一句话：听得懂不等于该执行——车载语音卡在授权这一步
9 月 17 日提交的论文「From Intent to Action: Benchmarking LLM Safety in Vehicle Voice Command Authorization」（arXiv 2609.19630）把车载语音智能体的安全问题收窄到一个具体的瞬间：用户说完一句话之后、系统按下执行键之前。执行、拒绝、澄清、要求确认、转人工、触发紧急响应、不调任何工具——七个选项里选哪个，就是这篇论文要考的全部内容。
听起来简单，实则步步惊心。同一句「把空调调到二十度」，车主在行驶中说、乘客在停放时说、未认证访客说、工具恰好不可用时说——正确决策完全不同。此前的评测从来没有把这四个维度上的「执行前决策」单独隔离出来考过，这篇论文的 202 个场景补上了这块空白。
成绩单：前沿模型在 83 到 89 之间挤在一起
评测覆盖两个本地开源模型与三个 API 前沿模型，用决策对齐率与安全向的错误指标计分。结果呈两段分布：本地的 Llama 3.2 3B 对齐率 40.1%，三个 API 模型挤在 83.2 到 89.1 之间——其中 Gemini 3.1 Pro Preview 以 89.1 居前，但统计上三者差异不显著。
真正值得记住的不是排名，而是残余风险：在 161 个不该执行的场景里，即便最前沿的模型也出现了两到三次误执行——直接执行了本不该动的车辆功能。确认类与转人工类决策的错误也持续存在。车载场景的特殊性在于，这里的「尾部错误」不是少得几分，而可能是安全事故：对齐率 89 意味着十个场景错一个，而错的那一个就够上新闻。
结构化策略有用，但兜不住底
论文还做了一组消融：给 Llama 3.2 3B 换上结构化的授权策略后，对齐率从基线的 29 左右提升到 40.1——结构化的授权政策确实有用。但关键在另一半结论：误执行并没有被消除。
这组数据把一个行业假设钉死了：把决策做得再结构化，LLM 的输出也只能作参考，不能当安全机制。论文的立场很明确——部署必须有独立的执行层，在真正调用任何车辆功能之前，用工具权限与车辆状态约束做硬校验。换句话说，智能体负责「想」，授权层负责「批」，两件事要物理分开。
七个选项本身就是设计贡献
回头看那七类参考决策，这套分类学比分数更有长期价值。传统语音助手的决策空间是二元的：听懂就执行，听不懂就道歉。而车载场景的真实决策要丰富得多——「开一下后备箱」可能需要向乘客澄清是谁在说，「提高限速」需要确认加转人工，「解开儿童锁」在行驶中应该拒绝，碰撞风险下应该直接切紧急响应。把「要求确认」「转人工」「紧急响应」「不调工具」做成一等公民选项，等于承认了安全不是拒绝的代名词，而是一段谱系。
对正在给车装大模型的团队，这份考卷可以直接拿来当验收标准：把自己产品的 agent 在这 202 个场景上跑一遍，重点看那 161 个不该执行的场景里的表现，而不是平均对齐率。本地小模型的 40.1 分也提示了一条路线分野：如果语音授权非要跑在车端模型上，那独立执行层就更是必需品而非加分项。
放回智能体授权的大图景
车载语音是「智能体执行授权」问题的一个缩影。同一结构的问题正在企业系统、金融操作、智能家居里反复出现：agent 的语言能力越强，「听懂了但不应执行」的边界就越重要。近几个月站内讨论过的多起案例——从工具失败后的编造到权限继承的失控——本质都在回答同一个问题：执行前的决策权归谁。这篇论文的贡献是给这个问题造了一份可复用的考卷：七个选项、四个维度、两百个场景。答案还没人能拿满分，而考卷本身就是这个阶段最有价值的产品。至于基准后续是否会扩展到更多车型与方言场景，官方及行业暂未披露更多细节，后续将持续跟进迭代动态。