内容摘要：由韩国科学技术院KAIST）与DeepAuto.ai联合研发的最新成果，于2026年6月28日以预印本形式发布论文编号：arXiv:2606.29225）。该研究推出了一套名为POLICYGUARD的

由韩国科学技术院（KAIST）与DeepAuto.ai联合研发的纠错最新成果，于2026年6月28日以预印本形式发布（论文编号：arXiv:2606.29225）。客服该研究推出了一套名为POLICYGUARD的说错术院创新系统，旨在解决AI客服代理在执行任务时违反公司操作规程的话韩话监痛点。

你是国科否曾遭遇过这样的困境：致电航空公司改签机票，客服虽告知可操作，学技却遗漏了确认订单详情或询问行程险等关键步骤，提出导致后续麻烦不断？全督机现实中人工客服会犯错，AI客服亦然。程对随着企业日益依赖AI代理（Agent）处理客户服务，纠错这种“流程未走完即操作”的客服隐患不仅频发，且极难被察觉。说错术院

POLICYGUARD正是话韩话监为此而生。它如同一名贴身监察员，国科全程伴随AI客服，学技在每一次关键操作执行前，静默核查“规矩是否已走完”。

一、AI客服的隐形危机：非不懂规矩，乃遗忘流程

现代AI客服系统通常基于“大语言模型代理”构建，具备与用户对话及调用工具（如预订、查询系统）的能力。然而，企业对这类操作有着严格的规程。以航空业为例，规定可能包括：身份核验、订单详情查询、主动询问保险意向、以及获得用户明确确认后方可执行改签。这些规定虽已写入AI的“系统提示”（即公司手册），但仅靠“阅读”并不足以保证合规。

研究团队在标准测试平台 τ?-BENCH上评估了多款顶尖AI代理的表现。该平台模拟真实航空客服场景，包含50个任务（半数要求拒绝违规请求，半数要求满足前置条件后执行）。结果显示，即便如GPT 5.4等先进模型，在最严苛评分标准下合规率仅约46%；Claude Sonnet 4.6约为72%；Gemini 2.5 Pro约48%。这意味着，即使是顶级模型，也存在大量“多操作”或“漏步骤”的情况。

这揭示了POLICYGUARD的核心价值：单纯依赖AI自我记忆规则并不可靠，必须引入独立的监察机制在关键节点把关。

二、传统方案的盲区：忽视对话语境，仅关注参数

在POLICYGUARD出现前，业界已有多种尝试，但其局限性明显：

1. TOOLGUARD：仅检查工具调用参数（如姓名、支付方式）是否符合规范。这如同流水线末端的质检，只验产品规格，无视生产过程是否完整。
2. PCAS：虽查看消息文本，但依赖关键词匹配。若用户表述变化（如“好的” vs “确认”），极易误判。
3. NEMO GUARDRAILS：依赖预设脚本，缺乏真正的语义理解和推理能力，无法应对脚本外的情况。

研究团队对τ?-BENCH航空政策文档的分析显示，43条规定中，29条（约三分之二）属于“流程性”要求（如“用户是否明确同意”、“是否询问保险”）。这些属于对话内容层面的条件，而非工具参数层面的条件。现有方案要么不看对话，要么理解机械，而POLICYGUARD的核心突破在于让监察员真正“读懂”整个对话。

三、POLICYGUARD架构：AI监督AI，全程洞察与规则推理

POLICYGUARD的设计可比喻为“副官”机制：它插在AI代理与实际操作之间，每次代理欲执行关键操作（如预订、改签）时，副官会介入核查。

其核心工作流程包含三步：

1. 全景对话读取：POLICYGUARD不仅看工具调用命令，更读取完整的历史对话记录，从而判断“用户是否真的口头同意”，而非仅检查参数字段。
2. 结构化规则核查：系统结合原始政策文档与自动生成的“每工具检查清单”（YAML格式）。该清单由GPT 5.4自动生成，将政策转化为结构化核查项（如“需确认只读工具调用”或“需确认用户明确同意”）。POLICYGUARD逐条比对，给出“通过”或“拦截”结论。
3. 精准修正指令：若拦截，系统不只说“不行”，而是生成定制化反馈（如“请先询问行程险意向，待用户回答后再确认”），指导代理补全缺失步骤。

清单生成过程全自动且可复用，分为四步：识别操作性工具 -> 生成带约束的YAML文件 -> 生成全局规则 -> AI审核纠错。此流程仅需运行一次，即可适配不同AI代理。

四、实验数据：多维领先，稳定性显著增强

研究团队在τ?-BENCH航空任务上进行了系统性对比，使用GPT 5.4、Claude Sonnet 4.6和Gemini 2.5 Pro，采用高稳定性标准 PASS?（4次运行全成功）进行评价。

1. 任务成功率对比

模型	基准 (无监督)	+ TOOLGUARD	+ POLICYGUARD (PG-CHECKLIST)	变化趋势
GPT 5.4	46%	52% (+6%)	58% (+12%)	显著提升
Claude Sonnet 4.6	72%	58% (-14%)	78% (+6%)	唯一正向提升
Gemini 2.5 Pro	48%	44% (-4%)	60% (+12%)	显著提升

注：TOOLGUARD对强模型反而有害，因其过度拦截导致代理陷入重试循环；POLICYGUARD则是唯一对所有模型均产生正向提升的方案。

2. 拦截准确性与效率

• 违规检出率：POLICYGUARD-CHECKLIST在GPT 5.4上达到100%（14/14），Gemini 2.5 Pro上达94.7%。相比之下，TOOLGUARD检出率仅为80%和31.2%，且误拦率高。
• 对话轮次消耗：TOOLGUARD因提供静态错误提示，导致代理需额外1.5-2.3倍轮次摸索；POLICYGUARD凭借精准指令，仅增加基准水平3%-13%的额外消耗，通常在1-2轮内解决问题。
• 近失率（Near-Miss Rate）：衡量“通过监督但仍有流程缺失”的比例。GPT 5.4在PG-CHECKLIST下降至29.1%（基准33.8%）；Claude Sonnet 4.6更是从35.5%骤降至4.2%（改善约8.5倍）。

五、归因分析：对话语境与政策原文的双重价值

研究团队通过拆解实验验证了POLICYGUARD各组件的贡献：

1. 去掉对话（仅看工具记录）：任务成功率从26%降至0%。所有操作因无法判断用户意图而被拦截。证明“读懂对话”是核心能力，参数级检查存在结构性天花板。
2. 去掉政策原文（仅看清单）：成功率下降15.4个百分点，拦截率上升16%。缺乏政策上下文导致清单中的豁免条款失效，引发过度拦截。证明政策原文是必要的“增强剂”，而对话是“必需品”。

六、泛化能力：小模型与弱代理的适应性

1. 低成本监督模型：使用更便宜的GPT 5.4-mini作为监督者，成本降低13%，PASS?得分仅从58%降至52%，仍高于基准（46%）和TOOLGUARD（52%），且违规检出率更高（91.7% vs 87.5%）。证明监督任务复杂度较低，可用小模型替代。
2. 弱代理场景：当代理为GPT 5.4-mini时，POLICYGUARD将其成功率从20%提升至36%（+16%），提升幅度甚至超过强代理场景。TOOLGUARD在此场景下导致Mut类任务成功率归零（0/26），而POLICYGUARD的明确指令有效弥补了弱代理的能力短板。

七、压力测试：对抗恶意攻击的表现

尽管非主要设计目标，POLICYGUARD在三种攻击场景下表现如下：

1. 权威声称（用户谎称已获批准）：有效拦截。违规拦截率提升至87.5%-95.8%，因其规则要求只信任工具数据，不轻信用户声明。
2. 伪造前置条件（谎称流程已走完）：有效拦截。同上，依赖工具数据验证。
3. 间接提示注入（污染工具返回数据）：略有下降。拦截率从100%降至91.7%。因系统难以区分工具返回中的真实数据与注入文本，此为已知局限，也是未来改进方向。

八、适用边界与局限性

POLICYGUARD并非万能，其效果受场景限制：

• 零售场景：因任务多为操作性（94%），误拦截合法操作的代价高，且航空场景训练的清单在零售中过于字面，导致成功率下降。
• 电信场景：AI主要起指导作用，极少直接调用工具执行操作，缺乏监控对象，效果有限。
• 概率性而非确定性：虽实验表现优异，但非数学证明。在医疗、法律等需绝对可靠性的场景，建议搭配确定性规则引擎使用。
• 言辞承诺监控缺失：目前仅监控工具调用时刻，不监控对话中的口头承诺（如“承诺全额退款”但未触发工具），此类合规风险尚无法覆盖。

结语

POLICYGUARD证明了“读懂对话”是判断AI客服合规性的关键。相比仅检查参数的传统方案，它解决了最常见的“流程缺失”问题。其自动化清单生成、低成本小模型支持及低侵入性设计，使其具备极高的商业落地潜力。

如需查阅完整实验配置、政策分类表及提示模板，请访问 arXiv:2606.29225。

---

Q&A

Q1：POLICYGUARD和TOOLGUARD的核心区别是什么？
A：TOOLGUARD仅检查工具调用参数，无法感知对话语境；POLICYGUARD读取完整对话记录，能判断“用户是否真同意”、“是否真询问保险”等流程性条件，覆盖了约三分之二的参数无法检测的规程要求。

Q2：POLICYGUARD的检查清单是人工编写还是自动生成的？
A：由AI（GPT 5.4）自动生成。流程包括识别操作性工具、生成YAML约束文件、生成全局规则及AI审核。全程无需人工干预，且生成一次即可复用。

Q3：POLICYGUARD能防止恶意用户绕过规程吗？
A：具备一定防御力。对于用户口头声称“已获批准”或“流程已走完”，POLICYGUARD会忽略并坚持工具验证。但若攻击者污染工具返回数据（提示注入），目前尚无法完全识别，此为已知局限。