2026년 9월의 AI 에이전트: 도구, 제어, 그리고 에이전트가 실제로 배우는 것

9월의 에이전트 문헌은 새로운 역량보다 도구에 관한 것이다. 이번 달 가장 강력한 기여는 벤치마크 환경에 대한 감사, 모델을 둘러싼 하네스에 대한 소거 실험, 리더보드의 분산 분해, 그리고 백엔드가 생성하지 않은 수치는 운영자에게 도달하지 못하게 하는 거버넌스 계층이다. 이번 호에서 전문 증거로 읽은 50편의 논문에 걸쳐 네 가지 움직임이 반복된다: 측정이 자기 자신을 향하게 됨; 통제가 프롬프트 수준의 방어에서 런타임 집행, 권한 회계, 출처 추적으로 이동함; 훈련 작업이 어떤 결정에 공적을 돌려야 하는지와 정책이 실제로 학습하는 지름길에 대해 더 신중해짐; 그리고 다중 에이전트 작업이 조직 구조 설계에서 공유 자원, 로컬 법칙, 프로덕션 배포 연구로 전환됨.

기간: 2026년 9월 1–30일 arXiv v1 제출 (9월 30일에 제출된 일부 논문은 10월 arXiv 번호를 지님; 범위 및 방법 참조). 범위: 두 검색 경로에서 나온 2,061개 후보, 관련성 기준으로 스크리닝된 1,805개, 전문 증거 카드로 읽은 50개, 아래에 13개가 특집으로 소개되고 나머지는 "또한 주목할 만한 것" 아래에 묶임.

그림 1. 이번 달의 네 가지 움직임과 이를 담지한 특집 논문들 (저자 작성 도식; 숫자는 참조 문헌).

표 1. 이번 호의 13개 주요 논문; "증거"는 해당 발견이 전문에서 확인되었는지(모든 주요 항목이 확인됨) 아니면 초록 수준에서만 확인되었는지를 기록한다.

1 스스로를 향한 측정: 감사, 절제 실험, 신뢰성

평가 계층은 점수를 주어진 것으로 취급하기를 멈추고 도구 자체를 감사하기 시작했다. 즉 도구 호출을 채점하는 환경, 모델과 벤치마크 사이에 위치한 하네스 구성 요소, 그리고 과제 결과를 순위로 바꾸는 통계적 장치를 감사하기 시작했다.

1.1 Do Agent Benchmarks Do What They Say? An Executable-Contract Audit of Tool-Using Agent Environments [1]

이 논문은 도구가 광고하는 인터페이스를 실행 가능한 계약(사전조건, 효과, 인자, 성공 신호)으로 간주하고, 고정된 커밋에서 구현이 그 계약을 준수하는지 검사한 뒤, 각 점수를 결함 있는 도구라면 마땅히 기록했어야 할 상태에 의존하는 판정들로 거슬러 추적한다. 배포된 네 개 벤치마크의 상태 변경 도구 34개를 대상으로 일곱 개의 도구 결함과 하나의 평가기 속성을 확인하며, 가장 명확한 사례는 통계적이기보다 산술적이다. 각 gold refuel 호출 앞에 suspend_line을 삽입하여 구성한 1,120개 경로에서, 배포된 tau2-bench 평가기는 패치되지 않은 1,120개 경로를 모두 통과시키고 단일 헝크 수리가 적용된 1,120개 경로는 하나도 통과시키지 않는다. 즉 이 평가기는 정지된 회선에 대한 재연료 공급을 보상하고, 수리된 도구는 실패시킨다. 도구가 인터페이스에 명시하지 않은 설계 아래에서 이루어진 모든 쓰기가 실행되었다고 에이전트에게 알리는 임상 벤치마크에서는 채점기가 그 메시지를 읽으므로, "행동 성공률"은 실제로 무언가가 변경되었는지가 아니라 요청이 예상 페이로드를 담고 있었는지를 기록한다. 저자 자신이 밝힌 한계는 결과가 어떻게 사용되어야 하는지에 중요하다. 검사기의 정적 절반은 확인된 17개 지점 중 14개를 표시하는 반면 동적 절반은 대부분 정적 절반이 찾은 것을 확인하므로, CONFORM 판정이 적합성을 입증하지는 못하며, 벤치마크가 앵커로 선택되었기 때문에 벤치마크 전반에 걸친 유병률 주장은 뒷받침될 수 없다.

1.2 코딩 에이전트를 위한 하네스 설계에 관한 실증 연구 [2]

앞의 논문이 환경을 감사한다면, 이 논문은 스캐폴딩을 감사한다. 경량 ReAct 루프를 고정하고 한 번에 하나의 구성요소(계획, 행동 공간, 컨텍스트 관리)를 네 개 모델, 두 개의 장기 지평 코딩 벤치마크, 네 개의 컨텍스트 예산에 걸쳐 변화시켜(176개 설정) 저자들은 무조건적으로 유용한 구성요소를 찾지 못한다. 컨텍스트 관리는 가장 큰 조건부 효과다. SWE-Bench Verified에서 모델 평균으로, 관리되지 않는 계층은 32k에서 78.7%의 과제에서 윈도우를 초과하는 반면 128k에서는 8.7%이며, 모든 관리되는 계층은 초과 실패를 0으로 기록하고, 관리됨과 관리되지 않음의 성공 격차는 예산이 커짐에 따라 35.7점에서 2.7점으로 좁아진다. 즉 이 구성요소의 가치는 제약에 의존한다. 가장 넓은 예산에서 행동 공간의 경우, bash 전용은 Nemotron-3-550B에서 사전 정의된 도구 집합을 이기며(69.40% 대 65.80%, q<0.05), 과제당 평균 비용은 약 절반이다. 그러나 두 번째 벤치마크에서 다른 모델에 대해서는 방향이 뒤집힌다. 저자들은 한계를 분명히 밝힌다. 구성요소당 단일 구현, 묶음 처리된 행동 공간 절제, 과제당 한 번의 실행이다.

그림 2. 통제된 변이의 대상으로서의 코딩 하네스: 계획은 턴마다 주입되는 계획을 통해, 행동 공간은 노출된 도구 스키마를 통해, 컨텍스트 관리는 히스토리 중간에 적용되는 임계값 B1 < B2를 통해 들어오며, 원본은 외부 저장소로 오프로드된다 [2] (원 논문에서 재현).

1.3 에이전트 평가 신뢰성: 더 많은 과제가 에이전트 리더보드를 (항상) 고치지는 않는다 [3]

이 논문은 희소하고 불균형한 리더보드에 대한 베이즈 분산 분해를 제공하고, 이를 사용하여 신뢰성이 벤치마크가 아니라 주장에 속한다는 것을 보여준다. 22개 벤치마크(29,923개의 롤아웃, 54개 모델, 13개 스캐폴드를 갖춘 9개 HAL 벤치마크와 13개 Harbor Index 벤치마크)에서 완전한 모델–스캐폴드 시스템을 순위화할 때의 추정 신뢰성은 0.935–0.994인 반면, 기저 모델을 순위화할 때의 신뢰성은 0.148–0.841이다. 즉, 동일한 점수이지만 측정 대상이 다르다. 과제를 추가하는 것으로는 스캐폴드 샘플링에서 비롯되는 불확실성을 제거할 수 없다. 고정된 과제 예산에서 9개 벤치마크를 통합하면 투영된 모델 순위화 신뢰성이 대략 0.44에서 0.75로 상승하지만, 상한은 과제 수 이외의 패싯에 의해 설정된다. 저자들은 신뢰성이 타당성이 아니라는 점을 명시한다. 순위는 역량과 일치하지 않더라도 재현 가능할 수 있다.

1.4 철회되었지만 여전히 권위 있는: 에이전트-메모리 시스템에서의 철회 집행에 관한 실증 연구 [4]

장기 실행 에이전트는 영속적 메모리에 의존하며, 대부분의 메모리 시스템은 소프트 철회를 사용한다. 즉, 반박된 사실은 무효로 표시되고 보관된다. 이 연구는 메모리를 읽을 때 그 표시가 집행되는지를 묻는다. 널리 사용되는 다섯 시스템(cognee, langmem, mem0, Zep, Graphiti)에 철회된 정책과 그 대체 정책을 아홉 가지 정책 시나리오와 아홉 모델에 걸쳐 로드한 결과, 어떤 시스템도 기본적으로 철회를 집행하지 않으며 그 방식은 세 가지다. 철회가 기록되지 않거나, 기록되지만 그 상태가 호출자에게 공개되지 않거나, 기록되고 노출되지만 검색 시 집행되지 않는다. 표시가 적용된 것으로 검증된 두 시스템에서, 철회된 사실은 81개 시나리오 중 81개에서 반환되었고 1순위로 ranked되었으며, 1,620회 시행 중 43.1%에서 에이전트를 안전하지 않은 행동으로 이끌었다. 검색 계층 필터는 효과를 완전히 제거했고(0/1,620), 프롬프트 강화만으로는 43.1%에서 37.2%로만 이동시켰다. 즉, 컨텍스트는 어느 정책이 현재인지 결코 말하지 않는다. 저자들의 유의사항: 규칙 있음 및 규칙 없음 시나리오 그룹은 통제된 대조가 아니며, 조건별 구간은 보고되지 않는다.

주요 시사점

• 이번 달의 평가 작업은 점수가 아니라 도구에 관한 것이다. 벤치마크는 잘못된 것을 평가할 수 있고, 하네스 구성 요소는 예산에 따라 도움이 되거나 해가 될 수 있으며, 리더보드는 시스템을 신뢰성 있게 순위화하면서 모델은 형편없이 순위화할 수 있다.
• 지금 조치할 가치가 있는 두 가지 구체적 실패가 있다. 도구의 상태 대신 성공 메시지를 읽는 평가 [1]와, 철회를 보관하지만 집행하지 않는 메모리 시스템 [4]이다.
• 신뢰성 ≠ 타당성이며, 통과한 스냅샷 ≠ 적합성 [1, 3]이다. 두 논문 모두 이러한 한계를 스스로 진술한다.

2 런타임, 권한 및 출처로 이동한 통제

세 논문은 이제 실무에서 "거버넌스됨"이 무엇을 의미하는지 정의한다. 에이전트가 행동하는 동안 집행되는 정책, 누가 무엇을 승인할 수 있는지에 대한 측정, 그리고 에이전트가 자체 저장소로부터 주장할 수 있는 것에 대한 계약이다.

2.1 Sapien: 자율 AI 에이전트를 위한 상태 기반 정책 엔진 [10]

맥락적 방어는 대부분 상태를 갖지 않는 도구 허용 목록이었다. 즉, 인자나 에이전트가 이미 수행한 작업과 무관하게 전체 작업에 대해 도구가 허용되거나 금지된다. 반면 Sapien은 허용되는 도구 호출 시퀀스를 상태를 갖는 술어로 확장한 정규 표현식으로 명시하고, 지연된 정책 생성(런타임 정보가 필요한 제약은 그 시점에 합성됨)과 범위가 지정된 의미 검사를 사용한다. AgentDojo(짧은 작업 97개, 공격 인스턴스 949개)와 Toolathlon(장기 지평 작업 108개, 공격 인스턴스 212개, 도구 600개 이상)에서 네 가지 모델로 평가했을 때, Sapien은 제약 없는 에이전트 대비 몇 개 작업 이내로 유용성을 유지하며, 에이전트가 이미 하이재킹되었다고 가정하는 분석 모델 아래에서 AgentDojo 공격의 93.2–95.2%와 전체 Toolathlon 세트의 64.6%를 차단하는데, 이는 생성된 허용 목록의 32.4%와 대비된다. 비용은 지연 시간이며, 그 거의 전부가 정책 생성에서 비롯되고, 잔여 공격은 의미론적이다. 두 벤치마크 모두에서 방지되지 않은 공격의 80% 이상이 결정론적 술어가 판단할 수 있는 호출 시퀀스가 아니라 에이전트가 읽거나 쓰는 데이터에 의해 수행된다.

표 2. 기준선 대비 Sapien의 유용성과 보안성으로, [10]에 보고된 바와 같다. 보안 수치는 분석적이며(공격자가 에이전트를 이미 하이재킹했다고 가정), 주입 저항성 측정값이 아니다.

2.2 AuthorityLens: 권한의 렌즈를 통해 LLM 기반 에이전트 시스템을 재고하기 [11]

이 논문은 구성이 좀처럼 드러내지 않는 것을 측정한다. 즉, 어떤 주체가 어떤 결과를 실현할 수 있는지이다. 모든 허용 가능한 런타임 상태에 걸친 주체들의 최소 충분 연합으로부터 시스템 권한, 권한 분리, 주체별 권한을 도출하고, 이를 599개 결과 포트폴리오에 걸친 Codex, OpenCode, Gemini CLI의 13개 구성에 적용한다. Full Access의 Codex는 단일 주체로 599개 결과를 모두 실현하는 반면, Ask/Auto는 597개를 실현하면서 그중 279개(46.7%)에 대해 두 명 이상의 주체를 필요로 한다. 그곳에서 어시스턴트 단독은 결과의 53%를 커버하는데, Full Access에서는 100%이다. 검토 제어를 추가하는 것이 자동으로 제한이 되는 것은 아니다. Model Review를 사용하는 Gemini CLI는 시스템 권한을 변화시키지 않지만(0.9215), 평균 최소 주체 수를 Default에서 1.857에서 2.837로, Yolo에서 1.013에서 1.993으로 높인다. 이 측정은 포트폴리오 내부적이며 외부 기준 시스템이 없는데, 이는 논문의 프레이밍이 명시적으로 밝히는 바이다.

2.3 저장됨은 지원됨이 아니다: 지속적 AI 에이전트를 위한 타입화된 출처와 단언 가드레일 [12]

지속형 에이전트는 자신의 저장소에서 끌어낸 것들을 주장하며, 이 논문은 내부 저장이 아니라 외부 경계를 형식화한다: 증거와 주장 정점에 걸친 타입 지정 출처 그래프, 하나의 증거적 지위를 직교적인 충돌·진부화·보류 플래그와 함께 반환하는 해석기, 그리고 생성–검증–수정 중재자이다. 24개의 직접 작성한 적합성 사례(19개의 안전하지 않은 공개 기회, 5개의 지원되는 통제)에서 타입 지정 규칙은 안전하지 않은 공개 0건과 지원되지 않는 수정 0건을 기록하는 반면, 평면 사전 규칙은 19개의 안전하지 않은 항목을 모두 공개하고 출처 태그 규칙은 19개 중 18개를 공개한다. 증거는 실행 가능한 인메모리 적합성 모음이지 모델이나 검색 평가가 아니며, 저자들은 참조 아티팩트가 구현하지 않는 것들(자연어 의미 단위 추출, 일반화된 증인 접근 제어, 전체 출처-DAG 순회)을 나열한다.

핵심 요점

• 통제는 런타임 속성이 되어 가고 있다: 중요한 것은 행동이 에이전트가 이미 수행한 것에 비추어 허용 가능한지 [10], 어떤 주체가 그것을 승인할 수 있는지 [11], 그리고 저장된 주장이 애초에 공개될 수 있는지 [12]이다.
• 두 새로운 통제 모두 지연과 복잡성을 대가로 격리를 얻는다 — Sapien은 벽시계 시간의 대부분을 정책 생성에 쓰며, 그 잔여 실패는 구조적이라기보다 의미론적이다.
• 권한은 부산물이 아니라 설계 변수이다: 검토 계층은 권한을 변화시키지 않은 채 필요한 주체의 수를 늘릴 수 있다 [11].

3 에이전트가 배우는 것: 크레딧, 지름길, 기억

이번 달의 훈련 논문들은 한 가지 질문 — 정책이 실제로 무엇을 내면화했는가? — 를 공유하며, 이를 크레딧 할당 메커니즘, 통제된 지름길 연구, 그리고 정책의 일부로 훈련된 기억으로 답한다.

3.1 SHARPO: 에이전틱 강화 학습을 위한 세그먼트 수준 크레딧 할당 [19]

에이전틱 RL은 보통 하나의 국소적 오류가 과제를 실패시킬 수 있는 긴 궤적에 대해 단일 종료 보상을 받으며, 어떤 결정이 비난받아 마땅한지에 대한 신호를 남기지 않는다. SHARPO는 환경과 마주하는 세그먼트 수준에서 GRPO를 정교화한다: 각 세그먼트 내에서 교사–학생 로그 확률 격차를 계산하고 이를 해당 세그먼트의 모든 토큰이 공유하는 유계 승수로 전환하여, 크레딧이 세그먼트 간에 달라질 수 있으면서 하나의 세그먼트 내에서는 균일하게 유지되도록 한다. Qwen2.5-7B-Instruct로 ALFWorld에서 84.90%에 도달하여 GRPO의 70.57%를 앞서고 WebShop에서 66.15%에 대비 75.26%를 기록하며, 개선은 네 배 차이가 나는 두 혼합 가중치 전반에 걸쳐 유지되고 ALFWorld에서 실행 간 편차가 더 낮다(표준 편차 1.19–2.82포인트 대 7.83). 명시된 범위는 두 벤치마크와 하나의 7B 백본이며, 증거는 여기서 멈춘다.

3.2 허위 도구 사용: RL 에이전트가 행동할 잘못된 이유를 배울 때 [20]

이 논문은 과업 점수만 보고될 때 놓치기 쉬운 하나의 실패 양상을 분리해 낸다. 즉 RL은 도구 호출을 과업 요구가 아니라 피상적인 프롬프트 단서에 의존하게 만들 수 있다. 답변 형식 지시가 검색과 상관관계가 있지만 인과적으로는 무관한 통제된 환경에서 훈련했을 때, 저자들은 단서가 존재할 경우 보류된 수학 문제에서 에이전트가 검색을 최대 39.2% 더 많은 경우에 호출한다는 점을 발견했으며(단서가 있을 때 검색률 40.1% 대 없을 때 0.9%), 지름길 형성은 에이전트가 이미 도구를 안정적으로 학습한 뒤에야 나타난다는 점도 발견했다. 즉 데이터셋 불균형만이 아니라 역량이 그에 선행한다. 각 호출의 필요성을 채점하는 밀집된 결정 수준 보상은 허위 호출률을 0.0%로 되돌리면서 정확도를 유지한다(보고된 실행에서 GSM8K 기준 92.8/88.8). 모든 조건은 각각 별도의 단일 시드 훈련 실행이며, 저자들은 이 완화책을 해결된 문제가 아니라 실용적 처방으로 제시한다.

그림 3. 도구를 호출하는 잘못된 이유를 학습하기: 훈련 중 답변 형식 지시가 검색 도구와 상관관계를 갖게 되고(패널 A), 테스트 시점에는 과업이 코드 도구를 필요로 함에도 동일한 단서가 검색 호출을 촉발한다(패널 B) [20] (원 논문에서 재현).

3.3 코딩 에이전트 메모리 사후 훈련: 사전 훈련된 파일 작업의 메모리 잠재력 발휘하기 [24]

메모리 모듈을 추가하는 대신, 이 논문은 정책이 이미 지니고 있는 파일 시스템을 사용하도록 훈련한다. 즉 과업이 정보가 컨텍스트 교체 이후에도 살아남을 것을 요구하는 네 개의 장기 지평 환경과, 보상이 오직 하류 과업 성공에서만 나오는 일반 셸 행동에 대한 완전 비동기 PPO를 사용한다. 그 결과인 9B 정책은 동일한 512개 테스트 과업에서 CompactionRL의 48.0%에 대해 평균 54.4% 성공률을 보이며(대응 차이 6.4점, 부트스트랩 구간 [3.3, 9.5]), 동일한 하네스에서 평가된 동결된 122B 모델의 22.0%에 대해 SWE-bench Verified 이슈의 27.6%를 해결한다. 이 비교는 규모나 컨텍스트 경계에서 일어나는 일의 측면에서 동등한 비교가 아니며, 저자들은 한계를 명시한다. 즉 메모리는 하나의 에피소드와 한 명의 사용자로 제한되고, 백본은 최대 9B까지만 해당한다.

핵심 요점

• 이 달의 훈련 결과는 규모보다는 귀속과 규율에 관한 것이다. 즉 보상이 어디에 떨어지는지 [19], 도구 호출에 이유가 있는지 [20], 그리고 상태가 컨텍스트 경계를 넘어 살아남는지 [24]이다.
• "더 나은 점수"와 "올바른 것을 학습함"은 통제된 설정에서 분리되었다 [20]. 호출별 필요성 신호만으로 그곳에서 지름길을 제거하기에 충분했다.
• 세 논문 모두 좁은 설정을 공개하고 그렇게 밝힌다. 어떤 효과도 백본 전반에 걸쳐 보편적이라고 주장되지 않는다.

4 시스템: 분산된 팀, 공유 자원 그리고 프로덕션

시스템 연구는 이전에는 혼동되던 두 가지 질문으로 나뉘었다. 즉 에이전트가 중심 없이 어떻게 스스로 조직하는가, 그리고 여러 사용자의 에이전트가 하나의 희소 자원을 공유할 때 무슨 일이 일어나는가이다.

4.1 PANDA: 확장 가능하고 내결함성 있는 다중 에이전트 시스템을 위한 유연한 오케스트레이션을 갖춘 분산 아키텍처 [37]

PANDA는 독립적으로 운영되는 에이전트들이 역량을 등록하고 작은 과업별 팀으로 자체 구성하는 피어 투 피어 아키텍처로, 세 가지 선택 가능한 오케스트레이션 토폴로지(스타, 체인, 메시)와 인프라 장애 탐지기를 갖추고 있으며, 집단적 발견은 팀 메시징과 분리되어 있다. HotPotQA(전체 위키, 워커 10명, GPT-5.4-mini)에서 메시 토폴로지는 약간의 정확도를 실시간 시간과 맞바꾼다 — 714초에 70.0 EM과 79.39 F1로, Internet-of-Agents의 2,182초에 72.5와 81.26과 대비된다 — 그리고 주입된 인프라 장애 하에서 PANDA 구성은 Magentic-One, AgentNet, IoA가 모두 0%를 완료하는 실행의 100%를 완료한다. 이 논문에는 전용 한계 섹션이 없으며, 저자들은 50개의 역량이 있을 때 100명의 에이전트로는 필요한 역량을 갖추기에 충분하지 않다고 언급한다.

그림 4. PANDA의 에이전트별 설계: 팀 통신과 로컬 레지스트리는 발견을 팀 메시징과 분리하는 집단 계층 옆에 위치하며, 인프라 장애 탐지기가 재계획과 두 통신 계층에 정보를 공급한다 [37] (원 논문에서 재현).

4.2 함께일수록 더 나쁨: 다중 사용자 다중 에이전트 팀에서 성능이 무너지는 방식 [40]

모든 사용자에게 각자의 에이전트를 주는 것은 에이전트들이 예산이나 대기열을 공유하기 전까지는 더 안전한 설계처럼 보인다. 네 가지 도구 사용 환경 전반에서 이 논문은 피어 투 피어 구성이 단일 코디네이터보다 성능이 낮다는 것을 발견한다: 공유된 야간 API 키 예산에서 팀은 최적의 30%에 도달하는 반면 단일 코디네이터는 64%이며, 결코 조정하지 않는 "조용한" 팀은 7%와 2%에 도달한다. 이 격차는 구조적이라기보다 환경 특유적이다 — 진료 시나리오에서 가장 강력한 지시 스택 하에서는 공동 성공률이 70.5%에서 95.3%로 상승하여 코디네이터의 84.3%를 웃돈다 — 그리고 저자들은 자신들의 행동 라벨이 인간 판단에 대해 검증되지 않은 모델 판정에서 비롯되었음에 유의하며, 자신들의 분석이 어느 행동이 격차를 야기한다는 것을 입증하지는 못한다고 밝힌다.

4.3 little m: 산업 공정 최적화를 위한 AI 에이전트 [44]

이는 이번 달 가장 명확한 생산 사례이다. little m은 비정형 산업 문제 설명과 공정 도표를 구조화된 최적화 공식화로 전환하며, 선별된 도메인 지식 저장소에 의해 근거를 갖추고 두 개의 인간 개입 체크포인트에 의해 게이트된다; 이는 IPC-Bench, 즉 전문가가 검증한 정답을 갖춘 교과서에서 파생된 50개의 멀티모달 공정 제어 사례로 평가된다. 여덟 명의 도메인 전문가는 검토한 20개 사례 중 66.0%에서 그 공식화를 선호했으며, 이는 순수한 DeepSeek-V3.2 베이스라인의 18.0%와 Qwen3-Next-80B의 16.0%에 대비된다, 그리고 그 결정 변수 중복 점수는 두 베이스라인을 모두 앞선다. 저자들은 경계에 대해 명확히 밝힌다: 도메인 지식은 도메인별로 선별되며, 솔버 수준의 검증은 없고, 벤치마크는 교과서에서 파생되었으며, 사전 학습 노출은 배제할 수 없다.

핵심 요점

• 조직 구성은 경험적 질문이 되어 가고 있다: 분산형 설계는 장애 허용성과 실행 시간에서 이길 수 있으며 [37], 사용자별 에이전트는 공유 자원에서 단일 코디네이터에게 질 수 있다 [40].
• 완화책은 보편적이지 않고 환경 특유적이다: 하나의 공유 자원에서 크게 뒤처지는 동일한 구성이 더 강력한 지시 스택 하에서는 다른 자원에서 그 코디네이터를 앞선다 [40].
• 생산 사례들은 이제 기계 지표와 함께 인간 전문가 판단을 보고하며, 둘 다 명시적인 범위 한계를 동반한다 [44].

또한 주목할 사항

측정과 엔지니어링. cua-speedrun [5]은 네 개의 컴퓨터 사용 벤치마크를 하나의 가상 머신과 파이프라인에 올리고(OSWorld에서 56개 구성) 추론을 더 많이 할수록 더 빨라질 수 있음을 발견한다 — Gemini 3 Flash Preview는 33.6%에서 57.6%로 개선되는 동안 평균 작업 시간은 492초에서 268초로 감소한다 — 그리고 더 빠른 입출력이 더 느려질 수 있음을 발견한다(환경 시간 12.68초 → 0.34초, 평균 작업 시간 89.5초 → 99.0초). ReLiveGym [6]은 8개의 장기 실행 작업에 대해 수 주 분량의 실제 스트림을 재생하고 모든 작업에서 시드 간 변동이 가장 큰 분산 성분임을 보고한다. Failure-Transparent Agents [7]은 생성 전에 실패한 도구 관측을 고정하고, 6개 모델에서 나온 3,600개 이상의 사람 주석 응답에 걸쳐 거짓 성공이 투명성 지시문으로 22.8%에서 9.3%로, 4필드 증거 계약으로 0.8%로 감소함을 측정한다. 157개 오픈소스 에이전트 프로젝트에 대한 저장소 수준 연구 [8]는 87.3%가 관행적 테스트를 갖추고 있지만 프롬프트 주입 또는 적대적 테스트 경로를 가진 곳은 5.1%에 불과함을 발견한다. "Defining AI Agents" [9]은 기준, 지표 및 벤치마크를 에이전트성의 다섯 차원에 매핑하는 개요서이며 자체적인 측정치는 보고하지 않는다. OSWorld-Science [48]는 17개 과학 소프트웨어 타이틀에 걸쳐 146개의 컴퓨터 사용 작업을 애플리케이션 상태와 산출물로 채점한다; 최고 평균 점수는 73.7%이며, 공개된 실행 중 완전한 점수를 받는 것은 26.3%에 불과하다. "Agents as Software" [51]은 에이전트의 프로그램이 프롬프트, 도구, 메모리 및 트레이스에 흩어져 있기 때문에 에이전트 신뢰성에는 프로그래밍 언어적 처리가 필요하다고 주장한다.

안전, 보안 및 책임. TrustProbe [13]은 11개 오픈소스 에이전트(8개는 10,000개 이상의 스타 보유)에서 104개의 오염 스타일 취약점을 발견하고, 실제 게시된 스킬 코퍼스에 대한 스킬–에이전트 시도의 25.1%가 감사된 취약 경로를 촉발하며 그중 31.7%가 평범한 프롬프트로부터 재현됨을 보고한다. 에이전트적 탈옥에 대한 체계화 [14]는 116개 공격과 63개 방어를 통합하고 응답 수준 수치가 왜 오해를 낳는지 보여준다: 한 공격에서 안전하지 않은 계획 수립은 91.49%에 도달하지만 응답 수준의 공격 성공률은 11.54%에 머문다. 다중 에이전트 시스템에 대한 보안 SoK [15]은 44개 연구를 감사하고 그중 13개만이 공격 성공률 자체를 계산하며, 20개 전체 트레이스 평가 중 하나만이 명시적 의존성 그래프를 보고한다. 2026년 Hugging Face 사건을 기반으로 한 몬테카를로 연구 [16]는 계층화된 통제를 0.301% 사건 발생률로, 약한 통제를 2.498%로 모델링하며 300회의 교란 추출에 걸쳐 안정적이다 — 이는 모델이지 실제 시스템의 관측이 아니다. HazardAuditor [17]는 실행 가능한 위협 트레이스를 컴퓨터 사용 감사기로 변환하고 가드 기준선 대비 16.5포인트의 정확도 향상을 보고한다. "Trustworthy Agentic AI" [18]는 구조화된 서사적 문헌 검토이며, 그 유일한 정량적 수치는 다른 연구에서 인용된 것이다. 송전 시스템 운영자를 위한 거버넌스 인식 디지털 트윈 [50]은 수치가 계층이 렌더링한 백엔드 사실로서만 제어실에 도달하도록 한다: 네 가지 불변 조건이 590회 실행 중 590회에서 유지되는 반면, 계층이 없는 354회 실행에서는 45건의 무단 부작용이 발생한다.

학습, 기억 및 도구 사용. 관측값은 일반적으로 지도 미세조정에서 마스킹되지만, 손실이 이를 포함하도록 허용하면 RL 이후 탐색이 달라지고 Terminal-Bench 2.0 pass@1이 4B에서 5.6에서 7.2로 상승한다 [21]. UniOPSD [22]는 결과 기반 크레딧과 사후 관점 기반 크레딧 사이를 중재하며, 3B에서 WebShop에서 75.0%에 도달해 기준선의 68.0%를 앞서지만, 7B에서 ALFWorld에서는 가장 강한 기준선보다 낮은 순위를 기록한다. ARISE-RL [23]은 루브릭 생성기와 솔버를 공진화시켜, 가장 근접한 기준선의 0.531에 대해 여행 하위 작업의 0.599를 통과한다. MemAgent [25]는 13개의 이질적인 메모리 제공자 사이에서 작업을 라우팅하는 법을 학습하며(기억 없음의 65.7% 대비 평균 75.7%); ActiveMem [26]는 잠재 메모리 트리에서 의존성 일관 경로를 검색한다(Qwen3-8B에서 ALFWorld 95.57 대 90.60); SkillSpec [27]은 합의 게이트 아래에서 스킬을 진화시키며(GPT-4.1에서 SkillOpt 대비 매크로 평균 +12.26점); 편차 기반 방법 [28]은 잘못된 경로를 스킬 편집으로 전환한다. Agent Error Dataset [29]은 50,228개의 오류–진단 쌍을 제공하며, 최초 제안 수정 규칙은 원래 행동 재시도 대비 재생 통과율을 32.7점 끌어올린다. ToolSearcher [30]은 16,464개 API 저장소에서 도구 선택을 훈련하며(가장 강한 기준선의 0.496 대비 F1 0.513, 0.098에서 출발), 행동 공간 연구 [31]은 도구를 단순히 더 적은 연산으로 병합하는 것만으로도 9개 오픈 모델 전반에서 중앙값 19점의 성공률 손실이 발생함을 보여준다. AnyAct [32]은 GUI 프리미티브, 셸 명령 및 MCP API를 신뢰성 게이트 검색 계층 뒤에 통합하며(LiveMCPBench에서 순진한 기준선의 42.11 대비 84.95); Dyad [33]는 언어 추론을 갖춘 단일 정책을 유지하면서 별도의 인코더에서 타입이 지정된 후보 행동을 점수화한다(9B에서 ALFWorld 90.90 대 85.01). 기업 환경 절제 실험 [34]은 셸 전용 인터페이스가 TheAgentCompany(N=348)에서 타입 지정 도구 카탈로그를 24.6점 앞서고 APEX-Agents(N=960)에서 6.2점 앞서며, 작업당 토큰은 약 3분의 1에 불과함을 발견한다. Dr. Free [35]는 자기 진화 검색 에이전트에서 난이도 기반 제안자 보상을 제거하고, 골드 블라인드 감사에서 81% 대비 3%의 지름길 비율을 보고한다. 그래프 기반 개인화 메모리에 관한 서베이 [36]는 12개 벤치마크를 표로 정리하고 그중 단 두 개만이 메모리 구성을 명시적으로 표시함을 발견한다.

다중 에이전트 시스템과 배포. Waggle [38]은 역할 구조 대신 단일 파라미터 공유 로컬 규칙을 학습하며, 64개 에이전트에서 Silo-Bench 기준 결정 증류(decision distillation)를 14.5점 앞선다. DEALS [39]는 라우팅을 위한 언어모델 호출 없이 이웃 간에 과업을 처리하며(혼합 계열 정확도 66.52% 대 57.76%), 4.7–22.7배의 처리량을 보고한다. GlossoGen [41]은 커뮤니케이션을 여러 행동 중 하나로 취급하며, 예산 압박과 사후 검토(postmortem) 채널이 메시지 혼란도(perplexity)를 약 430% 끌어올린다는 점을 발견했고, 공개 가중치 팀은 30.8%의 라운드에서 성공한 반면 독점 모델은 92.1%였다. MASkills [42]은 파라미터가 아니라 스킬 라이브러리를 편집한다(HotpotQA F1 76.3 대 69.2이나, GAIA Level 3에서는 0.0 대 8.3). 상징적 안내에 관한 연구 [43]는 분산 조정에서 중간 수준의 안내(함수 수준 설명)가 보통 안내 없음과 완전히 규정된 의사코드 모두를 능가한다는 점을 발견한다. Óptima [45]은 베이즈 최적화 캠페인을 하위 에이전트와 상시 서비스에 위임하여, 23회 실험에 걸쳐 최고 측정 수율을 30.0%에서 58.8%로 끌어올리면서도 자신의 인간 비교는 대응되지 않았다고 밝힌다. Eurekabench [46]는 에이전트가 인간의 예측 정확도에는 필적하지만(47.4% 대 48.8%) 통찰 점수에서는 29.4–42.4%에 그쳐 인간의 69.7%에 미치지 못한다는 점을 발견한다. CompMat-Bench [47]은 시뮬레이션이 미리 계산된 94개 재료과학 과업에서 에이전트를 평가하며, 완전한 안내에서는 90.4–91.5%, 가장 어려운 조건에서는 50–75%를 기록한다. 과학 사용자 시설의 배포 보고서 [49]는 광원 운영에서 추론 엔드포인트, 분리된 도구 서버, 외부 연산, 관리되는 수명주기 학습 같은 패턴을 정리하지만 벤치마크는 보고하지 않는다. 2026년 6월 사건에 관한 관찰 연구 [52]는 공개 위키의 수명이 짧은 에이전트 1,201개가 보이는 것을 모방함으로써 어떻게 같은 문서, 이름, 표현에 수렴했는지 재구성하며, 문서 선택은 최근 피드에서 해당 문서가 차지한 비중을 따랐고(적합 기울기 0.87), 한 문서에서 몇 개의 에이전트가 만났는지에 관한 헤비테일 분포를 재현했으며, 먼저 쓰는 쪽이 관례를 정한다는 점을 시사한다.

범위와 방법

검색과 선별

대상 기간은 arXiv v1 제출일 2026년 9월 1–30일이므로, 9월 30일에 제출된 몇몇 논문은 10월 arXiv 번호를 지니지만 제출일 기준으로 포함된다(예: [3], [10], [19], [24], [40], [46], [47]). 두 경로를 결합했다: "agent"/"agents" 제목 일치(2,016편)와 주제 정의로 표현된 의미 기반 회수(20,638편을 스캔한 것 중 가장 가까운 500편)로, 총 2,061편의 고유 후보가 나왔다. 선별은 논문의 주요 기여가 AI/LLM 에이전트 자체에 관한 것이어야 한다고 요구했으며, AI 에이전트와 무관한 고전적 다중 에이전트 강화학습이나 제어이론적 "에이전트", "agent"의 비-AI 의미, 에이전트를 지나가듯 언급만 한 논문은 제외했다: 1,805편 포함, 256편 제외. 이후 포함된 집합은 일곱 갈래(측정, 안전과 거버넌스, 훈련, 기억과 스킬, 도구 사용, 다중 에이전트 시스템, 도메인 배포)에 대해 레이블링되었으며, 레이블은 겹치고 346편은 미해결로 남았다. 이 수치들은 해당 분야가 아니라 선별된 코퍼스를 기술한다. 전문을 읽은 50편은 일곱 갈래를 모두 대표하도록(9/9/7/7/6/6/6) 그리고 검증 가능한 결과를 제시하고 실무자가 활용할 수 있는 연구를 우선하도록 선택되었다. 1,805편 중 50편은 순위가 아니라 대표성을 위해 고른 읽기 표본이다.

증거 깊이와 격차

50편의 논문 각각은 별도의 읽기 과제를 통해 읽혀 증거 카드가 만들어졌으며, 그 카드에는 해당 논문 자체의 설정, 가장 가까운 선행 연구 대비 저자들이 명시한 델타, 지표와 기준선이 함께 제시된 한두 개의 수치, 저자들이 밝힌 한계, 그리고 그림 하나가 담겼다(카드 46개 완성, 3개 부분 완성, 그림 단계만 실패한 것 1개). 특집 섹션의 모든 수치는 그 카드들 또는 이 호를 위해 읽은 원문에서 가져왔으며, 각각은 그 설정과 함께 제시된다. 벤치마크 감사 [1]에서는 그림 두 개를 추출할 수 없었으므로, 해당 논문은 본문만으로 기술한다. 서지 메타데이터는 도서관 기록에서 가져온다. 작업 공간에는 인용 횟수나 학회 수락 데이터가 없으므로, 여기서 "주목할 만한"은 측정된 관심도가 아니라 문제 관련성과 보고된 증거를 의미한다. 이 글은 이 시리즈의 첫 번째 호이므로, 비교할 이전 호가 없다.

References

[1] Rohith Reddy Bellibatlu, Zichong Wang, Wenbin Zhang. Do Agent Benchmarks Do What They Say? An Executable-Contract Audit of Tool-Using Agent Environments. 2026. arXiv preprint. arXiv:2609.37315

[2] Run-Ze Fan, Zihao Zhang, Simin Ma, et al. An Empirical Study of Harness Design for Coding Agents. 2026. arXiv preprint. arXiv:2609.20804

[3] Michael Hardy, Ruhana Azam, Anka Reuel, Mykel Kochenderfer, Sanmi Koyejo. Agent Evaluation Reliability: More Tasks Won't (Always) Fix An Agent Leaderboard. 2026. arXiv preprint. arXiv:2610.00651

[4] Yi Ting Shen, Kentaroh Toyoda, Alex Leung. Revoked but Still Authoritative: An Empirical Study of Revocation Enforcement in Agent-Memory Systems. 2026. arXiv preprint. arXiv:2609.08258

[5] Pranjal Aggarwal, Lawrence Keunho Jang, Sean Welleck, Daniel Fried, Ruslan Salakhutdinov, Jing Yu Koh. cua-speedrun: Standardized Benchmarking of the Speed of Computer-Use Agents. 2026. arXiv preprint. arXiv:2609.40284

[6] Xisen Jin, Jingheng Li, Zhenglun Chen, Junyi Du, Xiang Ren. ReLiveGym: Evaluating Long-Lived Agents over Weeks of Replayed Reality. 2026. arXiv preprint. arXiv:2610.00710

[7] Junru Zhu, Shiming Xie, Aime Lu Fan Chen, et al. Failure-Transparent Agents: Benchmarking Post-Failure Reporting in Tool-Using Language Models. 2026. arXiv preprint. arXiv:2609.35732

[8] Wuyang Dai, Moses Openja, Jiho Shin, Hung Viet Pham, Song Wang. A Large-Scale Empirical Study of Quality Assurance Practices and Gaps in AI Agents. 2026. arXiv preprint. arXiv:2609.17698

[9] Mia Lassiter, Brinnae Bent. Defining AI Agents: A Compendium of Criteria, Metrics, and Benchmarks. 2026. arXiv preprint. arXiv:2609.11018

[10] Corinn Tiffany, Wen Zhang, Eugene Bagdasarian, Lillian Tsai. Sapien: A Stateful Policy Engine for Autonomous AI Agents. 2026. arXiv preprint. arXiv:2610.00797

[11] Shaojin Chen, Huihao Jing, Wun Yu Chan, et al. AuthorityLens: Rethinking LLM-Based Agent Systems Through the Lens of Authority. 2026. arXiv preprint. arXiv:2609.32378

[12] Jun He, Deying Yu. Stored Is Not Supported: Typed Provenance and Assertion Guardrails for Persistent AI Agents. 2026. arXiv preprint. arXiv:2609.02127

[13] Yan Wang, Zhihao Zhang, Ke Chen, et al. Can Agents Trust Their Skills? Uncovering Unsafe Chains of Trust in Skill-Based LLM Agents. 2026. arXiv preprint. arXiv:2609.39065

[14] Md Jueal Mia, Yanzhao Wu, Selcuk Uluagac, M. Hadi Amini. SoK: Rethinking Jailbreaking in the Era of Agentic AI: Attacks, Defenses, and Practical Consideration. 2026. arXiv preprint. arXiv:2609.12413

[15] Rui Yang, Junjie Xu, Zhengyu Liu, et al. SoK: When Safe Agents Fail Together: The Security of Multi Agent LLM Systems. 2026. arXiv preprint. arXiv:2609.00595

[16] Murat Ozer, Bulent Erenay, Ibrahim Berber. Reward Hacking and Agent Containment Failure: A Monte Carlo Study Based on the 2026 Hugging Face Incident. 2026. arXiv preprint. arXiv:2609.32390

[17] Yunhao Feng, Ruixiao Lin, Ming Wen, et al. HazardAuditor: From Executable Threats to Safer Computer-Use Agents. 2026. arXiv preprint. arXiv:2609.15134

[18] Fayeq Jeelani Syed, Rehan Ahmad, Ali Al Bataineh, Aakriti Adhikari. Trustworthy Agentic AI: Failure Modes, Mitigation Strategies, and a Lifecycle Framework for Autonomous LLM Systems. 2026. arXiv preprint. arXiv:2609.22712

[19] Xinchen Du, Zhengze Zhou, Wenhui Zhu, et al. SHARPO: Segment-Level Credit Assignment for Agentic Reinforcement Learning. 2026. arXiv preprint. arXiv:2610.00838

[20] Yiwei Yang, Haoxiang Zhang, Bingbing Wen, et al. Spurious Tool Use: When RL Agents Learn the Wrong Reason to Act. 2026. arXiv preprint. arXiv:2609.16268

[21] Juzheng Zhang, Disha Makhija, Manoj Ghuhan Arivazhagan, Vinayshekhar Bannihatti Kumar, Rashmi Gangadharaiah. Don't Mask the Environment: Observation Supervision Changes How Agents Explore Under RL. 2026. arXiv preprint. arXiv:2609.20715

[22] Zenghuang Fu, Zhaoyang Li, Qiuyuan Ai, et al. UniOPSD: Unifying Outcome and Hindsight Feedback for Agentic Reinforcement Learning. 2026. arXiv preprint. arXiv:2609.34810

[23] Fanrui Zhang, Ruixue Ding, Qiang Zhang, et al. ARISE-RL: Agentic Rubric-Grounded Iterative Self-Evolution with Reinforcement Learning. 2026. arXiv preprint. arXiv:2609.01058

[24] Lirui Luo, Kelong Mao, Heming Xia, et al. Coding Agent Memory Post-training: Unlocking the Memory Potential of Pre-trained File Operations for Long-Horizon Tasks via Reinforcement Learning. 2026. arXiv preprint. arXiv:2609.34422

[25] Yongxian Wei, Yilin Zhao, Runxi Cheng, et al. MemAgent: Learning to Manage Heterogeneous Memory Providers for LLM Agents. 2026. arXiv preprint. arXiv:2609.32521

[26] Song-Li Wu, Jingyi Wang, Zhaocheng Du, Weinan Gan. ActiveMem: Dynamic Latent Memory Trees for Long-Horizon Agents. 2026. arXiv preprint. arXiv:2609.33244

[27] Huancheng Chen, Xiaodi Sun, Zhaoqiong Huang, Shenyang Huang, Shreya Singhal, Jingwen Lu. SkillSpec: Consensus-Gated Agent Skill Evolution via Representation Specialization. 2026. arXiv preprint. arXiv:2610.00704

[28] Yichun Feng, Jiawei Wang, Haozhe Sun. A Wrong Turn Does Not Ruin the Journey: Deviation-Guided Skill Self-Evolution for LLM Agents. 2026. arXiv preprint. arXiv:2609.29154

[29] Kunlun Zhu, Xuyan Ye, Yibo Li, Cheng Qian, Beibin Li, Heng Ji. Agent Error Dataset: Scaling 50,000 Error–Diagnosis Pairs for Failure Analysis and Error-Aware Post-Training. 2026. arXiv preprint. arXiv:2609.40111

[30] Zhenlong Dai, Xujie Song, Zitong Wang, et al. ToolSearcher: Optimizing Tool Selection at Scale via Reinforcement Learning. 2026. arXiv preprint. arXiv:2609.30906

[31] Yinhong Liu, Zhili Tan, Zilin Wang, Zhijiang Guo. Action-Space Shaping for LLM Agents: Measuring and Mitigating Tool-Schema Bias. 2026. arXiv preprint. arXiv:2609.34971

[32] Lingrui Xu, Yangqin Jiang, Jiachang Zhang, Xubin Ren, Chao Huang. AnyAct: Universal Action for Self-Evolving Agents. 2026. arXiv preprint. arXiv:2609.37025

[33] Yundaichuan Zhan, Weishi Wang, Wenbiao Liu, et al. Dyad: Extending Large Language Models with Native Typed Decision-Making. 2026. arXiv preprint. arXiv:2609.36116

[34] Hazel Mak, Susheel Suresh, Sahil Bhatnagar, Barry Wang, Chhaya Methani, Alejandro Gutierrez Munoz. Is Bash All You Need? An Empirical Study of Tool Interfaces for Enterprise Digital Worker Agents. 2026. arXiv preprint. arXiv:2609.11999

[35] Zhipeng Qian, Zihan Liang, Yufei Ma, et al. Dr. Free: You Don't Need Difficulty Rewards for Self-Evolving Search Agents. 2026. arXiv preprint. arXiv:2609.33565

[36] Dac Duy Anh Nguyen, Zhangchi Qiu, Shigeng Chen, Alan Wee-Chung Liew. Graph-Based Personalized Memory for LLM Agents: Representation, Evolution, Retrieval, and Evaluation. 2026. arXiv preprint. arXiv:2609.08599

[37] Matthew D. Laws, Cristina Nita-Rotaru. PANDA: A Decentralized Architecture with Flexible Orchestration for Scalable, Fault-Tolerant Multi-Agent Systems. 2026. arXiv preprint. arXiv:2609.38482

[38] Mingxi Zou, Wei Zhu, Zhuo Wang, et al. Waggle: Learning One Anonymous Local Law for Self-Organizing LLM Swarms. 2026. arXiv preprint. arXiv:2609.34136

[39] Jingjuan Huang, Wenbin Wang, Yanchuan Yin, Alvaro Velasquez, Jia Liu. DEALS: Decentralized Expertise-Aware Load Serving for Multi-Agent LLM Systems. 2026. arXiv preprint. arXiv:2609.33768

[40] Sahan Paliskara, Nattaput Namchittai, Andrew Lampinen. Worse Together: How Performance Breaks Down in Multi-User Multi-Agent Teams. 2026. arXiv preprint. arXiv:2610.00583

[41] Elias Stengel-Eskin, Newton Sander, Carlos Bonetti, et al. GlossoGen: Emergent Language in Complex Multi-Agent LLM Interactions. 2026. arXiv preprint. arXiv:2609.01491

[42] Huaiyuan Yao, Xiaoou Liu, Charles Fleming, Tianlong Chen, Hua Wei. MASkills: Continual Skills Optimization for Multi-Agent LLM Systems. 2026. EMNLP 2026 Findings. arXiv:2609.02094

[43] Ben Rachmut, Ning Zhang, Yevgeniy Vorobeychik, William Yeoh. Symbolic Guidance for LLM Agents in Distributed Multiagent Coordination. 2026. arXiv preprint. arXiv:2609.31963

[44] Yongchao Ye, Xinyu He, Dutliff Boshoff, Way Kuo, Lishuai Li. little m: An AI Agent for Industrial Process Optimization. 2026. arXiv preprint. arXiv:2609.16680

[45] Marcel Müller, Jiaru Bai, Willi Gottstein, et al. La Agente Óptima: Towards Agentic Self-Driving Laboratories. 2026. arXiv preprint. arXiv:2609.04564

[46] Jiayi Geng, Zhengxuan Wu, Kevin S. Chen, et al. EurekaBench: Measuring Agentic Ability to Discover New Scientific Insights. 2026. arXiv preprint. arXiv:2610.00492

[47] Chenmu Zhang, Levi Felix, Jun-Jie Zhang, et al. CompMat-Bench: Benchmarking AI Agents for Computational Materials Science. 2026. arXiv preprint. arXiv:2610.00636

[48] Dingyuan Dai, Heli Qi, Lei Liu, et al. OSWorld-Science: A Benchmark of Computer Use Agents for Learning and Using Scientific Software. 2026. arXiv preprint. arXiv:2609.39903

[49] Ming Du, Xiangyu Yin, Michael Prince, et al. Strategies for Deploying AI Agents in Production at Scientific User Facilities. 2026. arXiv preprint. arXiv:2609.36362

[50] Costas Mylonas, Magda Foti, Emmanouel Varvarigos. A Governance-Aware Large Language Model Orchestrated Agentic Digital Twin for Transmission System Operator Control Room Decision Support. 2026. arXiv preprint. arXiv:2609.22476

[51] Shraddha Barke, Adithya Murali. Agents as Software: A Programming Languages Agenda for Agent Reliability. 2026. arXiv preprint. arXiv:2609.32198

[52] Giordano De Marzo, Nicola Alboré, David Garcia. Copying explains the collective behavior of AI agents in the wild. 2026. arXiv preprint. arXiv:2609.09150