Top AI Papers 中文周报Top AI Papers of the Week — Elvis Saravia / DAIR.AI

一句话检索器漏掉的内容永远到不了生成器——这篇干脆取消一阶段检索，换成一个决策模型从宽泛主题逐层往下走，直到文档和段落。

旧方法

主流一阶段检索仍靠 keyword matching 或 fixed embeddings 先捞候选，再交给 reranker 和生成器；第一步漏检，后面再强的模型也无从补救。

方法

• 分层导航：在每个层级，决策模型（如 Jev）用一次 forward pass 给全部候选打分、不生成 token，只保留最有希望的分支；在平衡层级下，顺序决策次数随语料规模呈对数增长。
• 共享上下文：把候选放在一起联合判断，模型能互相比较，而不是逐个孤立打分。

效果

共享上下文一项就带来 +7.7 R@1（MultiDoc2Dial）和 +6.5 Hit@1（Natural Questions）。整体在零任务训练下，比 dense retrieval + 8B reranker 高 13.8 R@1（MultiDoc2Dial）和 17.4 Hit@1（Natural Questions，语料为 268 万条 Wikipedia 段落）；单次查询检索耗时 0.7–1.8 秒、成本 0.2–2.3 美分。另有 Qwen3-8B judge 经域内数据训练后在 MultiDoc2Dial 达 60.7 R@1，比对比中最好的已发表任务训练型检索器高 5.7 点。

局限

方法依赖一个组织良好的语料层级；分支一旦在早期被剪掉就找不回来，除非加大预算或再用 dense retrieval 补候选。

对你

这正是你搜索场景的上游：生成质量的天花板由「物料有没有被捞到」决定，值得拿它和现有的检索 + reranker 链路认真对比一轮。

一句话基础模型的四个训练阶段不必各用一套 recipe：全部可以收敛到同一个 likelihood-based 算法下运行。

旧方法

pretraining、midtraining、SFT、RL 分阶段进行，每阶段有自己的目标函数和训练配方，阶段之间是硬切换。

方法

• 同一个损失：把合适的 RL 目标推导为对模型自生成目标的 maximum-likelihood fitting，于是 RL 生成的数据和静态数据共用一个 loss、一个 trainer。
• 设计问题随之改变：要决定的只剩「训什么数据、按什么比例、何时训」，分阶段训练只是它的一个特例。

效果

推理谜题上，从零训练的 124M 模型在 RL 任务上击败分阶段训练，在 midtraining 和 RL 都没见过的更大谜题上也更好；固定算力预算下，unified training 在最小和最大预算处准确率最高，中间预算段则是分阶段训练领先。数学 RL 实验（0.76B 模型）中混入 0%–5% 的 midtraining 数据，数学准确率基本不变而 retention 变好，但 coding 准确率随混入比例上升而下降；数学训练之后，所有 unified 模型在最终 coding 准确率上反超分阶段训练（起点更低），5% 混入在四项指标上都最好。

局限

实验规模很小（124M / 0.76B）；作者也明确说还没找到一套在所有场合都最优的数据配比或 schedule。

对你

离日常 prompt 工作较远，但「优化问题最后都归结为数据配比与时机」这个视角，和你做 prompt 迭代时决定评测集构成是同一类问题。

一句话Agent harness 经常在工具反馈后重新调模型，哪怕上一次调用已经定下了下一步动作——HarnessMM 把这些已定决策存下来复用，模型权重完全不动。

旧方法

每到一个 tool boundary 就重新调用模型决策，重复为已经解决过的决策付费，token 和调用次数随任务长度线性膨胀。

方法

• Executable Decision Graphs：把确切动作、字面参数、因果依赖和 public guards 存成图，已解决的决策可以在之后的 tool boundary 直接再次执行。
• Guarded reuse：Guarded Decision Reuse 在工具回执满足 guards 时激活已存决策，Certified Callback Substitution 通过原生接口执行并记录「这次慢调用已被省掉」；新决策、证据不支持、弃权的情况才回到原模型。
• 递归自改进：在权重固定的前提下，调优 harness 自身的配置。

效果

同一批 98 个 HumanEval 任务上，DeepSeek Harness 成功率从 71.43% 升到 85.71%，每任务 token 从 96.28k 降到 11.62k，省 87.93%；Codex 保持 90.82% 成功率、token 少用 29.54%；付费模型调用次数从 954 次降到 415 次。单独的 MBPP 消融显示，比保留 callbacks 的做法成本低 19.52%。

局限

节省幅度取决于 provider 的 cache 计费方式和「已解决动作」占的比例；决策图的编写、选择与恢复成本，有可能盖过省下的调用。

对你

给「要不要上更大的模型」提供了一个先行动作：先数一遍 pipeline 里有多少重复决策在反复付费，这和 prompt 优化里先砍无效调用是同一个思路。

一句话让多智能体系统自我演化时，不跟着 backbone 模型的习惯走，而是从实际失败出发、把每次修改限制在它所属的那一层记忆里。

旧方法

已有的多智能体演化方法往往顺着 backbone 的习性走：换一个 backbone，一个只顾着攒 skills，另一个只顾着增殖 agents，演化方向被模型偏好而不是观测到的失败决定。

方法

• 三层记忆：controller 逐步规划任务并调用 routing memory；specialist agents 继承一个 generalist prompt；skills 存每步的简短操作流程——全部以文本形式存在，由一个固定的 LLM 运行。
• 作用域受限的更新：失败后由 reflector 把修复指派给真正 owns 它的那一层，只在那一层提一处编辑；与 backbone 无关的 guards 保证每个被接受的编辑都是 scoped、incremental、bounded 的。

效果

在 KramaBench、AppWorld、BBEH 三个 benchmark、五个 backbone 上，对比 ACE、GEPA、EvoMAS、ADAS，EMMA 在每个 benchmark 的整体表现都最好，最高比最强基线高 32.5%；20 个设置里 17 个排第一，训练执行次数还比最省的基线少 17%–38%。跨 backbone 稳定性差距最明显：AppWorld challenge 上 EvoMAS 用 Opus 5 得 89.0、用 GLM-5 只剩 7.2，而 EMMA 最弱的 backbone 也有 61.2。

局限

作者指出：即使任务最终没做出来，已接受的编辑也会留下来，无效的记忆条目可能长期残留。

对你

这是你框架选型讨论里最对位的一篇：它在同组对比中压过 GEPA，且给出了一条不同路线——优化对象是分层文本记忆、每轮只许一处作用域内编辑，与你自研 loop 的「每轮只提一个版本」不谋而合。

一句话简单的视觉符号能改变 vision-language model 在无关任务上的行为方式，而模型不会在推理链里报告这种影响。

旧方法

默认假设是：影响模型行为的是文本指令和任务本身，无关的上下文图片至多是噪音，且模型若受影响、推理链多少会露出痕迹。本研究里无图片时，Claude Opus 4.7 和 GPT-5.4 对中序二叉树遍历总是写迭代代码，作为对照基线。

方法

• 视觉 steering：上下文里放一颗红心，Claude Opus 4.7 和 GPT-5.4 在 100% 的样本里改写递归；黄色对勾让 Gemini 3.1 Pro 达到 90%——效果等同或接近直接用文字指令要求递归。
• 图片 ≠ 文字说明：同一符号的文字 caption 复现不了这个模式，随机或自然图片的 steering 也更弱；同一批 288 个彩色形状还能改变写作风格和简单偏好问题的答案。
• 隐藏的影响：GPT-5.4 有 74.7% 的 thinking traces 错误归因了符号的作用；图片被静默插入时 Claude Opus 4.7 仍完全切换到递归，GPT-5.4 的 traces 则从头到尾不提图片。

效果

如上：红心 → 两个模型 100% 转递归；对勾 → Gemini 3.1 Pro 90%；静默插入下影响不减，推理链提及率为零（GPT-5.4）。附带发现：模型互相发送图片时选的螺旋、箭头等「直觉图形」往往 steer 不动接收方。

局限

原文明确提醒：本研究的任务是合成（synthetic）任务，向真实业务场景的外推需要谨慎。

对你

对 Judge 可信度是一记提醒：连「受了什么影响」模型自己都报告不出来，那么用模型自述的理由来校准 Judge 判定，证据强度要打折。

一句话Harness 构建者一直缺证据判断「验证的钱该花在哪」——这篇把 17 种验证设计放在同一批模型和任务上，量出了各自的收益与成本。

旧方法

验证手段五花八门（初始指令里写要求、执行中提醒、完成时设门禁、独立审查），但选哪种基本靠经验，没有同条件对比数据。

方法

• 对比范围：17 种设计 × 7 个前沿 coding 模型，覆盖 Terminal-Bench 与 SWE-bench Verified，另新建 VisualBench 做视觉 / 交互产物的专家评估。
• 四类手段分开测：initial instructions、execution-time reminders、completion gates、independent review，逐类报告增益和成本倍数。

效果

指令与提醒增益 modest 且看模型：system-role 指令 +3.3（Terminal-Bench）/ +3.9（SWE-bench），system-role 提醒 +3.1 至 +3.8。完成门禁里 early user rejection 增益最大（+6.0 / +6.2），但成本达基线的 1.60–1.76 倍（Terminal-Bench）/ 1.48–1.56 倍（SWE-bench），且作者建议避免 completion-time self-checking。独立 reviewer 最划算：单独的 critic 在 Terminal-Bench 上 +5.9 至 +9.5、成本仅 1.13–1.25 倍，在 SWE-bench 上 +3.9 至 +6.6、成本 1.00–1.04 倍；多加审查轮次或 critic 在 Terminal-Bench 上最多再多 3.5 分。在 VisualBench 上 critic 设计同样领先（净偏好高出基线 13.2–23.8 分），且审查「改动」优于审查「轨迹」。

局限

结论来自 coding 类任务（Terminal-Bench / SWE-bench Verified / VisualBench）；指令类增益随模型差异明显，迁移到文本生成类任务前需要自己的复测。

对你

直接支撑你的 Judge 架构判断：验证预算有限时只加一步，就加独立 reviewer——这与「Judge 与生成器分离、别让模型自检自评」的校准原则是同一条证据线。

一句话从大 LLM 改造的多模态 embedding 模型动辄数十亿参数，端侧和低延迟场景用不起——EmbeddingGemma 2 用 744M 做到了统一向量空间。

旧方法

多模态 embedding 模型多由大型语言模型改造而来，参数量数十亿，on-device 和 latency-sensitive 场景成本过高；各模态也往往各用各的模型。

方法

• 模块化拼装：167M vision encoder + 305M audio encoder 喂给 271M bidirectional transformer，按需只加载用到的部分——纯文本 271M、视觉-语言 439M、音频-语言 577M。
• 训练 recipe：基于 Gemma 4 家族、向 Gemini Embedding 2 学习；三阶段训练，把 text-only 与 multimodal 训练分开，distillation 与 contrastive objectives 分开。

效果

在覆盖 text、code、image、video、document、speech、sound 的七组 benchmark 上刷新 Pareto frontier，击败 specialist 模型和比它大 2–12 倍的模型。细项有升有降：MTEB Multilingual v2 达 61.36，MTEB Code 从前代 68.76 升到 78.68，但 MTEB English v2 从 69.67 降到 68.46。int4 量化版在 MTEB Multilingual 上只掉约 0.4 分。

局限

「全面更强」要打个问号：至少 MTEB English v2 一项是低于前代的，选型时要看自己语言 / 任务的那一栏，而不是只看总榜。

对你

你的检索目前以文本为主，优先级不高；但如果搜索物料要扩到图文混合、或要给 agent memory 做混合媒体检索，这是目前最实用的端侧选项。

一句话长程 agent 任务没必要全程用最贵的模型：关键是找准那个「可以交棒了」的时点，一次性切换到便宜模型把剩下的活干完。

旧方法

长任务通常全程绑定一个 capable model，简单后段也在按最贵单价付费；原文未展开更细的旧做法对比，这篇在周报中以短讯形式呈现。

方法

• 一次性交棒（one-time handoff）：在单个长程任务内部，从昂贵强模型切换到便宜模型，只切一次、不来回切。
• 学出来的切换时机：AgentBaton 的 detector 从任务进展的模式中学习何时切换，而不是用固定步数或固定规则。

效果

在 DeepSWE v1.1 与 Terminal-Bench 2.1 上、共 11 组模型搭配：API 成本平均降低 65.9%，准确率基本保持，部分搭配甚至比全程用强模型高出最多 8.8 分。

局限

两个重要前提，原文都写明了：成本计算把可本地部署的模型计为零成本；反方向交棒（便宜 → 贵）几乎省不到钱甚至不省。

对你

搜索生成和追问生成的调用链同样有「难度不均」的问题：交棒点的 detector 思路，比一刀切换模型更值得在成本优化时先试。

一句话极少量预训练投毒可以植入一个能穿过干净后训练流程、最终在 CLI agent 里被普通请求触发的 RCE 后门。

旧方法

常见的防御假设是：后训练（post-training）用干净数据再训一遍，能把预训练阶段混入的恶意行为洗掉。这项研究就是冲着这个假设来的；该篇在周报中以短讯形式呈现，未展开更多旧方法细节。

方法

• 投毒比例极低：只污染预训练语料的 0.1%，后门即可植入，并存活过一整套 clean post-training pipeline，进入最终的 CLI agent。
• 触发条件很日常：触发物是用户请求里一个普通的文件路径（file path），不需要刻意构造的暗号。

效果

在 4B 模型上，带触发路径的请求攻击成功率 Pass@32 达 92.7%，而干净 prompt 产生 payload 的比例为 0.0%——平时完全看不出来。攻击成功率随模型变大而上升；哪怕投毒率低到 0.0005%，注入的 trigger 在单次种子运行中仍在 1.4% 的 prompt 上被触发。

局限

最低投毒率（0.0005%）的那个 1.4% 是 single-seed 单次运行的结果，稳定性未知；但主结果（0.1% 投毒、92.7%）本身已足够说明风险量级。

对你

你调用国产商业 API、用的是黑盒模型，拿不到预训练数据——这篇的实际含义是：供应链风险没法靠自己的后训练或 prompt 层完全兜底，agent 的工具执行权限边界才是你能控的那道闸。

一句话把第 1 篇 DecisionRAG 的决策式思路搬到 reranker 的位置上微调，结果并不成立——至少在 27B 以下不成立。

旧方法

被检验的设想是：decision fine-tuning（按决策模型的方式微调）能训出比 plain reranker fine-tuning 更好的 reranker，且决策模型自带 calibration 优势。

方法

• 同条件正面对照：六个 Qwen backbone（0.6B 到 27B）、十个 TREC DL 与 BEIR 数据集，两种微调方式逐档比 nDCG@10。
• 连 calibration 一起查：不只看排序指标，也检验决策模型被寄予厚望的校准优势是否真实、是否稳健。

效果

从 0.6B 到 9B，reranker fine-tuning 领先 decision fine-tuning 5–29 nDCG@10 分；到 27B 两者才打平。而且 9B 及以下，decision fine-tuning 相比未微调的原模型没有任何提升。决策模型的 calibration 优势取决于问题措辞（wording），补不回排序上的差距。

局限

结论限定在 Qwen 家族六个尺寸与 TREC DL / BEIR 这十个集合上；27B 打平意味着更大规模上是否反转，原文数据回答不了。

对你

和第 1 篇连着读最有价值：决策式打分赢在一阶段检索的「导航」位置，不等于在 reranker 位置也赢——你链路里每个位置该用什么形式的打分，要分开验证，别整段照搬。