当我们评估一个智能体工作流是否「安全」，最常做的是逐步检查：每一步动作是否符合策略、是否拿到授权、是否留下记录。但 arXiv 2609.18820 这项研究提醒了一个容易被忽略的盲区——即使每一步都合规，多步组合起来仍可能产生「组合式策略违规」。单点的绿灯，叠加起来会在多步之后越过本不允许的边界。这对正在把自主工作流推进生产的团队，是一个值得在架构阶段就正视的问题。
逐步合规的陷阱：单步都放行，组合却越界
研究的出发点是一个朴素却常被忽略的事实：策略通常写在「单步动作」上。一个 Agent 被允许读取邮件、被允许调用某个工具、被允许发送消息——每一步单独看都合法。但当这三步被串成一条轨迹，组合后的结果是把一份机密外发给外部收件人，那就越过了整体策略本不允许的边界。问题在于，逐步检查器在每一步都只会看到「绿灯」，没有谁去追问「这些绿灯连起来会变成什么」。
增量认知：安全验证的对象，不能只是「单个动作是否合规」，而应是「整条轨迹是否满足组合约束」。一个动作合法，不等于一串动作的结果合法。
这和企业里的权限模型困境很像：每个接口都按最小权限开放，但攻击者（或失控的 Agent）把一系列最小权限动作串起来，最终拿到了谁也没打算给它的能力。研究把这种现象形式化，指出在 agentic workflow 里，步骤级合规（step-level compliance）不等于整体安全，二者之间存在系统性缺口。
把验证从单点拉到轨迹
研究给出的方向，是在步骤级合规之外引入组合约束与跨步追踪。也就是说，除了问「这一步合法吗」，还要问「这一步加上前面的步骤，会不会让整条轨迹越过某个整体边界」。它主张把验证对象从单个动作升级为整条轨迹的约束满足——区分「每步合法」与「整体越界」两种状态，让系统在轨迹层面而非动作层面报警。
这并不是一个纯理论的区分。对真实部署而言，它意味着审计与护栏要能跨越步骤边界做关联：记录每一步的输入输出当然必要，但更重要的是能还原「这些步骤连起来干了什么」。当一条工作流涉及读、调工具、写、发等多个环节，只有把跨步的因果链串起来，才能在结果越界之前拦住，而不是等机密已离手再事后追查。
对工程实践的提醒
这项研究对企业的直接价值，是给「如何验证智能体安全」补了一块常被跳过的拼图。许多团队上线 Agent 时，会把精力放在单步权限与单步日志上，却很少问「这些被授权的单步，组合起来会不会越过本不允许的边界」。研究的结论指向一个务实动作：在策略设计里显式写下组合约束，并让验证器具备跨步追踪能力。
边界提醒：组合式违规不是靠「更严格的单步策略」能解决的——单步再严，也拦不住合法的单步拼成非法的整体。必须从轨迹层面补验证，否则越界只会在事后才被发现。
把它放进九月的安全图景里看更清楚：同期行业既在讨论 Agent 主动发起的入侵，也在讨论如何保护生产中的智能体。arXiv 2609.18820 补的是中间那块——即便攻击者不在场，工作流自身的合规拼接也可能自己走出边界。对把自主多步流程接进核心业务的团队，这比任何单点防护都更值得提前设计。