今日概览

过去 24 小时值得关注的变化并不是某一个新模型，而是 Agent 与长上下文系统的优化对象正在从“单次模型调用”继续外移：调度器开始显式理解工作流依赖，KV 管理开始质疑单 token 重要性分数的充分性，Agent benchmark 开始保留真实 workspace 与历史状态，而安全研究则把问题定位到模型之外的 harness 上下文组装过程。

1. TOPAS 把 Prefix-KV 缓存决策与多 Agent 工作流关键路径联合起来。 这意味着 prefix locality 不再只是“命中越多越好”，而要与任务剩余关键路径、缓存移动和抢占代价共同优化。
2. TwinKV 提出“repair pass”而不是另一套独立 KV 打分器。 作者的 leave-one-out 实验显示注意力幅值与 token 对答案的因果贡献几乎不相关（Spearman ρ=-0.004），随后用成对 Key 冗余识别被错误淘汰的 orphan 与可替换 donor。
3. DuMateBench 把 Agent 评测从干净 sandbox 推向带历史、配置和 workspace 的真实工作流。 200 个任务来自经过匿名化与隐私筛查的生产会话，并显式注入 Insufficient、Unstable、Noisy 三类环境复杂性。
4. Agent 安全边界进一步从模型 instruction hierarchy 外移到 harness。 《When Context Gets Root》指出，低权限内容可能在上下文重组时被提升到更高模型指令层级，形成 instruction privilege escalation。
5. ClusterAttention 展示了一条不同于语言序列结构稀疏化的路线：按 Q/K 几何动态聚类。 它主要面向双向 Attention，并非自回归 LLM decode 方案，但其固定 2 的幂大小 cluster 与 centroid compensation 对稀疏 kernel 设计具有参考价值。

重点进展

1. TOPAS：多 Agent Serving 的调度目标开始显式包含工作流状态

新增点。 TOPAS 于 8 月 26 日提交 arXiv，是近几天少见的直接研究 multi-agent serving 调度、且把 Prefix-KV 作为一等资源状态处理的工作。论文原文

解决的问题。 多 Agent 工作流中，不同 Agent 往往具有较长且稳定的 system prompt。保留其 Prefix-KV 可以减少后续 prefill，但也会占用 GPU 内存、压缩可用于并发 batching 的空间。只追求 prefix locality，可能让不在关键路径上的 Agent 长期占据缓存；只追求工作流推进，又可能造成频繁 prefix replacement。

核心机制。 TOPAS 联合决定“哪些 Agent prefix 继续驻留”以及“下一批执行哪些请求”。其评分同时考虑任务最长剩余服务路径的缩短、近期 downstream prefix reuse 收益，以及 prefix movement 和 preemption 成本，并加入 task-level aging 避免饥饿。换言之，缓存状态和 workflow state 被放入同一个调度决策空间，而不是由缓存管理器和请求调度器各自局部优化。

实验与证据。 作者在 SGLang 中实现系统，在 3 个 synthetic DAG 和 2 个 MetaGPT 软件开发工作流上评测。论文报告：相对各 workload/metric 下表现最好的 baseline，synthetic workload 的 mean/p99 JCT 最多降低 39.8%/49.4%；MetaGPT-SOP mean JCT 降低 9.8%；MetaGPT-TL mean/p99 JCT 降低 22.0%/26.6%。这些数字是作者实验结果，并不意味着对任意 Agent workload 都能获得同等收益。

限制与意义。 当前证据仍集中于 DAG 化工作流和 MetaGPT，真实 coding agent 中的人类暂停、动态分支、失败重试和工具延迟分布可能改变最优策略。但 TOPAS 的重要性在于：Agent serving 的缓存价值不能只由“下次是否复用”决定，还与该状态位于整个 workflow 的什么位置有关。

2. TwinKV：从“给每个 KV 打分”转向“检查被保留集合是否缺信息”

TwinKV 于 8 月 27 日提交 arXiv。论文原文

现有 KV eviction 方法通常为 token 独立估计重要性，再按预算保留高分项。TwinKV 先用 controlled leave-one-out probe 检查这一前提，作者报告 attention magnitude 与 token 对最终答案的 causal contribution 的 Spearman 相关系数仅为 -0.004。这个结果不能推出“注意力完全没有信息”，但至少说明 attention score 不应被直接等同于因果重要性。

TwinKV 没有试图替换所有已有策略，而是在既定 retained set 之后增加一个 composable repair pass。它寻找两类对象：第一类是已经被驱逐、但在保留集合中找不到近重复 Key 的 orphan；第二类是已保留、但其信息可由其他近重复 Key 覆盖的 redundant donor。随后在不改变缓存预算和原策略评分规则的前提下交换两者。

作者将 TwinKV 叠加到四种近期 eviction policy，并在 LongBench、LooGLE、RULER 与 MMLU-Pro no-harm control 上测试 Qwen3-4B 和 Llama-3.2-1B，压缩率覆盖 0.3/0.5/0.7。结果并非所有组合都改善：部分已接近性能上限的 adaptive baseline 收益有限，few-shot classification exemplar 也是明确的失败场景。这种“并非全面获胜”的结果反而使论文的系统含义更清晰：KV 管理可以拆成 selection 与 consistency/coverage repair 两阶段，而不是继续堆叠单一 importance score。

3. DuMateBench：Agent benchmark 开始保留真实 session 与 workspace 状态

DuMateBench 于 8 月 27 日提交 arXiv，并公开了项目入口。论文原文；项目页面

它针对传统 Agent benchmark 的一个明显偏差：任务通常按单一应用或能力划分，运行环境也比生产环境干净。作者从大型生产 Agent 平台经过匿名化和隐私筛查的真实用户 session 中重建任务，并保留与求解有关的历史交互、持久配置和 workspace state，再由人工验证。最终包含 200 个任务、8 个大场景和 17 个细粒度能力类别。

更值得系统研究者关注的是环境建模。任务在隔离 Docker container 中执行，并注入 Insufficient、Unstable、Noisy 三类复杂性。这使失败不再只有“模型不会做”，还可能来自依赖缺失、工具不稳定、环境噪声以及 Agent framework 对这些异常的恢复能力。作者测试 5 个 Agent framework 与 4 个模型组合，结论是严格任务完成率仍存在明显缺口，而且 robustness 与 efficiency 同时受模型和 surrounding framework 影响。

这类 trace/benchmark 的价值在于，它把 Agent workload 从 prompt-response 序列还原为“历史 + workspace + runtime environment + 多步执行”的状态机。对 serving、checkpoint、恢复、缓存和 sandbox 研究而言，这比只统计 token 长度更接近真实负载。

4. When Context Gets Root：模型遵守权限层级，不代表 Agent Harness 不会把权限抬高

该论文于 8 月 27 日提交 arXiv。论文原文

论文提出 instruction privilege escalation：模型侧可以给 system、developer、user 或 tool 等来源建立指令优先级，但真正调用模型之前，Agent harness 会重新组织上下文。如果 harness 把原本低权限、攻击者可控的内容重新序列化进高权限位置，那么模型即使严格遵守 instruction hierarchy，也可能执行本来不应接受的指令。

作者围绕 13 个攻击目标测试 6 个 coding-agent harness，目标覆盖 confidentiality、integrity、availability 和 remote code execution。论文报告，在 unrestricted action execution 条件下，所有 6 个 harness 均可实现全部 13 类目标；在提供 automatic permission review 的 3 个 harness 上，攻击同样覆盖全部 13 类目标。作者还通过 harness 自带的 persistent goals 与 scheduled tasks 复现漏洞。

这里必须区分“攻击目标可被实现”与“每次攻击都必然成功”：论文摘要给出的是目标覆盖结果，不应被解释为所有单次尝试成功率都是 100%。其更普遍的启示是，Agent 安全审计必须覆盖 context construction、state persistence、tool result serialization 和 privilege provenance，而不能只测试基础模型是否抗 prompt injection。

深度分析

从 Prefix Cache 到 Workflow State：Serving 正在跨越单请求边界

TOPAS 与 DuMateBench 指向同一个变化：Agent 系统的基本调度单位越来越难用“独立 request”描述。一个请求可能只是某个长程任务的一步，其 system prefix、workspace、工具结果和后续分支具有跨请求价值。于是，传统 serving 中按 request arrival、token budget 和 KV occupancy 做决策的局部视角会丢失任务级信息。

这并不意味着 serving framework 必须理解 Agent 的全部语义，而是说明需要更明确的 state interface：上层至少应能够表达 workflow dependency、state identity、reuse likelihood、失效与恢复边界；下层再据此决定缓存、批处理和迁移。TOPAS 已经用 DAG critical path 做了一个相对具体的实例。

KV 驱逐开始从“排序问题”变成“集合质量问题”

TwinKV 的贡献值得单独抽象。大量 KV compression/eviction 方法的共同形式是 score(token) → top-k，区别主要在 score 来源。TwinKV 则提出：即使不修改 score，也可以检查最终集合是否出现信息覆盖缺口。这使 KV 管理问题从一维排序扩展为集合内部的 redundancy 与 coverage。

如果这一观察在更大模型、更低压缩率和真实 serving workload 上继续成立，未来 KV 管理器可能自然分成三个阶段：低开销候选筛选、预算内集合构造、集合级 repair/validation。当前 TwinKV 只提供了其中一个训练无关实例，还不足以证明这是普适架构，但它给出了值得验证的方向。

稀疏 Attention 的 kernel 约束正在反向塑造算法

ClusterAttention 于 8 月 27 日提交，研究的是 bidirectional attention，而不是 autoregressive decode。论文原文

其关键工程点是使用快速递归聚类，并把 cluster 大小固定为 2 的幂，从而让 block-sparse attention 的单个 query-key interaction 能维持接近 dense attention 的执行效率；对于被排除 cluster，则使用 centroid compensation 修正误差。作者在 TabPFN-3 上报告 2–6× 加速且保持至少 99% dense accuracy，在 Wan 2.1-14B T2V 上报告 1.8× 加速，并称输出更接近 dense attention，相比的 SVOO 为 1.4×。

它与 LLM sparse decode 的直接关联有限，但体现了一个重要趋势：理论上减少 attention pair 并不自动带来 GPU 加速，稀疏结构必须服从 block shape、regularity 和 kernel utilization。算法设计与 kernel layout 正越来越难分开讨论。

开源项目的重要新闻

过去 24 小时主流推理仓库存在大量提交和 Issue，但本期没有用普通 bugfix 填充篇幅。值得记录的是 vLLM 的 disaggregated EPD proxy 正在修复错误传播路径：开放 PR #54140 改为在 Prefill/Decode 上游失败时保留原 HTTP status 与 error body，并在 streaming Decode 创建 StreamingResponse 之前先验证上游响应，避免客户端先收到 200 再遭遇流中断。vLLM PR #54140

截至本报告检索时该 PR 仍处于 Open，因此不能描述为已经合入或发布。它没有改变核心推理算法，但反映了 P/D/EPD 分离部署成熟后一个容易被忽略的问题：跨阶段代理层不仅要搬运请求与状态，也必须保持故障语义，否则生产系统的可观测性会在分离边界处丢失。

前沿概念和技术

今天最值得保留的两个概念是 workflow-aware prefix state 与 instruction privilege provenance。前者把 KV prefix 从单纯缓存块提升为工作流执行状态的一部分；后者则强调上下文中的每段信息不仅有内容，还应携带“它来自哪里、原本具有什么权限、经过了什么转换”的来源属性。

二者看似分别属于性能和安全，实际上都在要求 Agent runtime 保存比普通 Chat serving 更丰富的跨调用元数据。性能侧需要知道状态是否值得继续驻留，安全侧需要知道状态是否允许影响高权限决策。未来 Agent runtime 的状态管理接口很可能同时承担生命周期、依赖关系和 provenance，而不是只有一个 opaque conversation history。

对大模型推理与存储优化的启发

第一，缓存价值需要与未来执行结构关联。 对普通 Chat，reuse distance 往往可以近似缓存价值；对 Agent，任务关键路径、分支、工具调用和失败恢复会显著改变“下一次访问”的实际收益。

第二，KV 管理策略应区分“选择信号”和“集合正确性”。 TwinKV 表明，即使前端 importance estimator 不变，后处理仍可能修复信息覆盖缺口。系统设计时不必把所有智能都塞进一个 score。

第三，持久状态必须带版本和来源语义。 DuMateBench 的 workspace state 与 harness 权限升级问题从可靠性和安全两个方向说明：Agent 状态不是静态上下文。状态会被更新、复制、重新序列化和恢复，系统必须知道当前版本以及其来源权限。

第四，稀疏算法必须把硬件规则性作为一等约束。 ClusterAttention 的固定 cluster shape 再次说明，理论稀疏率与实际 latency 之间存在 kernel execution gap。评价稀疏方法时应同时报告有效计算量、数据移动、索引开销与实际 kernel utilization。

今夜白的观察

今天几项工作共同显示，Agent/LLM 系统正在进入一个“状态比请求更重要”的阶段。过去 serving 优化最自然的对象是一次请求：输入多少 token、生成多少 token、占多少 KV、何时进入 batch。现在越来越多问题要求系统理解跨请求延续的对象——prefix、workflow、workspace、memory、权限来源以及失败后的恢复点。

这会带来一个新的系统分层问题：哪些状态必须由 Agent runtime 明确暴露，哪些状态可以由 serving/storage 层从访问轨迹推断？暴露越多，优化空间越大，但上层耦合、隐私与安全风险也越高；完全黑盒则更通用，却很难知道一个缓存对象究竟是任务关键路径上的下一跳，还是已经失效的历史分支。

另一个值得继续跟踪的问题是 “重要性”本身正在被拆解。TwinKV 质疑 attention magnitude 等单点指标，TOPAS 则说明 prefix 的价值取决于工作流位置。未来系统可能不再寻找一个万能 importance score，而是把即时访问概率、信息不可替代性、任务关键性、迁移成本和状态有效性分别建模，再在运行时组合。

参考资料

论文与项目

• Hongqiu Ni et al., TOPAS: Workflow-Aware Prefix-State Scheduling for Multi-Agent LLM Serving, arXiv, 2026-08-26.
• Hong Chen et al., TwinKV: A Composable Repair Pass for KV Cache Eviction via Pairwise Key Redundancy, arXiv, 2026-08-27.
• Zechun Niu et al., DuMateBench: Evaluating Autonomous Agents in Complex Real-World Workflows, arXiv, 2026-08-27；官方项目页.
• Xingbang He et al., When Context Gets Root: Privilege Escalation in LLM Harnesses, arXiv, 2026-08-27.
• Kasper Nordenram, Amelie Dittmann, ClusterAttention: A training-free speedup of bidirectional attention, arXiv, 2026-08-27.

开源工程

• vLLM, PR #54140: Preserve upstream status and error details in disaggregated EPD proxy responses, 2026-08-28 检索时状态为 Open。