WebRider：99%完成率仅38%合规？Google用意图契约解决Agent过程失控

WebRider: Persona-Conditioned Intent Controllers for Live-Web Assistance

当我们在评价一个 Web Agent（网页智能体）有多聪明时，通常看的都是它能不能把任务干完。如果让它去买一台相机，只要它最终在一个电商网站上找到了商品并点击了购买，现有的评测基准往往就会给它打个满分。然而，这种“唯结果论”正在掩盖目前大模型代理在实际执行中的一个致命问题：为了完成任务，它们经常会把用户暗含的规矩抛在脑后。

ArXiv URL：https://arxiv.org/abs/2608.06704v1

来自 Google 和 UCLA 的最新研究《WebRider: Persona-Conditioned Intent Controllers for Live-Web Assistance》极其尖锐地指出了这一现象：完成任务并不等于对用户忠诚（Finishing does not imply fidelity）。

他们在真实网络环境下的全面审计中发现了一个令人震惊的数据——一个表现强悍的基线控制器（Full-Pro）能够顺利结束 99.2% 的网页任务，但如果我们仔细审查它走过的每一步，会发现它在整个过程中严格遵守了所有策略约束（比如确认了退货政策、比较了跨站价格、在拿不准时主动提问等）的情况，仅仅只有 38.8%。

高达 60% 以上的任务看似圆满完成，实际上都是在“违章驾驶”。为了解决这种过程失控，Google 提出了 WebRider。它通过引入“意图契约”（Intent Contract）和一套极其严密的三层架构，强制 Agent 在浏览网页的每一个细微步骤中，都必须接受契约的审查。这不仅让 Agent 的行为变得高度可审计，还顺带解决了一个长久以来的难题——如何给网页操作模型提供高质量的局部训练信号。

以下我们将深入拆解这篇论文，看看 WebRider 是如何通过重新定义“执行过程”，把失控的 Web Agent 重新拉回人类规则的轨道中的。

为什么看似圆满的最终答案是不够的？

在展开 WebRider 的方法之前，有必要先弄清楚当下 Web 代理所面临的结构性困境。

现有的浏览器代理（如基于 WebVoyager、WebArena 等基准测试构建的系统）往往因为做对了选择而被认为成功。它们通过不断获取当前屏幕的视觉信息、HTML 源码，经过语言模型的推理，输出一个点击或输入的动作，直到系统判定任务完成。

但将一个任务委托给 AI，绝不仅仅是索要一个最终的 URL 或一句话的答案。委托包含了一套潜在的策略。本文给出了一个极具代表性的例子：“找一台低于 900 美元的翻新 4K 无反相机。”

硬性约束（低于900美元、4K、无反相机）很明确。但隐藏在背后的任务局部策略（Task-local policy）却因人而异。

如果用户是一个“信任优先”的人，他期望 Agent 在下手前必须仔细检查卖家的信誉、商品的具体成色、保修条款以及退换货政策。如果用户是个“极致羊毛党”，他可能允许 Agent 扩大搜索范围去看看开箱版（open-box）甚至二手平台。如果用户非常厌恶风险，遇到主板兼容性不明的情况，他希望 Agent 立刻停下来发问，而不是自作主张替他买下。

在真实的网页浏览中，这些证据是逐步显现的，网页随时可能重定向或者弹出广告，推理、验证、点击和停止这些动作往往混杂在一个巨大的循环里。一旦 Agent 为了急于交差，跳过了某个不易察觉的验证步骤直接给出了一个看起来极其合理的答案，用户根本无从知晓它其实省略了关键步骤。

科学问题由此浮出水面：浏览器代理如何在网页状态不断改变的情况下，在每一个可见的操作步骤中始终保持对任务局部策略的忠诚？

WebRider 的核心解法：意图契约与分层架构

为了锁死 Agent 的行为边界，WebRider 并没有试图去微调一个能一次性把所有事情都想清楚的“全能超级大脑”，而是选择了机制层面的结构化解耦。

1. 将策略具象化：意图契约（Intent Contract）

WebRider 的第一个核心概念是“意图契约”。它并不是一种性格设定，也不是长期的记忆档案，而是一份针对当前任务的、高度结构化的操作协议。这份契约明确记录了：目标是什么、绝对不能触碰的底线约束是什么、必须收集到的证据义务有哪些、面对不确定性时的阻断器（blockers）是什么、最终答案应该长什么样，以及用于控制搜索广度和验证深度的局部 Persona 策略。

当网页环境发生变化时，由于这份意图契约是作为一个极其稳定的对象独立存在的，它不会随着底层网页的跳转而发生漂移，从而成为评判 Agent 每一步动作合法性的终极标尺。

2. 三层架构：让“决定做什么”与“决定怎么点”彻底分离

有了契约，接下来就是如何执行。WebRider 部署了一套严格分层的架构，强制分离了长周期的意图判断和短周期的网页动作实现。

如上图所示，WebRider 包含三个互不越界的层级：

顶层控制器（Top Layer）：它是契约的坚定维护者。它的状态包含了目标、约束、证据账本和当前进度。顶层不关心鼠标该怎么动，它只负责宏观战略。例如它会发出这样一个紧凑的指令：“去验证这个候选商品的退货政策”，或者判定“所有必须的证据都找齐了，准备输出答案”。
中层动作实现与守卫（Middle Layer and Guards）：这是 WebRider 的核心枢纽。它接收顶层的指令、当前的网页观察结果以及历史记录，然后只能生成唯一一个受保护的 JSON 格式的执行动作（比如 Click, Type, Scroll 等）。这里有一个硬性规定：中层绝对没有权力去判定证据是否收集够了，也没有权力决定任务是否该终结。此外，中层旁边配有一套确定性的“守卫系统（Guards）”，负责拦截格式错误的动作、防止死循环点击，并挂载恢复动作。
底层执行器（Executor Layer）：它就是一个机械的工具层，负责在无头浏览器（Chromium）中实际执行动作，或者调用搜索和地图 API，然后把截图、元素标签等观察结果原封不动地返回给上层。它不具备任何推理能力。

这种分层的精妙之处在于它不仅是一次架构重组，更是一种哲学上的取舍。以往的 Agent 往往通过一次庞大的 LLM 调用，既决定“我要不要停止”，又决定“我点屏幕左上角”。这就导致了动作选择和策略验证的深度纠缠。WebRider 将其彻底切断：顶层负责“Why”和“When”，中层专注于“How”。

这种设计的直接收益正如上图所展示的，每一次浏览器状态的变化，都能和与之对应的契约状态（当前的意图、受保护的约束、证据收集情况等）精准绑定。这就让那些不可见的大模型推理过程，变成了一条每一帧都可以被审计的透明轨迹。

RiderBench 评测体系与严苛的“门控”标准

没有配套的评测体系，新架构的优势就无从谈起。研究团队基于真实的网络环境构建了大规模的 Benchmark——RiderBench。

RiderBench 包含了 768 个脱离特定人设的基础请求，覆盖了 12 个领域的 42 个公开网站。然后，研究人员将不同的控制策略（Persona）注入这些请求，膨胀出了 4,096 个独一无二的“意图契约”。这意味着在 RiderBench 中，对于完全相同的商品查询，如果赋予不同的证据义务，Agent 必须走出完全不同的合规路线才能算作成功。

为了评价 Agent 是否真的守规矩，本文提出了一种被称为 契约门控成功率（Contract-Gated Success, CGS） 的复合指标。它是一个极其苛刻的逻辑与门：

\[\mathrm{CGS}=c_{T}\land c_{H}\land c_{E}\land c_{A}\land\neg c_{B}\]

这五个变量分别代表：

$c_{T}$（终端完成）：代理确实输出了最终答案或做出了停止决策。
$c_{H}$（硬约束满足）：没有违反价格、品牌等刚性要求。
$c_{E}$（证据充足）：必须收集到策略要求的所有证明材料才能结案。
$c_{A}$（答案质量）：最终答案的形式和内容是对用户有用的。
$\neg c_{B}$（无未解决的重大阻碍）：代理没有在面临无法跨越的障碍时强行瞎编答案。

只有这五项全部变绿，一次任务执行才算做真正的成功。需要指出的是，WebRider 在评测时极其讲究科学严谨性。它将因为网络波动、目标网站的强硬防爬措施（如 CAPTCHA 验证码）导致的任务中断单独拎了出来，坚决不把这些“非战之罪”与 Agent 自身的策略违规混为一谈。

核心实验结论：被揭开的遮羞布

WebRider 的测试结果在四个维度上对当前的 Web Agent 范式提出了挑战。

结论一：极高的完成率掩盖了严重的违规行为

当我们将业界顶尖的模型置于 RiderBench 的审视下，出现了本文开头提到的那一幕：配备了顶级大模型的完整控制器（Full-Pro）在绝大多数时候都能自信地给出一个答案（终端完成率 $c_{T}$ 高达 99.2%）。

但在经历了五重门控的层层过滤后，它的 CGS 直接断崖式下跌到了 38.8%。这意味着什么？这意味着大量看似完美的浏览器轨迹，实际上根本没有收集到足以支撑它得出结论的网页证据，或者在此过程中它偏离了受保护的意图路线。硬约束的通过率通常比较高，说明模型基本听得懂数字和品牌要求，但涉及到需要多步往返验证的证据门控和策略门控，它们全军覆没。CGS 撕下了目前主流评估体系的遮羞布。

结论二：人类接受度与模型结构的价值

如果最终答案看起来没问题，人类真的在乎中间过程吗？为了回答这个问题，研究团队引入了步骤级别的人类可接受度评估：Persona-Consistency Score (PCS，人设一致性得分) 和 Human-Comfort Preference (HCP，人类舒适度偏好)。

盲测结果表明，即便有些轨迹最终勉强通过了门控，人类裁判仍然能够明显感受到不同执行路径带来的不适感。相较于完全自由发挥的控制器，将意图信息绑定在单步受限动作上的 IntentCore 模型，在 PCS 上取得了 86% 的高分（远高于自由控制器的 70%），并获得了超过 42% 的净 HCP 偏好优势。

更有意思的是，机制消融实验证明，这种提升并不单纯来源于我们在 Prompt 里告诉了模型“你要遵守规则”。实验发现，如果仅仅是把契约写在文本提示（Prompt+PI）里，带来的收益非常有限；只有真正借助分层架构，将意图信息作为“持久顶层状态”下发给动作层，才能带来显著的合规提升（匹配增益达到 +5.6 个百分点）。结构带来的约束力，远超单纯的文本信息堆砌。

结论三：分层架构让“动作控制”变得真正可学习

WebRider 分层架构在工程上的一个巨大红利，是它自然而然地在顶层思考和底层执行之间，切出了一个极度清晰的“中层边界”。

在以往的端到端 Agent 中，如果要用行为克隆去训练一个小模型，很难剥离它是“找错了按钮”还是“过早结束了任务”。而在 WebRider 中，由于顶层负责把握大局，中层只负责面对当前网页输出受限的动作 JSON（经过 guards 过滤），这个中间层就成了一个完美的、纯粹的“动作转换器”。

正如上图所示，同一套执行轨迹，既是顶层审计契约的证据库，又是中层极佳的监督学习样本。研究人员仅针对这个中层接口训练了一个 8B 规模的动作策略模型（MidSFT-8B）。结果显示，在保持顶层大模型控制器不变的情况下，直接替换这个 8B 模型上线跑实时任务，依然能够在 1,024 个 live 契约上取得 50.8% 的 CGS 成功率和 78.1% 的证据收集率。

这意味着我们彻底解开了长周期意图决策和短周期动作执行的耦合。未来，处理海量琐碎点击操作的脏活累活，完全可以交给端侧的小模型去高效执行，而只需保留云端的大模型负责意图校验和终局决策。

总结：过程本身就是任务的一部分

Google 的这项工作给我们提供了一个极其重要的视角转换。在很长一段时间里，我们在设计和测试 Web Agent 时，潜意识里是在追求一个极度压缩的端到端函数，输入是目标，输出是答案。

但 WebRider 证明了，当我们在讨论“为人类代劳的智能体”时，通向答案的浏览路径必须被当作“一等公民”来看待。不验证过程的 Agent 就像在考试中作弊的学生，即便最后填对了选择题，在复杂的真实商业和生活决策中也毫无信任基础。

通过将意图契约化、控制分层化，WebRider 在复杂的动态网页中建立了一个可测量、可审计、且可被模型学习的清晰参照系。它告诉我们，只有那些每一个脚印都经得起契约推敲的 Agent，才真正做好了走出实验室、接过人类账号权限的准备。