2026 年自主智能体的核心瓶颈不再是"能不能完成任务"，而是"该不该继续"。arXiv 2606.02965《What Benchmarks Don't Measure》一针见血地指出：主流基准（SWE-bench、τ-bench、WebArena）只衡量"任务是否完成"，却从不衡量"智能体是否在错误时刻拒绝该停的任务"。由此衍生出一类被严重低估的能力——agentic abstention（智能体级拒绝）：知道何时停止、何时把决策权交还人类。本文基于 arXiv 2601.15778 的 Holistic Trajectory Calibration、CSA 自主等级框架 v2、Anthropic 五级自主模型，以及 lhannnn/bbwen 的 Agentic Abstention 基准，拆解"知止"工程的四类置信度来源、confidence-gated escalation 主流模式、过度拒绝的"abstention 税"，并对六框架的原生 HITL 与升级支持做横评。结论是：一个不会说"我不知道"的自主智能体，本质是个失控的置信度盲盒。
| 机制 | 置信度来源 | 触发动作 | 停止能力 | 过拒绝风险 | 落地成本 |
|---|---|---|---|---|---|
| Verbalized Confidence | 模型自报 0–100 分 | 软门控 | 弱（易高估） | 低 | 极低 |
| Self-Consistency | 多次采样一致率 | 统计门控 | 中 | 中 | 中（n 倍 token） |
| Logit / Token 概率 | 输出 token 的 logprob | 硬门控 | 中 | 中 | 低 |
| HTC 轨迹级校准 (arXiv 2601.15778) | 整条轨迹聚合 | 多段门控 | 强 | 可调 | 高 |
| Confidence-Gated Escalation | 任意分数+阈值 | 升级人类 | 强 | 低 | 中 |
| Agentic Abstention | 不可行性信号 | 直接停止 | 强 | 高（核心难点） | 中 |
| Learning-to-Defer (TIAR) | 训练习得的求助值 | 学习型升级 | 强 | 可训练 | 高（需微调） |
关键洞察：停止能力（stop）和过拒绝控制（anti-abstention-tax）是一对矛盾——越是敢停，越可能误停。Verbalized 几乎不停但停错了概率高；Agentic Abstention 停得对但容易停太多。工程上不存在"通吃"的一轴，只能在 risk-coverage 曲线上选一个工作点。
agentmarketcap 在 2026 年 4 月的《The Calibration Gap》里给出了一个刺眼的观察：所有主流基准都预设"每个任务必须被完成"。SWE-bench 的 pass/fail 只看 PR 是否通过测试，τ-bench 只看订单是否成交。没有一项基准会奖励智能体在"用户给的规格自相矛盾"时主动停下来说"这个需求做不了，请澄清"。
这导致一个系统性偏差：训练和评测都在奖励"硬撑到底"。lhannnn/bbwen 的 Agentic Abstention 基准专门构造了一类"不可行任务"（infeasible tasks）——比如要求删除一个不存在的文件、调用一个权限外的工具、回答上下文里根本没给的信息。结果主流智能体几乎全部选择"假装完成"或编造结果，而不是拒绝。过度自信不是某个模型的 bug，是当前评估范式的结构性产物。Gary Ramah 在 LinkedIn 上的论断被反复引用：未来十年最重要的 agentic 能力不是更强的执行，而是"知道何时停止"。
智能体要"知止"，首先得量化自己的不确定度。实践中有四条置信度来源，各有盲区：
Verbalized Confidence（语言化置信度）最廉价——直接问模型"你有多大把握"，它吐一个 0–100 分。问题在于模型系统性高估自己，且分数和真实正确率几乎不对齐（poor calibration）。它能作为粗筛，绝不能单独做硬门控。
Self-Consistency（自洽采样）让模型对同一问题采样 N 次，用答案一致率当置信度。它对"有标准答案"的任务很准，但代价是 N 倍 token 税，且对开放式任务（没有唯一正确答案）失真。
Logit / Token 概率直接读输出 token 的 logprob 或熵。便宜，但只反映"下一个词的不确定度"，不反映"整条推理链是否靠谱"——模型可以一边吐高置信度的词，一边走向错误结论。
Trajectory-level（轨迹级）是 2026 年的新方向，把整条 agent 轨迹（工具调用序列、中间观察、规划步骤）聚合打分。它最贴近真实风险，但也最贵。
四者没有银弹，生产里几乎都是组合拳：cheap 路径（verbalized/logit）做第一道筛，对临界样本（分数落在灰区）再用 self-consistency 复核。
arXiv 2601.15778《Agentic Confidence Calibration》提出 HTC（Holistic Trajectory Calibration），是目前最具系统性的轨迹级校准方案。它的核心洞见是：智能体的不确定度不是某一步的属性，而是整条轨迹的属性——第 3 步调错一个工具，会在第 7 步才显化为低置信度，单步打分会漏掉这种"延迟失败"。
HTC 的工作流分三段：先采集轨迹置信度（在每个决策点收集 verbalized/logit/consistency 的多源分数），再做校准映射（用 Platt scaling 或 isotonic regression 把原始分数对齐到真实正确率），最后做轨迹级聚合（沿轨迹做贝叶斯更新，让后段分数能修正前段）。论文的关键贡献是把"校准误差（ECE）"从 prompt 级下推到 trajectory 级，并证明轨迹级校准对长程任务的 AUROC 提升显著。
实践启示：如果你做多步智能体，只在 prompt 末尾问"你有信心吗"是不够的——前段的错误信号会被后段的自信稀释。HTC 的做法是在每个工具调用后都打一次分并留存，最终用一条衰减权重链做聚合。这套机制的代价是需要收集一批带标签的失败轨迹做校准数据，属于"先付数据税，后享校准红利"。
zylos.ai 在 2026 年 4 月的综述里给出一个明确判断："confidence-gated escalation is the dominant pattern"（置信度门控升级是生产主导模式）。它的逻辑极简——当智能体内部置信度跌破阈值 τ，就把决策权升级（escalate）给人类或更高级流程，而不是硬着头皮执行。
它和"审批闸门"的区别在于触发源：审批闸门是外部规则强制（"凡是删库都要人审"），escalation 是智能体自我不确定度驱动（"我没把握，请求支援"）。前者是静态策略，后者是动态自省。生产系统几乎都把两者叠加：硬规则挡住高危操作，置信度门接住"模型自己也心虚"的灰色地带。
工程上它通常是个三态门，而不是二元开关：
def maybe_act(state):
score = trajectory_confidence(state) # 轨迹级置信度，例如 HTC 或自洽率
if score < ABSTAIN_TH: # 不可行 → 直接拒绝，不消耗人类
return {"status": "abstain", "reason": score}
if ABSTAIN_TH <= score < DEFER_TH: # 灰区 → 升级人类拍板
decision = interrupt({"draft": state.action, "score": score})
return Command(goto="act" if decision == "approve" else "stop")
return {"status": "act"} # 高置信 → 直接执行
注意 ABSTAIN_TH < DEFER_TH 两道阈值划出三个区间：高置信直接做、灰区问人、低置信直接停。直接停比问人更省人类注意力，这是 escalation 设计里最容易被忽略的成本经济学。
"知止"不只是停一次，而是动态调节自主等级。2026 年有三套并行的自主等级模型：CSA（云安全联盟）的六级框架、Anthropic 基于数百万真实交互分析出的五级模型、以及 arXiv 2506.12469 的学术自治分级。它们共同的结构是：从 L1 纯辅助（每个动作都要人确认）到 L5/L6 全自主（事后审计即可）。
关键不在分几级，而在等级应当随置信度动态升降——这正是 curvelabs 所说的"confidence-gated autonomy throttling"（置信度门控自主节流）。智能体在熟悉的子任务上跑 L4 高自主，一旦置信度跌破阈值，自动降级到 L2（需人审批）甚至 L1（只建议不执行）。CSA 框架 v2 特别强调了escalation prevention（升级阻断）风险：如果降级机制被绕过或失灵，一个本该问人的高危动作会在 L4 下静默执行。所以自主等级不能只往上提，必须有强制回退通道：任何一次置信度塌方，都应触发等级下调，而不是等事故后再复盘。
trust calibration（信任校准）是这一层的高级话题：人类对智能体的信任度也常常错配——要么过度信任（盲目采纳），要么信任不足（把高置信结果也推翻）。真正成熟的系统既校准模型的自信，也校准人类对模型的信任。
校准最大的敌人不是"该停不停"，而是"不该停却停了"——over-abstention（过度拒绝）。ACL 2024《Selective "Selective Prediction"》把这个问题点透：一味降低阈值会换来更高安全性，但也让智能体在大量本可完成的任务上举手投降，直接废掉自主性的价值。这就是 abstention 税：你为每个避免的错误，付出若干个被误杀的正确任务。
AbstentionBench（Facebook Research）和 TACL 的综述《Know Your Limits》都把这条 risk-coverage 曲线作为核心评测维度：横轴是覆盖率（多少任务被实际执行），纵轴是风险（执行里的错误率）。理想工作点是曲线"拐点"——再往前安全性收益递减、覆盖率损失陡增。生产里没有标准答案，只有业务容忍度：医疗/法律这类高代价领域偏保守（低 coverage），营销文案这类低代价领域偏激进（高 coverage）。
TIAR（arXiv 2605.25850）代表了另一条路：用强化学习训练模型学会何时求助，而不是靠手调阈值。它用 trajectory-informed advantage 给"在正确时机求助"的轨迹更高奖励，本质是把 risk-coverage 拐点也变成可学习的对象。代价是需要带"是否该求助"标签的轨迹数据，落地门槛高于手调阈值，但长期泛化更好。
把上述理论落到代码，关键看各框架对中断（interrupt）、移交（handoff）、护栏（guardrail）的原生支持。2026 年横评的共识大致如下：
LangGraph 在这一项上最完整。interrupt() 可在任意节点暂停把控制权交人，Command(goto=...) 支持条件跳转，StateGraph 的持久化让"暂停—等人—恢复"天然可断点续传。它也是少数能把"置信度门控升级"写成图里一条显式边的框架，适合需要确定性升级规则 + 跨会话状态的客服、运维场景。
OpenAI Agents SDK 的 Handoff 原语把"转交给另一个 agent 或人类"做成一等公民，Guardrails 提供输入/输出双层拦截，对"模型自己心虚时把活儿交出去"表达得很自然，但强绑 OpenAI 栈。
AutoGen 的 UserProxyAgent + ConversableAgent 提供了经典的 human-in-the-loop 钩子，max_consecutive_auto_reply 能强制周期性回到人类，但在"按置信度动态升级"上需要自己包一层逻辑。
CrewAI 的 human_input=True 给每个任务挂人审开关，偏静态（任务级而非置信度级），适合原型。
通用短板：几乎所有框架都缺原生置信度估计——它们给你中断/移交的"管道"，但"什么时候该中断"这个信号你得自己接（自洽采样、logit 解析、轨迹打分）。换句话说，框架解决了"如何升级"，没解决"何时升级"。后者是本文一直在讲的校准工程，得自己实现并接进框架的钩子。
变现层面，"知止工程"是一个被严重低估的训练营选题。市面上的 Agent 课几乎清一色教"如何让 agent 更能干"（更多工具、更长规划、更强记忆），却几乎没人系统教"如何让 agent 知道自己不能干"。这恰恰是企业落地时法务和风控最关心的部分——一个会主动说"我搞不定，转人工"的智能体，合规风险比一个硬撑到底的智能体低一个数量级。
训练营的可售卖模块可以这样切：①置信度估计实战（verbalized + self-consistency + logit 三路融合代码）；②HTC 轨迹校准复现（带校准数据集构造）；③confidence-gated escalation 三态门（含 AB 测试调阈值）；④动态自主等级（CSA/Anthropic 等级 + 强制回退通道）；⑤abstention 税治理（risk-coverage 曲线调优）。每个模块都能配一个可跑的 demo 和一个"事故回放"案例（showing 没做知止工程时 agent 如何闯祸）。差异化卖点很清晰：别家教你怎么冲，我教你怎么刹车——而刹得住的车，才敢开上高速。
flowchart TD
A[环境观察 / 用户指令] --> B[规划与工具调用]
B --> C{轨迹置信度估计<br/>verbalized + logit + consistency}
C -->|score >= DEFER_TH| D[高置信：直接执行 ACT]
C -->|ABSTAIN_TH <= score < DEFER_TH| E[灰区：升级人类<br/>interrupt / handoff]
C -->|score < ABSTAIN_TH| F[低置信：直接停止 ABSTAIN]
E --> G{人类裁决}
G -->|批准| D
G -->|否决/澄清| F
D --> H[执行结果]
H --> I[结果置信度复核]
I -->|不确定| E
I -->|确定| J[任务完成]
F --> K[记录 abstention 原因]
K --> L[喂回校准数据集<br/>优化阈值与 HTC 映射]
J --> L
E -.动态自主等级.-> M[CSA L1-L6 / Anthropic 5 级<br/>置信度塌方 → 等级下调]
M --> B
这张图揭示了知止工程的两个闭环：显式闭环是"灰区→升级人类→裁决→继续/停止"；隐式闭环是"所有 abstention 与人类裁决都回流为校准数据，持续优化阈值"。自主等级（M）作为侧信道，根据置信度塌方动态下调，保证高危动作不会在过高的自主级下静默执行。
高代价领域（医疗、法律、金融交易）：采用 self-consistency + HTC 轨迹校准做主信号，设偏保守的双阈值（低 DEFER_TH），灰区一律升级人类，宁可交 abstention 税也不冒错执行的风险。框架首选 LangGraph——它的 interrupt + 持久化 + 显式边最适合确定性升级规则。
中等代价领域（客服、内部运维、数据分析）：verbalized + logit 做廉价初筛，灰区用 self-consistency 复核，escalation 走 handoff 转专家 agent。OpenAI Agents SDK（OpenAI 栈）或 AutoGen（多供应商）合适。
低代价领域（营销文案、内容生成、草稿）：几乎不做 escalation，只在 logit 极低时 abstain，最大化覆盖率。CrewAI 足够，重点是别让 abstention 税吃掉自主性的价值。
通用底线：无论哪个领域，必须有一条强制自主等级下调通道（CSA escalation prevention 的反面——确保降级机制不被绕过）。没有刹车逻辑的自主智能体，不该进生产。把"知止"作为一等公民写进架构，是从"能跑的 demo"到"敢上线的系统"的分水岭。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。