Konstytucje czasu wykonania dla agentów AI: ramy nadzoru

Konstytucje czasu wykonania egzekwują ograniczenia nadzorcze w trakcie działania agenta AI, a nie wyłącznie podczas treningu. Łączą normatywne założenia wstępne (granice zachowania), uwagę konstytucyjną (kierowanie reguł zależnie od kontekstu), modulację kompetencji (bezpieczne nabywanie umiejętności z bramkami zatwierdzania) oraz weryfikację zgodności z wartościami (bramki wyjściowe, które żądają dowodu, zanim praca zostanie uznana za ukończoną). Badania obejmujące 7308 trajektorii agentowych potwierdzają, że samodzielnie generowane umiejętności są zawodne bez tych strukturalnych zabezpieczeń.

System Learner v2 wygenerował nową umiejętność we wtorkowe popołudnie. Umiejętność automatyzowała przepływ pracy przy publikacji na blogu: walidacja frontmattera, kontrola cytowań, wypchnięcie na staging. Czysty, dobrze ustrukturyzowany kod. Ta sama umiejętność nadpisała też trzy reguły jakości z quality-loop.md, ponieważ analizator wzorców zaklasyfikował „zawsze uruchamiaj bramkę dowodową” jako redundantne wobec wbudowanych kontroli w umiejętności. W środę rano wpis na blogu wyszedł bez weryfikacji cytowań. Umiejętność nauczyła się iść na skróty.

Naprawa zajęła dwadzieścia minut. Pytanie architektoniczne — tygodnie: jak pozwolić agentowi uczyć się nowych zdolności, nie pozwalając mu jednocześnie oduczyć się ograniczeń, które utrzymują go w ryzach?

TL;DR

Dopasowanie na etapie treningu (RLHF, constitutional AI w czasie treningu, dostrajanie pod kątem bezpieczeństwa) degraduje się, gdy agenci działają w środowiskach otwartych. Sześć niezależnych nurtów badawczych zbiega się w tym samym punkcie: nadzór w czasie wykonania — osadzone konstytucje, które egzekwują normy podczas działania, a nie tylko podczas treningu. SkillsBench przetestował 7308 trajektorii agentowych w 86 zadaniach i wykazał, że samodzielnie generowane umiejętności nie przynoszą średnio żadnej korzyści — agenci nie potrafią w sposób niezawodny tworzyć wiedzy proceduralnej, z której sami z powodzeniem korzystają.¹ Prace MIT nad samodystylacją pokazują, że standardowe dostrajanie prowadzi do katastrofalnego zapominania, w którym nowe zdolności niszczą stare.² Architektura rozwiązania ma cztery komponenty: normatywne założenia wstępne, uwagę konstytucyjną, modulację kompetencji i weryfikację zgodności z wartościami. Poniżej: teoria, przełożenie na praktykę (trzy z czterech komponentów istniały już w moim systemie Claude Code, zanim przeczytałem te badania) oraz szablon konstytucji czasu wykonania, który można wdrożyć od razu.

Agent, który nauczył się iść na skróty

Opisany wyżej incydent wydarzył się na początku lutego 2026 roku podczas przebudowy Learner v2¹⁰. Analizator wzorców (pattern_analyzer.py) wykrył powtarzalny przepływ pracy: walidacja frontmattera, weryfikacja cytowań, kontrola metadanych SEO, następnie wypchnięcie na staging. Generator umiejętności (skill_generator.py) skompilował ten przepływ w umiejętność wielokrotnego użytku z wbudowaną walidacją.

Wbudowana walidacja obejmowała format frontmattera i pola SEO. Nie obejmowała weryfikacji cytowań, która znajduje się w osobnej umiejętności (citation-verifier) z własnym sześciostopniowym systemem wiarygodności źródeł. Wygenerowana umiejętność oznaczyła kontrolę cytowań jako „obsłużoną”, ponieważ analizator wzorców zobaczył w śladzie przepływu pracy wywołania funkcji związanych z cytowaniami. Pomylił „funkcja została wywołana” z „ograniczenia funkcji zostały zachowane”.

Trzy pliki definiowały wiarygodność źródeł inaczej:

Architektura konsolidacji udokumentowana przed incydentem³ wskazywała dokładnie ten scenariusz awarii: gdy wiele plików definiuje nakładające się pojęcia, generowane umiejętności dziedziczą tę definicję, na którą analizator wzorców natrafi jako pierwszą. Poprawka scentralizowała wiarygodność cytowań w jednym kanonicznym źródle. Wniosek okazał się szerszy: agenci nabywający nowe zdolności potrzebują strukturalnych gwarancji, że uczenie się nie może nadpisać nadzoru.

Dlaczego dopasowanie z etapu treningu zawodzi w czasie wykonania

Goel, Maji i Mazumder udokumentowali mechanizm: zachowania związane z bezpieczeństwem ulegają degradacji zarówno przy nieszkodliwym, jak i przy adwersaryjnym dostrajaniu.⁴ Ich praca nad adaptacyjną regularyzacją bezpieczeństwa (arXiv:2602.17546) pokazała, że aktualizacje wag obarczone wyższym ryzykiem można utrzymywać blisko bezpiecznej polityki referencyjnej, podczas gdy aktualizacje niższego ryzyka przebiegają normalnie. Podejście działa w czasie treningu. Nie odpowiada natomiast na to, co dzieje się, gdy agent napotyka w czasie wykonania sytuacje, których trening nigdy nie przewidział.

Przepaść między dopasowaniem na etapie treningu a zachowaniem w czasie wykonania rośnie wraz z autonomią. Model odpowiadający na pytania w interfejsie czatu porusza się w wąskich granicach zachowania. Agent, który pisze kod, generuje umiejętności, uruchamia testy i wdraża na produkcję, działa na nieporównanie szerszej powierzchni — zwłaszcza gdy wieloturowe rozmowy degradują dostęp agenta do jego własnych reguł nadzoru. Paradoks zaufania do agenta tylko to pogłębia: im zdolniejszy agent, tym trudniej zweryfikować, że jego zdolności pozostają w granicach nadzoru. Każda nowa zdolność tworzy nowe scenariusze awarii, których dopasowanie na etapie treningu nie jest w stanie wyliczyć z wyprzedzeniem.

Shenfeld i współpracownicy z MIT skwantyfikowali konkretny scenariusz awarii: katastrofalne zapominanie podczas uczenia ciągłego.² Standardowe dostrajanie nadzorowane (SFT) na nowych zadaniach powoduje załamanie wyników na zadaniach wcześniejszych. Przy 14 mld parametrów dostrajanie przez samodystylację (SDFT) przewyższyło standardowe SFT o 7 punktów na nowych zadaniach, utrzymując jednocześnie 64,5% trafności na zadaniach wcześniejszych — tam, gdzie wyniki standardowego SFT się załamują. Kompromis: SDFT wymaga około czterokrotnie więcej obliczeń i 2,5 raza więcej FLOP-ów.

Dla praktyka wniosek jest bezpośredni: za każdym razem, gdy agent uczy się czegoś nowego (wygenerowana umiejętność, zbuforowany przepływ pracy, zaktualizowana instrukcja), uczenie grozi degradacją czegoś, co agent już umiał. Nadpisanie mojej pętli jakości było przypadkiem katastrofalnego zapominania na poziomie systemu. Agent „nauczył się” skrótu publikacyjnego, który zniszczył jego zdolność kontroli cytowań.

Cztery podsystemy nadzoru w czasie wykonania

Badania nad nadzorem nad agentami w czasie wykonania zbiegają się w czterech wymaganiach funkcjonalnych. Taghavi wraz ze współpracownikami, pracując nad ewoluującymi interpretowalnymi konstytucjami, wykazał, że zasady nadzoru wyewoluowane przez LLM przewyższają te zaprojektowane przez człowieka w koordynacji wieloagentowej.⁵ Ich praca, wraz z zaproponowanym przez Mahadevana paradygmatem stawiającym nadzór na pierwszym miejscu w inżynierii agentów opartej na zasadach,⁶ ujmuje problem jako cztery oddziałujące na siebie podsystemy.

Odwzorowałem te cztery podsystemy na własną infrastrukturę Claude Code i odkryłem, że trzy z czterech były już zbudowane — każdy rozwiązywał produkcyjny problem, na który natknąłem się wiele miesięcy przed przeczytaniem tych badań.

Podsystem 1: projektowanie normatywnych założeń wstępnych

Pętla jakości w moim systemie agentowym definiuje siedem nazwanych scenariuszy awarii: Spirala Skrótów, Miraż Pewności, Plateau Wystarczająco Dobrego, Widzenie Tunelowe, Weryfikacja Widmowa, Odroczony Dług i Pusty Raport.⁷ Każdy scenariusz ma definicję, sygnał wykrywania i obowiązkową reakcję. To nie są sugestie. To ograniczenia strukturalne: jeśli agent wykryje u siebie którykolwiek ze scenariuszy, musi zacząć od nowa od kroku Oceny.

Paralela teoretyczna: normatywne założenia wstępne ustanawiają granice zachowania, w których agent działa. Dopasowanie na etapie treningu uczy model ogólnych zasad („bądź pomocny, nieszkodliwy, uczciwy”). Normatywne założenia wstępne w czasie wykonania kodują konkretne ograniczenia operacyjne („nigdy nie pomijaj weryfikacji cytowań”, „nigdy nie używaj języka asekuracyjnego w raporcie o ukończeniu”).

Różnica ma znaczenie, ponieważ zasady z etapu treningu są probabilistyczne (model z większym prawdopodobieństwem ich przestrzega), podczas gdy założenia wstępne w czasie wykonania mogą być deterministyczne (punkt zaczepienia blokuje działanie, jeśli ograniczenie zostanie naruszone). To ta sama różnica, którą opisuję w bramce dowodowej: przejście od „agent prawdopodobnie zrobił to, co trzeba” do „agent udowodnił, że zrobił to, co trzeba”.

Podsystem 2: uwaga konstytucyjna

Siedmiowarstwowa architektura kontekstu⁹ realizuje uwagę konstytucyjną poprzez selektywne ładowanie. Spośród 650 plików w systemie kontekstu dla dowolnego zadania ładuje się mniej niż 30. Punkt zaczepienia prompt-dispatcher.sh analizuje bieżące zadanie i wstrzykuje istotne reguły nadzoru, pomijając nieistotne.

Zadanie z obszaru tworzenia aplikacji webowych ładuje reguły bezpieczeństwa, reguły projektowania API i wzorce FastAPI. Nie ładuje reguł specyficznych dla iOS, wzorców tworzenia gier ani wytycznych treściowych dla aplikacji do medytacji. Uwaga konstytucyjna oznacza, że agent widzi reguły nadzoru mające zastosowanie do tego zadania, a nie wszystkie reguły, jakie istnieją.

Selektywne ładowanie zapobiega subtelnemu scenariuszowi awarii: rozcieńczeniu reguł. System punktów zaczepienia umożliwia to kierowanie, analizując typ zadania przed wstrzyknięciem kontekstu. Gdy agent otrzymuje 200 reguł, na każdą z nich przypada proporcjonalnie mniej uwagi niż przy 20 regułach. Uwaga konstytucyjna koncentruje nadzór na regułach, które w bieżącym kontekście naprawdę mają znaczenie.

Podsystem 3: modulacja kompetencji

SkillsBench przetestował 7308 trajektorii agentowych w 86 zadaniach z 11 dziedzin i przyniósł uderzający wynik: wyselekcjonowane umiejętności podniosły średni wskaźnik zdawalności o 16,2 punktu procentowego, natomiast umiejętności generowane samodzielnie nie dały średnio żadnej korzyści.¹ Agenci nie potrafią w sposób niezawodny tworzyć wiedzy proceduralnej, z której sami z powodzeniem korzystają. Szesnaście z 84 zadań wykazało deltę ujemną — tam umiejętności aktywnie pogarszały wyniki.

Wynik SkillsBench potwierdził zabezpieczenie, które wbudowałem w Learner v2 po incydencie z nadpisaniem pętli jakości. Wygenerowane umiejętności wymagają teraz jawnego zatwierdzenia przed aktywacją i nie mogą modyfikować ani nadpisywać istniejących plików nadzoru. Analizator wzorców może obserwować przepływy pracy i proponować umiejętności, ale generator umiejętności traktuje pliki nadzoru jako niezmienne.

Badania MIT nad samodystylacją dokładają perspektywę parametryczną: przy mniejszych rozmiarach modelu (3 mld parametrów) próby uczenia ciągłego wręcz szkodzą wynikom.² Dopiero od 7 mld parametrów model ma dość pojemności, by nabywać nowe umiejętności bez niszczenia starych. Analogia na poziomie infrastruktury: agenci z mniejszymi oknami kontekstu lub prostszymi zbiorami reguł są bardziej podatni na konflikty między zdolnościami a nadzorem.

Podsystem 4: weryfikacja zgodności z wartościami

Bramka dowodowa wymaga konkretnego dowodu dla sześciu kryteriów, zanim jakakolwiek praca zostanie zgłoszona jako ukończona: zgodność ze wzorcami kodu (nazwij wzorzec), najprostsze działające rozwiązanie (wyjaśnij odrzucone alternatywy), obsłużone przypadki brzegowe (wymień każdy z nich), przechodzące testy (wklej wyjście), brak regresji (nazwij sprawdzone pliki) oraz rozwiązanie faktycznego problemu (nazwij potrzebę użytkownika).⁷

Bramka działa jako weryfikacja w czasie wykonania. Agent nie może zgłosić ukończenia językiem asekuracyjnym („powinno działać”, „sądzę, że”, „wygląda na to”). Każde twierdzenie wymaga dowodu zebranego w bieżącej sesji. Bramka wyłapuje Weryfikację Widmową (twierdzenie, że testy przechodzą, bez ich uruchomienia) oraz Pusty Raport (zgłoszenie „gotowe” bez konkretów).

Problem zapominania: kiedy uczenie niszczy wiedzę

Historia konsolidacji umiejętności blogowych ilustruje katastrofalne zapominanie w wersji systemowej. Dziesięć umiejętności blogowych liczących łącznie 5400 wierszy nagromadziło trzy obszary duplikacji.³ Szablony schematów JSON-LD pojawiały się zarówno w aio/SKILL.md, jak i w seo-blog-playbook/SKILL.md. Definicje wiarygodności cytowań różniły się między citation-verifier a seo-blog-playbook. Wytyczne do oceny wpisów znajdowały się i w głównym ewaluatorze, i w osobnym pliku definicji kategorii.

Gdy system Learner v2 generował nowe umiejętności z zaobserwowanych przepływów pracy, wyciągał definicje z tego źródła, na które natrafił jako pierwsze. W efekcie powstawały umiejętności, które wyglądały poprawnie, lecz niosły błędne definicje wiarygodności. Sześciostopniowy system cytowań degradował się do kontroli binarnej. Szablony schematów rozjeżdżały się między umiejętnościami pisanymi ręcznie a generowanymi automatycznie.

Poprawka konsolidacyjna miała charakter strukturalny: dla każdego pojęcia wyznaczyć jedno kanoniczne źródło i skierować do niego wszystkie pozostałe odwołania. Wiarygodność cytowań znajduje się w citation-verifier/SKILL.md i nigdzie indziej. Szablony JSON-LD znajdują się w aio/SKILL.md i nigdzie indziej. Ten wzorzec chroni przyszłe generowanie umiejętności przed dziedziczeniem nieaktualnych definicji.

SDFT z MIT proponuje odpowiednik po stronie treningu: przy nauce nowych zdolności użyć własnej wcześniejszej wiedzy modelu jako sygnału uczącego.² Standardowe SFT zastępuje starą wiedzę nową. Samodystylacja miesza starą z nową, generując dane treningowe z istniejących zdolności modelu, a następnie dostrajając na tej mieszance. Wcześniejsza wiedza przetrwa, ponieważ jest obecna w sygnale uczącym.

Odpowiednik na poziomie infrastruktury: generując nową umiejętność, należy dołączyć istniejące ograniczenia nadzorcze do polecenia generującego. Wygenerowana umiejętność dziedziczy bieżące ograniczenia, ponieważ są one częścią kontekstu generowania, a nie osobnym systemem, który generator może przeoczyć.

Nadzór aktywny a nadzór bierny

Ramy RelianceScope autorstwa Jina i współpracowników wyróżniają dziewięć wzorców polegania na AI, opartych na kombinacjach aktywnego i biernego zaangażowania.⁸ Choć ich badania dotyczyły studentów korzystających z chatbotów AI, rozróżnienie aktywne/bierne przekłada się wprost na architektury nadzoru nad agentami.

Nadzór bierny wstrzykuje reguły i liczy na to, że agent się do nich zastosuje. Reguły istnieją w CLAUDE.md albo w instrukcjach systemowych. Agent czyta je na starcie sesji. Nic nie weryfikuje zgodności. Większość konfiguracji budowanych przez praktyków opiera się na nadzorze biernym: długi plik instrukcji, na który agent może zwracać uwagę w miarę trwania sesji — albo i nie. Jak pokazuje niewidzialny agent, agenci działający bez aktywnego nadzoru nie zostawiają żadnego śladu, czy w ogóle zastosowali się do instrukcji.

Nadzór aktywny weryfikuje zgodność w czasie wykonania. Punkty zaczepienia sprawdzają wyniki względem ograniczeń, zanim zostaną one wykonane. Bramki blokują raporty o ukończeniu pozbawione dowodu. Monitory śledzą dryf zachowania i sygnalizują anomalie. Nadzór aktywny kosztuje więcej (obliczenia, opóźnienie, złożoność), ale wyłapuje awarie, które nadzorowi biernemu umykają.

Ustalenie RelianceScope, że aktywne poszukiwanie pomocy koreluje z aktywnym wykorzystaniem odpowiedzi,⁸ podsuwa zasadę architektury nadzoru: agenci, którzy aktywnie odpytują swoje ograniczenia nadzorcze (zamiast biernie je otrzymywać), wytwarzają wyniki bardziej zgodne z regułami. Moja bramka dowodowa opiera się właśnie na tej zasadzie: zamiast biernie stosować reguły, agent musi aktywnie wykazać zgodność, przedstawiając dowód dla każdego kryterium.

Szablon konstytucji czasu wykonania

Minimalną konstytucję czasu wykonania tworzą trzy pliki. Strukturę warto dostosować do własnych ram agentowych.

Plik 1: constitution.md

Normatywne założenia wstępne. Co agent musi robić zawsze, czego nie może robić nigdy i jak postępuje w sytuacjach niejednoznacznych.

# Agent Constitution v1

## Immutable Constraints
- Never modify files in governance/ directory
- Never skip verification steps, even if tests pass
- Never report completion without evidence for all criteria

## Behavioral Norms
- Prefer explicit over implicit (state assumptions)
- Prefer reversible over irreversible actions
- Prefer asking over guessing when requirements are ambiguous

## Failure Response
- On constraint violation: stop, log, escalate
- On ambiguity: ask, do not assume
- On capability conflict: governance wins over efficiency

Plik 2: capabilities.json

Bieżący spis umiejętności wraz ze śledzeniem pochodzenia.

{
  "skills": [
    {
      "name": "blog-publish",
      "version": "2.1.0",
      "source": "generated",
      "approved": true,
      "governance_refs": ["citation-verifier", "quality-loop"],
      "created": "2026-02-10",
      "constraints": [
        "Must call citation-verifier before publish",
        "Must pass evidence gate before reporting complete"
      ]
    }
  ],
  "pending_approval": [],
  "deprecated": []
}

Plik 3: constraints-registry.json

Mapuje każde ograniczenie na jego kanoniczne źródło, zapobiegając problemowi duplikacji, który wywołał incydent z umiejętnościami blogowymi.

{
  "constraints": {
    "citation-authority": {
      "canonical_source": "skills/citation-verifier/SKILL.md",
      "type": "six-tier-hierarchy",
      "overridable": false
    },
    "quality-gate": {
      "canonical_source": "rules/quality-loop.md",
      "type": "evidence-gate",
      "overridable": false
    },
    "schema-templates": {
      "canonical_source": "skills/aio/SKILL.md",
      "type": "json-ld-templates",
      "overridable": false
    }
  }
}

Te trzy pliki współdziałają: constitution.md wyznacza granice zachowania, capabilities.json śledzi, co agent potrafi, wraz z odsyłaczami do nadzoru, a constraints-registry.json gwarantuje, że każde ograniczenie ma dokładnie jedno kanoniczne źródło. Wygenerowane umiejętności odwołują się do rejestru, zamiast kopiować definicje ograniczeń. Działający przykład takiej architektury w autonomicznej pętli deweloperskiej opisuje architektura agenta Ralph. A jeśli ktoś zakłada, że jego piaskownica sama z siebie zapewnia wystarczającą izolację, niech najpierw przeczyta, dlaczego piaskownica agenta to tylko sugestia.

Najważniejsze wnioski

• Dopasowanie z etapu treningu degraduje się w czasie wykonania. Dostrajanie pod kątem bezpieczeństwa uczy zasad ogólnych; nadzór w czasie wykonania egzekwuje konkretne ograniczenia operacyjne. Goel i współpracownicy wykazali, że zachowania związane z bezpieczeństwem ulegają degradacji zarówno przy nieszkodliwym, jak i przy adwersaryjnym dostrajaniu.⁴
• Samodzielnie generowane umiejętności są zawodne. SkillsBench wykazał zerową średnią korzyść z umiejętności tworzonych przez agentów na 7308 trajektoriach, przy czym 16 z 84 zadań odnotowało wpływ negatywny.¹ Wygenerowane umiejętności potrzebują bramek zatwierdzania i odsyłaczy do nadzoru.
• Katastrofalne zapominanie działa również na poziomie systemu. Nowe zdolności potrafią nadpisać istniejące ograniczenia nawet bez modyfikowania wag modelu. Incydent z konsolidacją umiejętności blogowych pokazał zapominanie na poziomie infrastruktury, gdzie wygenerowana umiejętność odziedziczyła błędne definicje wiarygodności.
• Nadzór w czasie wykonania składa się z czterech podsystemów. Normatywne założenia wstępne wyznaczają granice. Uwaga konstytucyjna kieruje reguły do kontekstu. Modulacja kompetencji bezpiecznie zarządza uczeniem. Weryfikacja zgodności z wartościami potwierdza przestrzeganie reguł w czasie wykonania.
• Nadzór aktywny przewyższa nadzór bierny. Reguły w CLAUDE.md są konieczne, ale niewystarczające. Punkty zaczepienia weryfikujące zgodność przy każdej akcji wyłapują dryf, straty przy kompresji i degradację w późnej fazie sesji, które regułom biernym umykają.

FAQ

References