NOMOS：把书面政策编译为 LLM Agent 的可静态验证工具调用门

NOMOS 是一个四遍编译器，将自然语言写成的政策转成确定性的工具调用门（tool-call gate）。仅靠工具 schema 级检查、不使用证明器、求解器或 LLM，就可修复或拒绝 37%（airline）和 13%（retail）的候选规则。在 τ²-bench 上，状态变更调用对参考条款的违反率从 airline 的 66.3% 降到 2.6%，retail 从 30.8% 降到 6.9%，银行场景达到零攻击成功率。

此前做法要么手写规则、要么每次动作都调用 LLM 验证器、要么依赖重量级形式化工具。NOMOS 表明仅靠工具 schema 级静态检查就能修掉大量不可用规则，且判断在微秒级完成、无需 LLM 调用，26B 本地模型的编译质量与手写或前沿模型编译无显著差距。

政策先经四遍编译提取为规则，再由工具 schema 层面的静态检查判断规则是否可执行：提取出的规则可能阻断满足其自身前置条件的工具，或读取工具并不存在的参数。静态检查据此修复或拒绝候选规则，最终生成确定性门来允许或拒绝每次工具调用，因此不需要证明器、求解器和逐动作 LLM 查询。

对部署工具型 Agent 的产品团队，可将合规与安全策略前置为编译期检查，降低运行时逐次调用 LLM 的成本与延迟，并减少策略被静默违反的风险。回放未防护日志还能在发布前发现过度拒绝合法工作的绑定（某开发绑定拒绝了 95.9% 的任务通过调用）。

• 在 Agent 上线前用 NOMOS 回放历史 transcript，标记会拒绝合法任务的规则绑定。
• 对工具 schema 与自然语言政策做静态一致性检查，纳入 CI 作为发布门禁。
• 在本地以 26B 模型编译策略，替代逐动作调用 LLM 验证器的在线方案。
• 在银行等工具调用高度结构化的场景优先试点零 ASR 的结构性规则配置。

• NOMOS 在更多行业或自建工具集上的策略覆盖率与误拦率如何，证据未提供。
• τ²-bench 之外的评测中，攻击家族是否仍会收敛到少量结构规则尚不明确。
• 四遍编译对政策文本写法、粒度与歧义的敏感度未给出系统性结论。
• 长期运行中政策变更后需重编译的迁移成本与人工审核负担未被量化。