层的 prefix cache 策略被动失效 [2604.14228]。如果 SideQuest 认为某 cursor 仍有语义价值，但 Continuum 的 TTL 已过期并驱逐了整个 session 的 KV cache，语义判断就被浪费了 [2602.22603]。一个更尖锐的读法是：这三层机制的持续增殖本身就是缺少形式化共享状态表示的代偿，因为没有可查询的底座，每一层只能各自维护一份对"什么还有用"的私有判断 [2605.18747]——若此诊断成立，跨层一致性问题不可能通过增加更多层内机制解决，只能通过引入统一底座解决（见 Challenge 9）。

需要哪些 category 协同：需要 agent-serving 双向信号通道——agent 的 compaction 决策应考虑 serving 层的 cache 状态（如果当前 prefix 有 cache hit，推迟 compact；如果 cache 已被 evict，aggressively compact）。模型层的压缩方案决定了 serving 层 KV 的绝对大小和格式。

预估难度：2–3 年。技术上直接可做（定义跨层 API），难点在标准化——需要 vLLM/SGLang/TensorRT 等框架协同定义接口。

Challenge 3：跨层全栈 SLO 保障 #

为何根本性困难：agentic workload 的端到端延迟由 LLM 推理 + tool 执行 + orchestrator 逻辑三部分组成，三者的延迟分布特性完全不同——LLM 推理可预测，tool 执行变异系数超过 100% [2601.12967]，orchestrator 逻辑依赖 LLM 实时决策。Scepsy 发现 agentic workflow 的绝对延迟抖动巨大（beam search 24–844 次 generator 调用）[2604.15186]。传统 TTFT/TPOT SLO 定义在编程 agent 场景下失效——"完成一个 SWE-bench 任务的延迟"无法分解为单请求 SLO 的简单聚合。

需要哪些 category 协同：framework 层需要 workflow-level SLO 语义（HexGen-Flow 的 SLO 预算传播是最接近的尝试 [2505.05286] [2505.05286]）；agent 层需暴露 tool 延迟预测信号；model 层需稳定的 function calling 格式以支持 streaming dispatch。SGH 的 bounded termination 证明 [2604.11378] 提供了理论基础但无实验验证。

预估难度：3–5 年。

Challenge 4：Agent 安全性的多层联防 #

为何根本性困难：Claude Code 的 93% permission approval rate 揭示了 approval fatigue——交互式确认作为安全机制已经失效 [2604.14228] [2604.14228]。然而替代解释也存在：93% 批准率可能反映模型决策本身已非常准确，用户 approve 是理性而非疲劳（论文未提供 approval rate 随 session 时长递增的时序数据）[2604.14228]。PASTE 的 side-effect management 依赖用户定义的 policy，3% 投机操作被检测为有副作用 [2603.18897]。SGH 的 validation gap：10 节点链的正确率可能仅 $0.95^{10} \approx 0.6$ [2604.11378]。Hermes Agent 完全缺乏形式化安全护栏 [NousResearch-hermes-agent] [code]。

需要哪些 category 协同：model 层需更强 alignment 以支持 values-over-rules 范式（但这一范式可能是 Claude-specific [2604.14228]）；agent 层需 side-effect 分类和 rollback 协议——AgentAssert 的合约验证 [2602.22302] 和 AgentAssay 的行为指纹 [2603.02601] 提供了两种互补的运行时检测机制；framework 层需 sandbox 隔离和 audit trail（Agents SDK 已有 7+ sandbox 后端 [openai-openai-agents-python]）；供应链层需 SkillFortify 类形式化扫描集成 CI/CD [2603.00195]；路由层需高精度安全信号提取 [vllm-project-semantic-router]；code 层需开发者友好的安全 API。AgentAssert 的 compositionality theorem 为 multi-agent chain 提供了首个可靠性量化退化界 [2602.22302]——这是连接形式验证与 multi-agent 安全的关键桥梁。

预估难度：3–5 年（从 5+ 年下调）。AgentAssert/SkillFortify/AgentAssay 的形式化框架显著降低了理论基础的建立难度，但从形式化到生产级集成仍需工具链成熟。

Challenge 5：长程 Agent Session 的资源管理 #

为何根本性困难：K2.6 的 4000+ 工具调用 / 12 小时 session [kimi-k2-6] 使 KV cache 成为长期共享资源。DualPath 分析显示 working set 以 $r^2$ 扩展、总成本以 $r^3$ 增长 [2602.21548]。ThunderAgent 证明 KV offload 到 CPU 因 PCIe 带宽不足而失效 [2602.13692]——这意味着 GPU HBM 是不可逃逸的约束。SideQuest 在 80+ 轮的 deep research agent 上实现 56–65% token 降幅 [2602.22603]，但其辅助线程的 GPU 开销在高并发场景可能成为新瓶颈 [2602.22603]。面向 100 小时级 session 的资源管理仍是未知领域。

需要哪些 category 协同：framework 层需 hierarchical memory management（SAGA 的 AEG [2605.00528] 和 PBKV 的 GNN predictor [2605.06472] 提供了预测信号，但仅验证短 session）；model 层的 KV 压缩方案直接影响每 agent 的内存足迹——V4 的 CSA+HCA 将 KV 降至 10% [deepseek-v4]，KDA 的 fixed state 消除增长 [2510.26692]；agent 层的客户端 compaction（Claude Code 5 层管道 [2604.14228]）与 serving 层的 KV 管理需要协同而非独立运作。

预估难度：2–3 年（短 horizon 已有方案），但面向 100h+ session 为 unknown territory。

Challenge 6：跨 Agent 协议标准化与组合 #

为何根本性困难：Agent Interop Survey 揭示了 4 层协议栈（MCP→ACP→A2A→ANP）的互补性架构 [2505.02279]，但"协议组合"——即单个 agent runtime 同时实现多层协议接口——是根本未解难题 [2505.02279]。当前采用呈极端 power law（MCP >> A2A > ACP ≈ ANP），市场正以 MCP 一家独大隐式"解决"碎片化。Qualixar OS 的 Claw Bridge 走的是 adapter 路线（$O(N^2)$ 维护成本）[2604.06392]，尚无系统实现 protocol-native 的 $O(N)$ 集成。同时 CPU-Centric Profiling 的 35%–88% tool 延迟意味着链式协议调用进一步放大 CPU-side overhead [2505.02279]——互操作收益何时超过协议开销的 break-even point 未知。

需要哪些 category 协同：agent 层需要定义协议组合的形式化语义（SGH + A2A 的 multi-agent 有界终止 [2505.02279]）；framework 层需要 protocol-aware 的 KV cache 管理——若 KV manager 能感知 A2A session 语义则可做跨 agent prefetching [2505.02279]；code 层需要开发者友好的多协议 SDK。

预估难度：3–5 年。MCP 已 production-ready，A2A 在 enterprise 赛道初步采用，但全栈组合验证需要跨组织协同。

Challenge 7：Agent 投机执行的理论极限与资源管理 #

为何根本性困难：三种投机方案（PASTE、IdleSpec、Speculative Interaction）均缺乏统一的理论框架来回答"agent 投机执行的最优策略是什么"。PASTE 的 Top-1 预测准确率仅 27.8%，靠多候选弥补 [2603.18897]。IdleSpec 的 Beta-Bernoulli Thompson sampling 有经典 bandit 的 regret bound，但论文未将其扩展到 agent task 的 success-rate model [2605.22154]。Speculative Interaction 报告 2.2× 加速但无理论分析——给定 tool latency 分布和用户输入速率，最优延迟下界可通过排队论建立（M/G/1 with preemption），但未做此分析 [2605.13360] [2605.13360]。更深层的问题是 多租户资源竞争：IdleSpec 的 idle-time drafting 在单用户设置下"免费"，但在高并发 serving 中会占用 batch 槽位和 KV-cache 容量 [2605.22154]，而 ThunderAgent 已证明 KV-cache 是 agent serving 的硬约束 [2602.13692]。

需要哪些 category 协同：agent 层需要建立 observation uncertainty 模型（工具返回的成功概率分布 + 信息量分布），证明 progressive/recovery 混合策略的 regret bound 是否优于 pure strategy [2605.22154]。framework 层需要投机请求的优先级管理——PASTE 的 preemption 保护 authoritative 请求 [2603.18897] 是正确方向，但需泛化到 IdleSpec/SIA 的场景。Speculative Interaction 的 safe/unsafe 工具分类需从静态硬编码走向上下文相关的动态判定 [2605.13360]。

预估难度：2–3 年。方法已验证，缺理论框架和多租户验证。

Challenge 8：Multi-Agent KV Cache 的 O(N) 问题 #

为何根本性困难：当 N 个 agent 共享同一轮输出时，现有系统产生 N 份几乎相同的 KV cache 副本——TokenDance 测得 91%–97% 块级重叠 [2604.03143]。SAGA 的 session-affinity routing 减少跨 worker 迁移但不解决同 worker 内的副本问题 [2605.00528]。GLM 的 prefix caching 利用 Graph-CoT 的前缀共享但限于静态 prompt 部分 [2511.01633]。TokenDance 将复用代价从 O(N) 摊销到 O(1)，但严格绑定同步 All-Gather 模式——异步 multi-agent 场景下的共享对齐更加困难 [2604.03143]。Pancake 从记忆索引侧统一了跨 agent 查询 [2602.21477]，但 KV cache 与 vector memory 仍然是独立的 HBM 消费者。

预估难度：2–4 年。同步场景已有方案，异步场景仍是 open problem。

Challenge 9：多智能体共享程序状态的形式化底座 #

为何根本性困难：这不是"没人做"，而是目标函数互相冲突。对约 25 个多智能体编码系统的横向普查显示绝大多数落在 File-only / implicit 表征层级，agent 之间没有形式化可查询的共享程序状态 [2605.18747]，而三个后果（无原则性停机判据、拓扑复杂化、context 机制爆发）都是同一缺失的代偿 [2605.18747]。困难来自三处结构性张力：(1) 形式化 vs 零适配成本——形式底座必然引入新抽象，而 file-only 的生产优势恰恰来自不引入新抽象、任何模型都已会用文件工具 [blog-dynamic-context-discovery]；(2) 共享 vs 刻意分区——多智能体正确性同时依赖故意不共享（消息可见性隔离防分心、幻觉与走捷径），而现有四级层级是单调的"越共享越好"轴，没有位置放分区 [2605.18747]；(3) 度量空间缺失——唯一的形式支点 $\lvert B_k - S_k \rvert$（真值状态与信念状态之差）连量纲都未定义，绝对值号是隐喻性的 [2605.18747]。

已有的部分尝试与不足：blackboard 式的持久 file store（永不覆盖写、只扩展和修订，配合作用于全库的 evaluator）是最有原则的实现，但只服务单条顺序 agent 链 [2605.18747]；Cursor 的"文件系统即惰性上下文"是单 agent 惰性检索 [blog-dynamic-context-discovery]；Meta-Harness 的非 Markov 文件访问只发生在外层 proposer 侧 [2603.28052]。三者从未被合并，合成物"多 agent 并发读写、按需 grep、永不覆盖写的共享黑板"是本主题里最明确的可造物，但要额外解决并发写冲突与读时快照语义——后者正是信念偏离问题本身 [2605.18747]。

需要哪些 category 协同：agent 层需给共享状态定义可计算的状态签名——SWE-bench 的逐测试通过/失败向量是现成的代理，在该空间里信念偏离可直接定义为汉明距离 [2310.06770] [2605.18747]；framework 层需把共享状态做成 serving 可感知的对象，否则跨 agent 的状态同步会退化为纯客户端问题，与 Challenge 2 的跨层一致性合并成同一个难题；code 层需要并发语义的库级支持（快照隔离、版本化读）。

预估难度：3–5 年。可计算的状态签名与并发黑板在 1–2 年内技术上可做，但"共享 vs 分区"的划分原则连设计维度都还没被承认，这一半是 unknown territory。

8. 成熟度判断 #

子方向	成熟度	证据	趋势
Agent KV cache 管理	Research frontier → early production	5 篇方案覆盖从统计到语义到预测的完整谱系 [2511.02230] [2605.00528]；Continuum 已开源并集成 vLLM [agent]；DualPath 在 DeepSeek 生产 1152 GPU 部署 [2602.21548]；PBKV 的 Lipschitz 退化保证提供了首个理论基础 [2605.06472]	加速
Agent-level scheduling	Research frontier	ThunderAgent（理论最优性证明）、Helium（DB-style plan opt）、SAGA（64-GPU SLO 99.2%）均有完整实现 [2602.13692] [2603.16104] [2605.00528]；但均未被 vLLM/SGLang 主线采纳	加速
Application-layer context management	Early production	Claude Code 5-layer pipeline 大规模部署 [2604.14228]；CMV 开源（claude-code-cmv）但仅单用户验证（n=1）[agent]	稳定
Speculative tool execution (latency)	Early research → research frontier	PASTE 首个 middleware 方案（48.5% 降低，4 节点）[2603.18897]；Speculative Interaction 首个端到端训练方案（1.6–2.2× 降低，3B 边缘模型，但自然语音退化严重）[2605.13360]。两者分别代表 serving-layer 和 agent-internal 投机路线，但均缺乏理论 bound	加速
Idle-time compute (accuracy)	Early research	IdleSpec 首个系统方案（+5.1% 准确率，延迟 ~0），Thompson sampling + reference aggregation 在 3 benchmark × 3 model 上一致有效 [2605.22154]；采纳门槛极低（4 prompt template + 两个计数器）[2605.22154]；但多租户资源竞争未验证	加速
Agent runtime formalization	Theoretical	SGH 纯 position paper 无实现；已设计 7 组对照 protocol (G0–G6) 但缺实验 [2604.11378] [agent]	观望
Production agent architecture	Production-ready	Claude Code 大规模部署 + 源码开放供分析 [2604.14228]；OpenAI Agents SDK 21K stars + 158K LOC 测试 + 7 Sandbox 后端 [openai-openai-agents-python]；Hermes Agent 20+ 平台网关 + RL 闭环 [NousResearch-hermes-agent]	稳定
Long-horizon agentic RL	Early production	K2.6 达 4000+ tool calls / 12h [kimi-k2-6]；但训练 recipe 未公开且 INT4 vs BF16 长程消融缺失 [model]	加速
Multi-agent memory & KV sharing	Research frontier	TokenDance（2.7× 并发、91–97% 重叠率量化）[2604.03143]，Pancake（4.29× 吞吐）[2602.21477]，GLM（15.1× 吞吐）[2511.01633]——方案分散尚未统一	加速
Multi-LLM workflow serving	Research frontier	Scepsy 在 16 GPU 验证 [2604.15186]，HexGen-Flow 验证多阶段 SLO [2505.05286]，规模有限	加速
System-level model routing	Early production	Semantic Router 8 个月 4.2k stars，v0.2 发布 [vllm-project-semantic-router]，信号驱动架构成熟但缺乏大规模生产部署数据	加速
Model-side agent efficiency	Early production	DeepSeek-V4 KV 降至 10% [deepseek-v4]，Kimi Linear KV 降 75% [2510.26692]——均可直接减轻 agent serving 内存压力但尚未被 agent-aware 系统显式利用	加速
Dynamic PD routing for agents	Research frontier	PPD（append-prefill 仅 2% 干扰）[2603.13358]，DualPath（优化 PD 1152 GPU）[2602.21548]——ThunderAgent 否定朴素 PD 但优化 PD 可行 [2602.13692]	加速
Agent interop protocols	Early adoption (MCP) / Nascent (A2A/ACP/ANP)	MCP 已被 Anthropic/OpenAI/Cursor 生产采用；A2A Google 2025-04 发布但无大规模部署；ACP/ANP 纯研究阶段 [2505.02279]；Qualixar OS 的 adapter 方案绕过协议层 [2604.06392]	观望→加速
Cross-model KV sharing (training-level)	Early research	PrefillShare 和 ICaRus 代表 "training for shared inference" 新范式，实验仅覆盖 Qwen3-14B / 4 agent，未在 SWE-Bench 等标准基准验证 [2602.12029]；代码未开源阻碍采纳	加速
Maximalist agent orchestration	Theoretical / Early research	Qualixar OS 20 定制任务评测，不含核心 agent 场景（web browsing/file manipulation）；自改进循环退化 [2604.06392]；组件级创新（Goodhart 检测）有独立价值	观望
Agent behavioral contracts & runtime enforcement	Early research → theoretical framework	AgentAssert 六元组合约 + OU 漂移界有完整形式化证明体系 [2602.22302]，<10 ms 执行开销可生产化，但仅 6–12 轮 session 验证 [2602.22302]；参考分布校准缺乏自动化	加速
Agent skill supply-chain security	Early research	SkillFortify 首个形式化框架，soundness 保证（0% FPR）可媲美工业验证工具 [2603.00195]；A11 typosquatting（50%）和 A12 dependency confusion（0%）为架构盲区	加速
Agent stochastic testing	Early research	AgentAssay 78% SPRT 试验缩减 + 86% 指纹检测力 [2603.02601]；10 框架适配器 + pytest 插件已开源；但 state-space coverage λ 校准为 chicken-and-egg 问题	加速
Agent memory (security + retrieval)	Early research	SLM-v2 Bayesian 信任验证（trust gap 0.90）[2603.02240]，SLM-v3 LoCoMo +12.7 pp [2603.14588]；但 SLM-v2 N=1 用户，SLM-v3 Fisher 度量在基准中因 $n_{\text{access}}=0$ 几乎未激活	观望→加速
Per-step model routing for agents	Research frontier → early production	RouteLLM 开源 + 跨模型迁移验证 [2406.18665]；OI-MAS +7.68% + 79.78% 成本削减 [2601.04861]；CASTER 5 provider 验证 [2601.19793]；AgentOpt 否定 per-call 假设 [2604.06296]——方案丰富但标准化缺失	加速
Outer-loop / harness optimization (frozen base)	Early research	AgentOpt 客户端组合搜索开源（62–76% 预算节约）[2604.06296]；Meta-Harness 在三域超强基线（ACE +7.7、TerminalBench-2 超手工 harness）且消融证明原始 trace 不可压 [2603.28052]，但 proposer 闭源、实现未公开、搜索期成本巨大（单次评估 10M token、Opus proposer）[2603.28052]	加速
Harness 形式化与共享程序状态表征	Conceptual / taxonomy	Code as Agent Harness 给出三层脚手架 + 四级表征层级 + 三级权限 + PEV 规范，但 0 实验、0 代码、0 消融，唯一配套产物是论文清单仓库 [2605.18747]；中心 gap 无计数与百分比、分类边界由作者定义 [2605.18747]；"终止由验证决定"在 n≈6 的实现样本里零命中 [2605.18747]；采纳证据方向是反的——命名后到、实践先行 [2605.18747]	观望（作为诊断清单已可用）

整体判断：Agent System 正处于从 research frontier 向 early production 过渡的加速期。十一个最显著的变化：(1) Agent KV cache 管理从单点创新爆发为 5+ 方案的竞争集群，且 PBKV 的 Lipschitz 退化保证标志着从工程解决方案走向有理论基础的系统设计 [2605.06472]；(2) 应用层 context 管理（Claude Code 5-layer compaction、CMV DAG trimming）作为独立于 serving 层的优化维度被正式确立 [2604.14228]；(3) 编程 agent（Cursor、Claude Code）成为最大规模的 agentic workload 并反向定义了基础设施需求；(4) Agent OS 设计出现 maximalist vs minimalist 的哲学级极化——Qualixar OS 的 12 种拓扑 + 8 模块质量保障 vs Claude Code 的 while-loop + harness [2604.06392]，前者实证未达但组件创新有独立价值；(5) PrefillShare 开辟了 "training for shared inference" 的第三条优化路线——通过训练时对齐消除跨模型 KV 冗余 [2602.12029]，预示 training + serving 联合优化将成为 multi-model agent serving 的新方向；(6) Agent Safety & Governance 从零到三——AgentAssert + SkillFortify + AgentAssay 分别在运行时合约、供应链扫描、回归测试三层建立了形式化框架，使安全从工程实践走向可证明性质 [2602.22302] [2603.00195] [2603.02601]；(7) Agent Memory 浮现为独立子方向——SLM-v2 的信任防御和 SLM-v3 的信息几何检索将 agent 持久记忆从"附加功能"提升为安全关键型基础设施 [2603.02240] [2603.14588]；(8) Agent 投机执行从单一方案扩展为方法三角——PASTE（middleware pattern prediction）、IdleSpec（idle-time Thompson sampling for accuracy）、Speculative Interaction（agent-internal async I/O for latency）分别从三个层次攻击工具执行 idle time [2605.22154] [2605.13360]，其中 IdleSpec 开创性地将 idle time 从系统开销重新定义为 test-time compute budget [2605.22154]；(9) Model Routing 达到临界密度——RouteLLM/OI-MAS/CASTER/AgentOpt 4 篇论文覆盖 per-query 到 per-pipeline 的完整决策粒度梯度，AgentOpt 从实证上否定了 per-call 路由在多步 pipeline 中的有效性 [2604.06296]；(10) 外层优化（outer-loop optimization）兴起为"改进固定基座"的第二条路线——AgentOpt 搜模型组合配置（黑盒）与 Meta-Harness 搜 harness 代码（白盒、experience-rich）共同确立"对冻结基座做外层搜索"范式，Meta-Harness 进一步把 context 管理系统人工设计的"存/取/呈现"策略变成自动搜索产物，并以受控消融证明全保真 trace 访问不可压缩 [2603.28052] [2603.28052]；(11) harness 本身获得概念地基与坐标系，同时暴露了本主题一个跨越近半数工作的适用边界问题——Code as Agent Harness 把 code 定为运行底座（executable / inspectable / stateful 为功能性属性）、把"缺少形式化可查询的共享程序状态"诊断为多智能体脆弱性的技术根源 [2605.18747]，但其"harness 是瓶颈"的前提只在能力替代型机制上成立、在依赖 backbone 自诊断的能力放大型机制上不成立，而该区分从未被实验检验 [2605.18747]。

未来 12–18 个月的关键里程碑：(a) vLLM/SGLang 是否将 workflow-aware cache 管理纳入核心（Continuum 已开源集成是第一步 [agent]）；(b) 模型侧的注意力压缩（V4 CSA/HCA、KDA）是否使 cache 管理问题本身消失或改变形态 [model]；(c) agent 应用层和 serving 层的 context 管理是否建立双向信号通道 [2604.14228]；(d) 协议标准化的走向——MCP 是否持续一家独大，还是 A2A 在 enterprise 赛道获得真正采纳 [2505.02279]；(e) cross-model KV sharing（PrefillShare/ICaRus）是否在 SWE-Bench 等标准 agent 基准上验证可行性；(f) agent safety 的三层形式化框架（合约/扫描/测试）是否被主流 agent 框架采纳——AgentAssert 的 <10 ms 开销使运行时集成技术可行，SkillFortify 的 CI/CD 集成路径最清晰 [2603.00195]；(g) model routing 是否收敛到标准化方案——RouteLLM 已开源但仅支持 binary routing，per-step 路由（OI-MAS/CASTER）需要与 agent framework 深度集成，AgentOpt 的组合搜索需要降低 exploration 成本；(h) harness 机制 × backbone 强度的二维网格是否被任何工作补上——这一张表决定了本主题内近半数 harness 类工作在中小模型上的适用性，且两条轴的方法论都是现成的 [2605.18747]。

9. 邻接 topic #

PD-disaggregation：DualPath 的存储带宽瓶颈分析直接建立在 PD 分离架构之上 [2602.21548]。ThunderAgent 已证明朴素 PD 分离在 agent workload 下退化 [2602.13692] [2602.13692]。PPD 揭示 append-prefill 干扰仅 2% [2603.13358]。SAGA 的 session-affinity routing 部分缓解了 PD 分离下的 KV 迁移问题 [2605.00528]。建议保持两个 topic 独立但交叉引用——agent workload 改变了 PD 分离的前提假设，但不否定优化 PD 的价值。

attention-optimization：DeepSeek-V4 的 CSA+HCA [deepseek-v4]、Kimi K2 的 MLA [2507.20534]、Kimi Linear 的 KDA [2510.26692] 直接影响 agentic serving 的 per-agent 内存足迹。注意力机制的选择是 agent-system 的上游约束——特别是 KDA 的 O(1) KV 可能从根本上消除 agent cache 管理问题的必要性 [model]。TokenDance 的 collective reuse 深度依赖 RoPE 位置编码机制 [2604.03143]。

agent-safety：Claude Code 的 93% approval fatigue [2604.14228]、SGH 的 validation gap [2604.11378]、PASTE 的 side-effect management [2603.18897]、Semantic Router 的安全信号 [vllm-project-semantic-router]、Agents SDK 的 Guardrails [openai-openai-agents-python]、Hermes Agent 缺乏安全护栏 [NousResearch-hermes-agent]、AgentAssert 的行为合约验证 [2602.22302]、SkillFortify 的供应链安全 [2603.00195]、AgentAssay 的随机测试框架 [2603.02601] 均触及安全边界。已达 8+ 篇安全相关论文，建议下一轮拆出独立 agent-safety topic——AgentAssert + SkillFortify + AgentAssay 提供了形式化验证的独立技术线，与 Claude Code/Agents SDK 的工程安全形成理论-工程互补。

agent-memory：Pancake 的多层级 ANN 索引 [2602.21477]、SLM-v2 的 Bayesian 信任防御 [2603.02240]、SLM-v3 的 Fisher 信息几何检索 [2603.14588]、Hermes Agent 的 skill 持久化 [NousResearch-hermes-agent] 共同定义了 agent 持久记忆的独立方向——从性能（Pancake 82%→3.2% 开销）到安全（SLM-v2 信任防御）到检索质量（SLM-v3 Fisher-Rao）再到记忆投毒防御（SLM-v2 OWASP ASI06）。与 KV cache 管理不同，agent memory 关注跨 session 的持久化知识而非单 session 内的推理上下文。当相关实体积累到 5+ 篇时，建议拆出独立 agent-memory topic。

RL-training-infra：K2.6 的长程 agentic RL [kimi-k2-6] 和 Hermes Agent 的 Atropos RL 管线 [NousResearch-hermes-agent] 连接了 agent-system 与 RL 训练基础设施。Agent serving 和 RL rollout 共享同一组 KV cache 管理挑战——ThunderAgent 在 RL rollout 场景验证了 1.79–3.92× 吞吐提升 [2602.13692]。TensorHub 优化 trainer→rollout 权重传输 [2601.22705]，与 ThunderAgent 的 rollout 推理优化理论上可叠加。

model-routing / AI-gateway：Semantic Router [vllm-project-semantic-router]、RouteLLM [2406.18665]、OI-MAS [2601.04861]、CASTER [2601.19793]、AgentRouter [2609.22951]、AgentOpt [2604.06296]、Scepsy [2604.15186] 共 7 个实体直接聚焦模型路由方向。已达拆分阈值，强烈建议拆出独立 model-routing topic。路由谱系从 per-query（RouteLLM）→ per-request 信号驱动（Semantic Router）→ per-step 置信/结构感知（OI-MAS、CASTER）→ per-step 轨迹感知（AgentRouter）→ per-pipeline 组合搜索（AgentOpt）→ multi-LLM GPU 分配（Scepsy），已形成完整的决策粒度梯度和独立的研究主线。

latent-communication / inter-agent-communication：潜在通信综述 [2606.05711]、Cache-to-Cache [2510.03215]、Mostik latent-bridge [mostik-latent-bridge] 定义了一个与本主题 KV cache/调度子线正交的"通信内容层"维度——决定 agent 之间交换什么表征（文本 vs hidden state vs KV 张量），而非表征放哪/怎么复用。与 agent-interop-protocols（文本契约）形成对立：前者为互操作往文本收敛，后者为省 decode-encode 把契约退回模型内部张量，仅在"紧耦合+同构+中间态不需人看+延迟硬约束"四条件下赢 [2606.05711]。当前 3 篇（含 2 篇 algorithm 类邻接实体），当 agent 侧语义潜在协议实体积累到 3+ 篇时建议拆出独立 topic。核心未解问题是潜在通道的安全——文本级验证在连续张量信道上原理性失效。

agent-interop-protocols：Agent Interop Survey 的 MCP→ACP→A2A→ANP 四层栈 [2505.02279] 定义了与 agent-system 正交的通信标准化维度。当前仅此一篇系统综述 + Qualixar OS 的 Claw Bridge 实现 [2604.06392]。MCP 已被 Claude Code / OpenAI Agents SDK 生产采用，证明 Stage 1 (Tool Access) 已稳定 [2505.02279]。当 A2A/ACP 相关实体积累到 3+ 篇时，建议拆出独立 agent-interop topic。

speculative-agent-execution：PASTE [2603.18897]、IdleSpec [2605.22154]、Speculative Interaction Agents [2605.13360] 三篇论文加上更早的 Speculative Tool Calls (2512.15834) 共同定义了 "agent 投机执行" 方向——从 middleware pattern prediction 到 idle-time Thompson sampling 到 agent-internal async I/O。三者的目标函数（延迟 vs 精度）、模型修改需求（无 vs 必须）、正确性机制（preemption vs reference vs commit-point）高度分化 [2605.22154] [2605.13360]。已达 3+ 篇核心论文（4 篇含 2512.15834），当进一步积累到 5+ 篇时建议拆出独立 speculative-agent topic。关键未解问题包括：多租户资源竞争下投机请求的优先级管理、精度-延迟联合 Pareto 优化、以及投机策略的形式化 regret bound [2605.22154] [2605.13360]。

coding-agent-patterns：Claude Code Analysis [2604.14228]、CMV [2602.22402]、OpenAI Agents SDK [openai-openai-agents-python]、Hermes Agent [NousResearch-hermes-agent] 共同定义了编程 agent 的架构模式。当更多编程 agent 的系统分析（如 Cursor、Codex Agent）出现时，建议拆出 coding-agent-architecture 独立 topic。

harness-engineering / code-space-search：Meta-Harness 把"包裹冻结 LLM 的 harness 代码"当作搜索目标 [2603.28052]，与 AgentOpt 的模型组合配置搜索 [2604.06296] 共同定义了"对冻结基座做外层优化"的独立方向——前者白盒代码、后者黑盒配置 [2603.28052]。这一方向与 coding-agent-patterns（Meta-Harness 的 proposer 本身是 Claude Code 式编程 agent）和 context-management（Meta-Harness 自动搜索 Claude Code/CMV 人工设计的 context 策略）双向交叉 [2603.28052]。Code as Agent Harness 给这一方向补上了共同词汇表——三层脚手架、四级表征层级、三级权限、PEV 规范 [2605.18747]，并明确了它与 coding-agent-patterns 的双向关系（其 proposer 与 harness 本体都是编程 agent 式系统）。现已 3 篇（Meta-Harness / AgentOpt / Code as Agent Harness），当 AVO/LoongFlow 等 agentic 进化搜索实体再积累到 4+ 篇时，建议拆出独立 outer-loop-optimization / experience-driven-optimization topic——关键张力是"反馈压缩度"（全保真 trace 选择性访问 vs 结构化记忆 vs scalar/summary），且需按任务态/harness 态两个尺度分别定档 [2603.28052] [2605.18747]。

multi-agent-shared-state：Code as Agent Harness 的四级表征层级（File-only / Execution-based / Repository-based / Blackboard）与收敛判据分类 [2605.18747] 定义了一个与本主题的 KV cache / context 管理正交的维度——前者管多 agent 之间共享什么程序状态，后者管单 agent 的推理上下文放哪。当前该方向的实体基本是被诊断对象而非解决方案：唯一带形式化状态记号的系统只有一篇，唯一显式管理状态历史（可回滚到先前共享 harness 状态）的系统也只有一篇 [2605.18747] [2605.18747]。与 agent-memory 的边界在于持久化对象：agent memory 存跨 session 的知识，shared program state 存当前任务的可执行事实。当出现 3+ 篇以共享状态表征本身为方法贡献（而非诊断）的实体时，建议拆出独立 topic。

multi-model-serving：PrefillShare 的 cross-model KV sharing [2602.12029] 与 Scepsy 的 aggregate pipeline scheduling [2604.15186] 共同指向"多模型协同 serving"的独立方向。PrefillShare 从训练侧消除 KV 冗余，Scepsy 从调度侧优化多 LLM GPU 分配——两者组合定义了 multi-model agent pipeline 的完整优化栈。当相关实体积累到 4+ 篇时，建议拆出。

10. 参考 #

Entity	Categories	Role in topic	Key contribution
[2511.00739]	agent	瓶颈刻画	首次系统量化 CPU 工具执行占 agentic E2E 延迟 88%，提出 COMB/MAS 调度
[2511.02230]	agent	KV TTL	Cost-benefit TTL + tool latency CDF 作为核心输入，program-level FCFS
[2602.22402]	agent	客户端 context 管理	DAG 版本控制 + 三遍裁剪，代表 serving 层外的 context 管理新范式
[2602.22603]	agent	语义淘汰	首次用 LLM 自身做 KV cache GC——从统计代理到语义信号的范式跃迁
[2603.18897]	agent	延迟优化	Pattern-aware speculative tool execution，Pattern Tuple (C,T,f,p) 解耦
[2604.11378]	agent	形式化框架	Scheduler 五元组统一 Agent Loop 和 graph executor，bounded termination
[2604.14228]	agent	架构参考	"1.6% 决策 + 98.4% 基础设施"范式，5 层 compaction，7 层 safety
[2605.00528]	agent	集群调度	Workflow-atomic scheduling + AEG，1.31× Bélády，64-GPU 验证
[2605.06472]	agent	预测驱动缓存	首个 algorithms-with-predictions 在 KV cache 的应用，Lipschitz 退化保证
[2604.06392]	agent	Maximalist 编排	12 种拓扑 + Forge 自动团队设计 + 8 模块质量保障，maximalist orchestration OS
[2505.02279]	agent	协议层综述	首篇 MCP/ACP/A2A/ANP 全景对比，四阶段成熟度路线图，协议组合为根本难题
[2602.12029]	agent	跨模型 KV 共享	训练时对齐消除 N 模型 KV 冗余 O(N)→O(1)，开辟 "training for shared inference" 范式
[2604.06392]	agent	生态位分析	Maximalist vs minimalist 对立 + Goodhart 检测组件价值
[2505.02279]	agent	生态位分析	协议层碎片化作为规模化多 agent 系统的被忽视瓶颈
[2602.12029]	agent	生态位分析	从 "scheduling the inference" 到 "training for shared inference" 的范式转变
[2504.09285]	framework	统一调度	Micro-request 统一 colocation/disaggregation，SLO-aware batch composition
[2504.20068]	framework	SLO 理论	GMAX 1/8.55 竞争比，首次证明 SJF/EDF 无常数竞争比
[2505.05286]	framework	SLO 调度	首个 SLO 预算沿 workflow DAG 反向传播的调度器
[2507.07400]	framework	缓存驱逐	Steps-to-execution 替代 LRU，首个 workflow-aware KV 策略
[2509.02121]	framework	查询优化	数据库批查询优化引入 agentic workflow，占据 plan-layer 独创位置
[2511.01633]	framework	图推理 serving	Multi-agent Graph-CoT + prefix caching，15.1× 吞吐
[2601.12967]	framework	协同设计	Orchestrator-engine co-design 5 API，打破黑箱
[2601.22705]	framework	准入控制	将 KV cache 类比网络带宽，AIMD agent-level admission，4.09×
[2602.13692]	framework	程序调度	Program 一等公民 + 指数衰减最优性证明 + shortest-first eviction
[2602.21477]	framework	Agent 记忆	多层级 ANN 索引，记忆操作开销 82%→3.2%，4.29× 吞吐
[2602.21548]	framework	存储带宽	双路径 KV 加载 + CNIC 流量隔离，解决 PD 分离下 agentic I/O 瓶颈
[2603.13358]	framework	动态 PD 路由	Append-prefill 仅 2% 干扰，Turn 2+ 可安全 co-locate
[2603.16104]	framework	查询优化	Templated Radix Tree 重构 agentic workflow，1.56× over KVFlow
[2604.03143]	framework	KV 去重	Multi-agent collective reuse O(N)→O(1)，91–97% 块级重叠
[2604.15186]	framework	多 LLM 调度	Aggregate Pipeline + 分数 GPU + 相对份额稳定性
[vllm-project-semantic-router]	framework	智能路由	信号驱动 20+ 信号类型决策，安全作为路由一等信号
[2507.20534]	model	架构基底	1T MoE + MLA 开源 agentic 旗舰，MuonClip 稳定训练
[2510.26692]	model	线性注意力	KDA 首次全面超越全注意力，O(1) fixed-size state 消除 KV 增长
[2602.02276]	model	多模态扩展	K2 主干 + MoonViT + Agent Swarm 100 sub-agent
[kimi-k2-6]	model	长程 RL	4000+ tool calls / 12h，config 三代未变证明架构-训练解耦
[deepseek-v4]	model	注意力压缩	CSA+HCA 将 1M 下 FLOPs 降至 27%、KV 降至 10%
[NousResearch-hermes-agent]	code	自进化框架	闭环学习 + Skill auto-create/patch + 20+ 平台网关 + Atropos RL
[openai-openai-agents-python]	code	声明式编排	Runner loop + Guardrails + Handoffs + MCP + 7 Sandbox 后端
[framework]	framework	领域综述	从单请求优化到 agentic workload 全生命周期编排的范式转变
[agent]	agent	领域综述	Agent KV cache 管理成为独立研究集群（5 篇方案竞争）
[model]	model	领域综述	MoE 主导化 + 注意力多元化 + 全模态端到端
[code]	code	领域综述	自治-编排分化的两条工程路线
[2604.14228]	agent	生态位分析	"逆向工程即学术"范式 + 应用层 context 管理独立价值
[2602.22603]	agent	生态位分析	从统计代理信号到语义信号的淘汰决策谱系
[2605.06472]	agent	Delta 分析	algorithms-with-predictions 框架首次应用于 KV cache
[2602.13692]	framework	Delta 分析	Program 一等公民 + PD 分离否定（朴素 vs 优化）
[2601.22705]	framework	Delta 分析	KV-as-bandwidth 资源抽象的独特性
[2602.22302]	agent	行为合约	Design-by-Contract 六元组 + OU 漂移界 + JSD 前导指标 + 组合性定理，<10 ms 运行时强制
[2603.00195]	agent	供应链安全	首个 agent skill 形式化安全框架：Dolev-Yao + 抽象解释 soundness（0% FPR）+ SAT 依赖解析 + 信任代数
[2603.02240]	agent	Agent 记忆安全	本地优先 + Bayesian 信任防御记忆投毒（trust gap 0.90），sleeper agent 72% 信任衰减
[2603.02601]	agent	随机测试	三值判决 + SPRT 78% 试验缩减 + 行为指纹 86% 检测力（vs 传统 0%），10 框架适配
[2603.14588]	agent	信息几何记忆	Fisher-Rao 检索（Čencov 唯一性）+ Poincaré Langevin 生命周期 + Sheaf 矛盾检测，LoCoMo +12.7 pp
[2604.06296]	agent	客户端优化	组合级模型选择：pipeline 内模型质量非 context-free，13–32× 成本差异，UCB-E 62–76% 预算节约
[2406.18665]	agent	模型路由	首个偏好数据训练的 LLM 路由器，>2× 成本节约、跨模型族零样本迁移，开源框架
[2601.04861]	agent	置信路由	层级化 role+model 联合路由 + 置信感知 RL，+7.68% 准确率 + 79.78% 成本削减
[2601.19793]	agent	神经路由	双分支语义+结构路由 + on-policy 负反馈自改进，72.4% 成本削减，Pareto 优于 FrugalGPT
[2605.22154]	agent	Idle-time 投机规划	Thompson 采样 progressive/recovery 双策略 + reference-based 聚合，idle time 期间做 test-time compute，+5.1% 准确率且延迟 ~0
[2605.13360]	agent	异步投机执行	硬件投机执行迁移到 agent——async I/O + safe/unsafe 工具分类 + DAG commit-point，clock-based SI-SFT 训练 3B 模型达 1.6–2.2× 延迟降低
[2605.22154]	agent	Delta 分析	IdleSpec 开辟 "idle-time compute for accuracy" 坐标点，与 PASTE/SIA 延迟优化正交
[2605.13360]	agent	Delta 分析	SIA 开创 agent-internal speculative execution 范式，同时解耦用户输入和工具返回两个 I/O 阻塞点
[2603.28052]	agent	外层 harness 搜索	把 harness 代码当搜索目标的 outer-loop 系统——coding-agent proposer 经文件系统读取全部历史 trace，比 ACE +7.7 且 ctx 少 4×，TerminalBench-2 超手工 harness
[2603.28052]	agent	接口消融证据	受控消融证明原始 trace 访问不可压缩：Scores-Only 34.6 / Summary 34.9 ≪ full traces 50.0 median
[2603.28052]	agent	生态位分析	"优化对象 × 反馈压缩度"二维：Meta-Harness 占据"harness 代码 + 冻结权重 + 全保真 trace 选择性访问"此前空着的格子，与 AgentOpt 黑盒配置搜索互补
[2603.28052]	agent	Delta 分析	自动搜索 vs 人工设计 context 策略；白盒代码 vs 黑盒配置；全保真 trace 不可压（与 ECS/PEEK 的压缩处方张力）
[2605.18747]	agent	Harness 概念地基	code 从"agent 的输出物"重定义为"agent 的运行底座"：executable / inspectable / stateful 为功能性属性；中心诊断是多数多智能体编码系统没有形式化可查询的共享程序状态
[2605.18747]	agent	可照搬的工程刻度	PEV 控制回路（plan contract → sandbox 执行 → 确定性传感器验证 → escalation）+ 三级权限（read-only / sandbox-edit / full-access，最后一级强制 HITL）+ 四级表征层级
[2605.18747]	agent	三症一因诊断	把约 25 个 MAS 的 Harness Substrate 列当分布读，把固定轮次停机、拓扑复杂化、context 机制爆发归于同一缺失抽象；产出可直接使用的诊断问题
[2605.18747]	agent	Delta 分析	harness 瓶颈前提只在能力替代型机制上成立（能力放大型依赖 backbone 自诊断阈值）；反馈压缩的塌陷是尺度依赖的（任务态 vs harness 态）；表征层级是表达力排序而非优劣排序
[2605.18747]	agent	可攻击面	0 实验故无法给 harness vs backbone 的边际收益比例；"终止由验证决定"在 n≈6 实现样本里零命中；四级层级缺"刻意分区"一格；确定性传感器本身是昂贵人工品
[2605.18747]	agent	生态位分析	角色是命名者与诊断者而非范式发起者——三级权限、AHE、context 工程均已先被采纳；引用价值高、实现价值为零，正确用法是索引与诊断清单
[2308.00352]	agent	MAS 正面样本	SOP 编码为结构化 schema 交接 + 可执行反馈自纠错，HumanEval/MBPP Pass@1 85.9%/87.7%；角色非单调、强依赖 GPT-4 级 backbone，是多篇 serving 论文的评测负载
[2503.13657]	agent	MAS 失败分类	MAST 14 失败模式 3 大类（系统设计/错位/验证），o1 judge κ=0.77 扩到 1642 trace；失败率 41–86.7%，孤立修复仅 +9.4–15.6%，失败是结构性的
[2607.27942]	agent	MAS 缩放分析	复杂度 × backbone 扫描证明缩放收益有界（峰在 MAS-M）、存在能力阈值、一致性 <50%；MAS 放大强 LLM 但不能替代它，framing-lock 为一致性根因
[2402.01680]	agent	MAS 综述	四轴分类（接口/画像/通信/能力获取）+ 问题求解 vs 世界模拟双流 + 六大挑战，预示级联幻觉与集体智能未兑现
[2512.08296]	agent	MAS 缩放律	260 组 compute-matched 配置拟合可预测模型，45% 能力饱和阈值 + 误差放大 17.2×(Independent)/4.4×(Centralized)，可分解 +80.8% / 严格串行 −70.0%
[2607.16133]	agent	MAS 信息瓶颈	无限带宽下 MAS=SAS，故增益只来自 bounded relay 压缩；$G_i=H(M_i\mid m_i)-\beta\Delta_i$，弱模型受益强模型翻转（−0.233），消融证明是上下文隔离而非分解
[2610.06069]	agent	MAS 可靠性税模型	attention tax vs handoff tax 两税调和两派，交叉深度 $L^$ + 最优块 $m^=\sqrt{2h/(\lambda k)}$，ledger 从深度 10 外推 20/50/100 误差 <9pp
[2210.03629]	model	范式源头	ReAct reason-act 交错，HotpotQA 幻觉 56%→0%，1–2 shot 匹敌大规模 IL/RL 训练
[2308.08155]	agent	会话式 MAS	AutoGen ConversableAgent + auto-reply，控制流从拓扑涌现而非显式编排，serving 层须逆向还原其隐藏结构
[2405.19888]	framework	应用结构恢复	Parrot Semantic Variable 跨 API 不渲染 prompt，恢复应用 DAG + 动态 prefix 共享，多 agent 11.7× 加速
[2502.13965]	agent	program 级调度	Autellix PLAS/ATLAS 把 OS LAS 搬到 program 级消除队头阻塞，同延迟 4–15× 吞吐
[2510.17015]	framework	公平队列	Justitia 虚拟时间公平队列 + KV 二次 token-time 成本，57.5% JCT 降低且常数因子延迟界
[2510.18586]	agent	时空协同 KV	TokenCake 时间(offload)+空间(KV 分区)统一 pressure-consistent 调度，E2E 降 47.06%
[2510.24051]	framework	可编程 serving	Pie 把 generation loop 拆成 Wasm inferlet 开放应用级 KV/decoding 控制，agentic 1.3–3.4× 吞吐
[2512.15834]	agent	tool 级投机	Speculative Tool Calls 把投机解码从 token 升到 tool 级，6–21%+2–3% 延迟节约，<2× 理论上界
[2512.23343]	agent	记忆综述	AI Meets Brain 把认知神经科学记忆映射到 agent 架构，extraction→updating→retrieval→utilization 统一管线，交互反馈环区别于 RAG
[2601.07470]	agent	可迁移记忆策略	Learning-to-Remember DPO 训练 Memory Copilot 与冻结 task model 解耦，"怎么记"跨模型迁移 +20–27%
[2601.19139]	framework	边缘推理	Native MLX 在 Apple Silicon 高 21–87% 吞吐 + 内容哈希视觉缓存 28× 加速，UMA 零拷贝 prefix
[2603.03305]	model	受约束解码	DCCD draft-conditioned 解耦语义规划与结构强制，feasible mass α 是可改推理期变量，GSM8K 1B +24pp
[2603.04428]	agent	持久 KV 边缘	Persistent Q4 KV 磁盘持久化 + 量化张量注意力，边缘 TTFT 降 11–136×、agent 容量 4×，仅 UMA 可行
[2603.13605]	agent	workflow serving 库	Orla 介于编排与引擎之间，workflow 级路由/调度/KV 管理，延迟降 38–60%、成本降 35%
[2604.06370]	agent	多 LoRA KV	ForkKV 沿 LoRA 代数拆共享 base + per-agent residual，12.7× 内存节省下 1.25–3.0× 吞吐
[2604.11462]	agent	RL context 策展	Active Context RL curator 每轮重写工作记忆，闭源 executor 吸收进环境使 distal reward 有效，WebArena +4.8pp −8.8% token
[2604.15877]	agent	经验压缩谱	Experience Compression Spectrum 把 memory/skill/rule 统一为压缩谱，20+ 系统互引 <1%，缺自适应跨层路由对角线
[2605.19576]	agent	技能库治理	Library Drift 诊断自进化 skill 库无界累积退化，Ratchet outcome-driven 退役 + 有界 cap，hard coding +0.328
[2605.19932]	agent	定向缓存	PEEK orientation cache 缓存常数大小上下文结构，提取与编辑分离，OOLONG +6.3–34.0% 且比 ACE 省 1.7–5.8×
[2605.21463]	agent	生成记忆策略	Mem-π 两阶段 decision-content 解耦 GRPO + Δ-gating 学"何时/写什么"，4 benchmark 55.4% SR(+22%)
[2606.00866]	agent	相对 idleness 分层	MORI 连续相对 idleness 在 GPU/CPU/Waiting 三层自适应分配 KV、零调参，20–71% 更高吞吐
[2606.09916]	agent	可组合 KV 剪枝	IntentKV cross-turn 意图感知剪枝 + slot-map 保 radix 前缀复用，prefix-hit 20.7% vs compaction 0–3%
[2606.16824]	agent	复用预测驱逐	CacheWise 参数级工具时长聚类预测复用时间做 Belady 式驱逐，coding session 完成 2.7–3.5×
[2606.21401]	agent	尾感知路由	SwarmX 分位数分布感知 composition 贯穿多模型路由/缩放保尾部，P95 降 61.5%
[2607.00151]	agent	异步 context 变换	SmoothAgent 段可分解 context 变换 lookahead 预计算 commit 拼接，消除 11.9× 变换点 TTFT
[2607.22242]	agent	CPU-GPU 放置	Agentic CPU-GPU LLM 策略 + 运行时监控对 4-tool DAG 达 brute-force 最优设备映射、零训练
[2608.25523]	agent	prefix-state 调度	TOPAS 按最长剩余路径边际缩减评分 + one-hop reuse，任务 JCT 降 39.8%/49.4%
[2609.03335]	agent	生命周期 coalescing	Latency-Aware Orchestration 异构 GPU 池按累积瞬态内存可行性做 model 生命周期融合，burst makespan 降 36.8%
[2609.10964]	agent	尾感知 release	Decoupling Readiness 把 readiness 与 release 解耦，CVaR 持有率门控，P95 降 3.50×
[2609.16491]	framework	completion 导向 PP	PipeSwift 证明需 prefill–decode 平衡（非 prefill 优先），PP+MTP+wave 聚合 360B+ MoE 1.45×
[2606.05711]	model	潜在通信综述	18 法 WHAT×WHICH×HOW 三轴框架，文本 15 bit/token vs hidden state 4 万 bit，break-even 不等式替代数字 leaderboard
[2510.03215]	algorithm（邻接）	KV 语义通信	Cache-to-Cache 残差+逐层门控把 Sharer KV-Cache 融进 Receiver，比文本 +3.1–5.4% 且 2.5× 加速，"永不覆盖只加修正"
[mostik-latent-bridge]	algorithm（邻接）	hidden-state 桥	Mostik 冻结权重 bridge 把 753B hidden state 翻译进 4B 模型，供应商自报 +25% 精度 / 2.5× 省算力（无正式评测）
[2608.22152]	agent	协调代价博弈	Collaboration Tax 把协调代价形式化为合作博弈 team-decentralisation loss，两条无例外序 + 四阶段级联，Shapley 证明两方皆亏，干预回收 38.3%
[2609.22951]	agent	轨迹感知路由	AgentRouter 12M 分类器 per-step 路由四档模型，依赖感知标签 + 非对称损失，降本 71.8% @ 保 97.3% 质量
[2610.08155]	agent	System-One 分工	S1-MAS 把有界协调交给非生成式 System One + 0.6B 阅读器，7 基准精度最高(93.97%)、token 降 44.9–97.2%