边界契约：给编码智能体划清权限边界

编码智能体越来越自主地修改代码库，但一个根本问题正在浮现：仅仅「看到」相关上下文，并不等于拥有合适的操作权限。一篇来自 RSS 的 pilot 研究提出了 Boundary Contracts（边界契约）这一机器可读的抽象，试图在仓库修改发生前，显式声明每个产物在任务中的角色。

问题：相关不等于可以改

研究指出一个容易被忽视的区分：一个产物可能与维护任务高度相关，却并不适合被编辑；反过来，某个产物可能根本没在请求中被提及，却是完成任务所必需的。

传统做法依赖上下文窗口或检索增强，把「相关信息」一股脑喂给智能体。但这混淆了「可见性」与「操作权」。智能体可能因为看到了某个配置文件就顺手改动，也可能因为请求里没提某个依赖文件而漏改。研究团队将这种权限模糊视为编码智能体自主性扩张的核心风险之一。

边界契约是什么

Boundary Contracts 是一种机器可读的抽象，为每个产物赋予四种任务特定角色之一：可编辑（editable）、仅检查（inspect-only）、必需（required）和受保护（protected）。这些角色在仓库修改开始前就被显式定义，从而约束智能体的行为空间。

据研究描述，这种契约把「该不该改」从智能体的隐式判断，转化为一个前置的、可审查的声明。智能体不再需要在执行中猜测哪些文件安全，而是拿到一份明确的权限地图。

F1 分数是信息检索与分类任务中常用的综合评价指标，定义为精确率（precision）与召回率（recall）的调和平均数，取值范围为 0 到 1。在本文的语境下，「宏观编辑选择」的 F1 衡量的是智能体所选择修改的文件集合与「应该修改的文件集合」之间的吻合程度：精确率反映智能体改的文件中有多少是真正该改的，召回率反映该改的文件中有多少被智能体改到了。F1 对两者一视同仁，因此能惩罚「改得太多」和「改得太少」两种极端。不过，F1 只关心文件层面的选择是否正确，并不反映补丁内容本身的质量，这也是研究为何同时报告「严格可接受补丁数量」这一更严格指标的原因。

Pilot 实验：40 个真实企业任务

研究团队在一个真实企业仓库的 40 个维护任务上做了 pilot 研究，对比同一个基于 Codex 的编码智能体在有无边界契约信息下的表现。

结果呈现出明显差异：

• 宏观编辑选择 F1 从 0.440 提升到 0.682；
• 必需行为覆盖率从 0.429 提升到 0.673；
• 严格可接受补丁数量从 40 个中的 9 个提升到 18 个。

这些数字来自 pilot 规模，研究本身也明确表示不据此确立边界契约的普遍有效性。但三项指标同向改善，至少说明显式角色声明对维护行为有可观影响。

严格可接受补丁（strictly acceptable patch） 是一个比 F1 更贴近实际合并标准的二元指标：一个补丁只有同时满足「修改了正确的文件」「改动内容解决了任务」「未引入不应有的变更」等多项条件，才被计为可接受。研究采用「40 个任务中有几个产出严格可接受补丁」的计数方式，而非平均分，意味着它刻画的是智能体能否端到端地交付可被人工审查通过的改动。这一指标对局部错误非常敏感——哪怕文件选对了，只要补丁里夹带了越界修改，就会被判为不可接受。因此从 9/40 提升到 18/40，虽然绝对水平仍不高，但翻倍的幅度说明显式角色声明不仅影响「改哪里」，也影响「改得干不干净」。

排除「只是定位更准」的解释

一个自然的质疑是：这些提升是不是仅仅因为智能体更准地找到了该改的文件？如果只是文件定位变好，那边界契约的价值就有限。

为回应这一点，研究额外分析了 21 个任务——在这些任务中，有无契约两种条件都修改了至少一个相同文件。也就是说，文件定位在两组间已经对齐。结果显示，编辑选择性和补丁结果上的差异依然存在。研究据此提供初步证据：显式产物角色可能影响维护行为，而不只是定位。

未回答的问题更重要

这项 pilot 的措辞相当克制：它不宣称边界契约普遍有效，而是把它作为一个更广研究问题的起点——当仓库级维护越来越自主时，编码智能体的操作边界应该如何生成、验证、修订，并最终强制执行？

这四个动词构成了一个完整的治理链条。生成，是从任务描述和仓库结构中推导出角色；验证，是检查契约是否合理；修订，是应对任务变化；强制执行，则是让智能体无法越界。pilot 只触及了链条的前端，强制执行部分仍待探索。

从工程视角看，边界契约的思路与权限系统、访问控制有相似之处，但它针对的是语义层面的「该不该改」，而非简单的读写权限。这意味着契约的生成和验证本身可能成为新的瓶颈——如果契约错了，智能体可能被错误地约束。研究没有深入讨论这一点，但它是后续研究绕不开的方向。

对实践者的启示

对于正在把编码智能体引入真实仓库的团队，这项 pilot 传递了一个可操作的信号：在让智能体动手之前，先明确哪些东西能碰、哪些只能看、哪些必须处理、哪些碰不得。这种前置声明不需要复杂的基础设施，却可能显著改变补丁的可接受率。

当然，40 个任务的企业仓库 pilot 距离生产级结论还有距离。边界契约能否泛化到不同仓库、不同任务类型，以及契约由谁生成、如何维护，都是开放问题。但至少，它把「智能体权限边界」从一个模糊的担忧，变成了一个可以测量、可以实验的研究对象。