你的 Agent 一上线就崩？257 篇论文的综述拆了原因：你只测了零件，没测轨迹

搭过 Agent 的人大概率经历过这种事——不管是写代码的助手、自动填表单的机器人、还是一个会调用工具的客服。每个函数单独测都没问题，LLM 调用返回也正常，工具执行结果也对。但一放进真实场景，Agent 就开始走邪路。不是卡在一个循环里出不来，就是选错了工具，或者对着一个不存在的错误反复重试。

这跟代码水平关系不大，是一个系统性的验证缺口，目前的方法远没填上。

上周 arXiv 上线了一篇意大利梅西纳大学团队的综述，标题叫《Beyond Component Testing: Validating Agentic AI Systems》。研究人员筛了 257 篇相关论文，试图回答一个问题：Agent 系统到底该怎么验证？答案不太乐观——现有方法大多只覆盖了其中一部分，几个关键缺口基本没人管好。

这篇论文没有发明新框架，而是先把 Agent 验证的难题归成五维分类法：行为、安全、时间、监管、多 Agent。分类本身不算颠覆，但用它扫一遍现有工作，差距清楚得有点扎眼了。

行为评估相对成熟——测单步输出对不对、工具调没调对、一个来回能不能完成任务。这块工具和方法最多，也是开发者最熟悉的。其他四个维度就惨淡很多。

时间维度是最大的坑之一。Agent 的行为是轨迹式的，几步之间有依赖关系，上一步的决策会影响下一步的环境状态，而且环境本身也在变。测试时构造的干净环境，跟线上的动态世界根本不是一回事。论文管这个叫 temporal validity，可以理解成「时间有效性」——测试结果在几分钟后可能就已经失效了。这个问题在工业运维和智能出行这类场景里尤其突出，Agent 的决策直接影响物理设备，错了不是重试能挽回的。

安全维度方面，现有研究主要集中在对抗性攻击和越狱，但 Agent 的决策链比单次 LLM 调用长得多，攻击面更大。一个提示注入可以污染后续几步的工具选择，当前的安全测试很少覆盖这种级联效应。

监管维度更薄弱。论文提到 regulatory legibility——系统行为能不能让监管机构看懂、审计、追溯。目前大多数 Agent 系统的日志和证据链是碎片化的，真要出事，很难拿出完整的轨迹记录说明「Agent 为什么在那个时间点做了那个决定」。这对医疗、金融这些强监管场景几乎是致命缺陷。多 Agent 系统就更不用说了，行为空间是组合爆炸的，单个 Agent 测再好，放到群体里可能完全变样。

论文用三个案例把这些缺口串了起来：医疗护理、工业运维、智能出行。在医疗场景，Agent 的决策延迟几分钟可能影响患者安全；在工业场景，工具调用顺序错了可能损坏设备；在智能出行场景，多个 Agent 协调失败可能直接导致事故。

研究团队最后提了一个面向生命周期的研究路线，核心方向包括：有界自主权规范、对抗性轨迹生成、运行时监控、审计就绪的证据结构。核心意思是：别只在开发阶段测 Agent，要在它跑起来之后持续盯着；别只测单个动作，要测整条决策链；别只让自己看得懂，要让监管也能追溯。

这篇论文的最终判断我基本认同：Agent 系统的可信部署，依赖的是在上下文中验证轨迹，而不是孤立地评估组件。如果 Agent 在开发环境里跑得挺顺，一上线就出幺蛾子，那大概率不是 Agent 变笨了，而是验证没覆盖它真正干活时的那个动态世界。

这篇综述也有它的边界。它是一篇综述，不是工具手册，里面没有现成的测试框架或可以直接跑的代码。61 页的篇幅也意味着读起来不会轻松。但对任何一个正在把 Agent 往生产环境推的团队来说，它提出的那几个缺口——特别是时间有效性和审计证据——是值得认真对着自己的系统过一遍的。上线之后才发现验证不够，那就不是改代码的问题了。