把一条纠正指令塞进一台已经跑了几个小时的智能体，它多半听不进去——不是故意，而是这条指令被越堆越长的上下文慢慢冲淡了。10 月 19 日挂在 arXiv 上的论文 2610.22373 给这种现象起了个名字：权威侵蚀（authority erosion）。论文由包括 Ryan Tran 在内的九位研究者提出，针对的是长程、多智能体系统里一个长期存在的控制缺口。
自由文本纠正为什么失灵
让人在中途用自然语言纠正智能体，失败有两种。一是解释含糊：自由文本没有结构校验，模型怎么理解都行，同一句话在不同轮次可能被读成不同意思。二是权威侵蚀：即便指令被正确理解，它也会随着后面不断累积的上下文逐渐失去分量，到后面几轮基本不再左右决策。论文的核心判断是，目前缺少一种协议层的机制，让操作者注入「有约束力、且能跨规划周期持续生效」的指令。
SAI 的写法：把指令变成工具调用
SAI（Structured Authority Injection，结构化权威注入）的做法，是把人的纠正改走带 schema 校验的 MCP 工具调用，并在每次给模型的提示前，前置一段按优先级排好序的「权威上下文」。它定义了三类覆盖：Constraint 是物理或操作上的硬限制，硬约束绝不被违反，软约束只在找不到合规方案时才绕开，且持续到被显式解除；Priority 是来自外部通道的紧急程度信息，在所涉任务或任务类完成时自动过期；Strategy 是协调类启发式（比如分区策略），可以贯穿整个任务，也可以在 N 个规划周期后过期。冲突按固定 precedence 解决：C 高于 P，P 高于 S，在拼提示时就算好。
实测：省 token 与掉表现并存
评测覆盖九个模型、八个刻意触发失败的场景（优先级错排、迟到的中断、够不到的任务、能力错配、拥堵等）。结果高度依赖模型。GPT-4o 在模拟瓶颈的 S7 场景里把 token 消耗降了约 38%；DeepSeek-R1 约降 31%。GPT-OSS-20B 在两个场景里从「一个任务都完不成」变成「全部完成」。但另一边，Gemini-2.0-Flash 在分区场景里从 1.00 掉到 0.50；最弱的一组（论文把 LLaMA、Qwen3、Claude-Haiku 归在这里）里，SAI 只增加了 token 成本，没有带来相称的收益，DeepSeek-R1 甚至因为权威上下文变长，在 S7 把 4096 的预算用光了。
真正有意思的那处不对称
设计里最值得抄走的一点，是覆盖工具只能由监管接口调用，规划智能体本身既读不到创建权也读不到删除权——它能看见这些指令，但不能自己生成或撤销。这意味着人类操作和模型规划被强行分开了。方法不需要微调、也不需要碰权重，一个支持 MCP 工具调用的指令微调模型就够。Claude Code 的 PreToolUse 钩子在精神上有点像：每次工具调用前跑一段校验，但 SAI 把「哪些指令是操作者专属、带过期时间」这件事正式化了。
能用，也有边界
论文把局限写得很直白：一切都在仿真里测，默认只有一个可信监管者，而额外的提示成本可能让原本表现很好的模型变不稳。对正在跑长程、有人在环的智能体系统的团队来说，方向是对的，但这些数字还不足以照搬整套 SAI。更划算的借鉴是那个模式本身：把人类订单当成带过期时间的类型化数据，而不是提示词里又一段会被冲淡的文字。