[论文解读] ALARA for Agents: Least-Privilege Context Engineering Through Portable Composable Multi-Agent Teams

Christopher J. Agostino, Nayan D'Souza|arXiv (Cornell University)|Mar 20, 2026

Multi-Agent Systems and Negotiation被引用 0

一句话总结

论文引入了声明式的 CAT 数据层（context-files、NPCs 和 Jinxes）以及 npcsh shell，用于强制最小权限、可移植的多代理工具使用，并提供了一个在 22 个本地托管模型上测试的 115 任务基准。

ABSTRACT

Industry practitioners and academic researchers regularly use multi-agent systems to accelerate their work, yet the frameworks through which these systems operate do not provide a simple, unified mechanism for scalably managing the critical aspects of the agent harness, impacting both the quality of individual human-agent interactions and the capacity for practitioners to coordinate toward common goals through shared agent infrastructure. Agent frameworks have enabled increasingly sophisticated multi-agent systems, but the behavioral specifications that define what these agents can do remain fragmented across prose instruction files, framework-internal configuration, and mechanisms like MCP servers that operate separately from individual agent definitions, making these specifications difficult to share, version, or collaboratively maintain across teams and projects. Applying the ALARA principle from radiation safety (exposures kept as low as reasonably achievable) to agent context, we introduce a declarative context-agent-tool (CAT) data layer expressed through interrelated files that scope each agent's tool access and context to the minimum its role requires, and exttt{npcsh}, a command-line shell for executing it. Because the system parses and enforces these files structurally, modifying an agent's tool list produces a guaranteed behavioral change rather than a suggestion the model may or may not follow. We evaluate 22 locally-hosted models from 0.6B to 35B parameters across 115 practical tasks spanning file operations, web search, multi-step scripting, tool chaining, and multi-agent delegation, characterizing which model families succeed at which task categories and where they break down across $\sim$2500 total executions.

研究动机与目标

• 促使对当前代理 Harness 的碎片化（ prose 文件、框架代码、MCPs ）成为可靠性与安全性的风险。
• 提出一个声明式数据层（CAT），以结构化方式指定并强制工具访问与上下文。
• 引入 NPC 文件和 Jinxes，以定义代理、工具和工作流，具有确定性执行图。
• 提供开源实现和一个 115 任务基准，以评估跨模型与系列的工具使用。

提出的方法

• 定义由 context files、NPC files 和 Jinxes 组成的 CAT 数据层，用 YAML 形式的相互关联的工件表示团队、代理和工具目录。
• 将 Jinxes 作为可执行的 YAML 定义，指定一系列步骤和引擎类型，实现工具的 DAG 式组合。
• 通过 NPC 列表将 NPC 工具目录和权限绑定，以强制最小权限的工具访问，与提示内容无关。
• 组织代理和团队以支持子团队、编排者和委派工作流，以高效管理上下文与历史。
• 实现命令行外壳（npcsh）及多种界面，在不同环境中一致执行声明性规范。

Figure 2: Benchmark score versus parameter count across model families.

实验结果

研究问题

• RQ1 一个基于声明式、基于文件的 CAT 数据层是否能够在不同模型家族中对 LLM 代理强制执行最小权限的工具访问？
• RQ2 工具与上下文的结构化作用域如何影响多代理工作流中的可靠性、安全性与委派？
• RQ3 目录规模和模型家族对代理能力与任务成功率的影响如何？
• RQ4 不同任务类别（网络搜索、委派、多步脚本等）如何影响重试价值与工具使用的有效性？
• RQ5 一般语言能力（如 MMLU）与工具使用任务中的代理能力之间存在怎样的关系？

主要发现

• 工具使用的可靠性是一种独立的训练能力，在不同家族之间存在较大方差，在某些情况下甚至主导同家族内部的扩展。
• 针对工具使用训练的模型在达到约 4B 参数时能够获得的分数，达到非工具训练模型在 27B 参数时才达到的水平，表明在某些区间内，工具使用的训练比规模更重要。
• 通用能力（MMLU）与代理性能之间存在强正相关，存在显著异常值，工具使用的迁移在某些情况下特别强或特别弱。
• 每个任务的平均工具调用次数与代理性能之间的相关性显著（约 r = 0.7），高于任务持续时间或重试次数。
• 约 80% 的任务成功在首次尝试时完成；重试价值因类别而异，网页搜索约 20 点，委派约 3 点。
• 委派在所有模型家族中最困难，且对委派的更高重试收益有限，表明上下文累积可能阻碍收敛。

Figure 3: Agency (npcsh score) versus intelligence (MMLU). The regression line ( $r\approx 0.8$ ) with $1\sigma$ band; outliers beyond $1\sigma$ are labeled.