Agent-frameworks bruger i stigende grad embedding-cosine-lighed som en kvalitetsport: en fast tærskel afgør, om to tekstblokke 'betyder det samme'. Men en ny audit fra arXiv viser, at denne måling ofte svarer på et andet spørgsmål end det, systemet stiller. Resultatet er en sikkerhedsmekanisme, der kan 'fyre baglæns' — den godkender ændringer, der ændrer betydningen, og afviser dem, der blot omformulerer.

Auditten undersøger en klasse af porte: deduplikationsfiltre, semantiske caches, drift-guards og svar-graderingsporte. Pointen er, at disse porte er bygget til at opdage, om en tekst stadig betyder det samme — men cosine-score måler reelt, hvor meget ordlyden har ændret sig. I de tilfælde, hvor porten skal gribe ind, kan de to mål løbe i hver sin retning. At vende en instruktion er ofte en enkeltordsændring, mens en omformulering kan bevare betydningen.

Konsekvensen er konkret: I en produktions-drift-guard fangede systemet 0 ud af 56 meningsbrydende mutationer. Et godkendt eksempel var ændringen 'withhold the study drug' → 'administer the study drug', som fik en cosine-score på 0,9608 — altså næsten perfekt lighed, selvom betydningen er diametralt modsat. På tværs af 90 konfiguration-tærskel-opgave-celler oversteg balanceret nøjagtighed aldrig 0,700 (median 0,525).

Auditten viser også, at den samme fejlkilde forvrænger evalueringer: En naivt bygget korpus kan arve konfounderen og give et omvendt resultat, hvor beslutnings-AUROC er præcis 0,000 i 13 af 18 celler. Selv forfatterne blev selv fanget af problemet to gange i deres egne overskrifter.

De oplagte løsninger fejler: Et encoder-skift og en overlap-betinget port ramte tilfældighedsniveau på separat forfattede holdout-data, og en NLI-erstatning gjorde det ikke bedre. Men der er håb: De stærkeste to af ni konfigurationer adskilte reversal fra parafrase ved matchet overlap med AUROC 0,79–0,90. Pointen er, at kun en matched-pair-audit afslører, hvordan porten reelt opfører sig i drift.

For beslutningstagere, der bygger eller køber agent-systemer, er implikationen klar: En port, der måler ordlydsændring, kan ikke bruges som sikkerhedsventil for betydningsændringer. Før man stoler på en embedding-baseret kvalitetsport, bør man validere den med et matched-pair-design — ellers risikerer man, at systemet godkender præcis de ændringer, det skulle fange.