智能体安全新挑战：SDF过滤中的幽灵转移现象与防御策略

1. 项目概述：当“过滤”失效时，我们面临什么？

最近在跟几个做AI智能体（Agent）和机器人仿真的朋友聊天，大家不约而同地提到了一个头疼的问题：我们花大力气给智能体设计的行为过滤器（Action Filter），比如用SDF（Signed Distance Function，有向距离函数）来精确描述环境几何约束，本以为能高枕无忧，结果智能体还是能做出一些“理论上不可能”的危险动作。这感觉就像给汽车装了最先进的防撞系统，它却依然能以某种诡异的角度蹭到墙——系统没报错，但事情就是不对。这正是标题“Filtering Harmful Actions Isn't Enough: Phantom Transfer in Agentic SDF”所直指的核心困境：仅仅过滤掉有害动作是不够的，在基于SDF的智能体系统中，存在着一种“幽灵转移”（Phantom Transfer）现象。

简单来说，“幽灵转移”指的是智能体在连续决策中，其一系列被单独判定为“安全”的动作，在时间维度上串联起来后，却可能导致系统进入一个未曾预料到的危险或无效状态。SDF作为一个强大的几何工具，能精准告诉智能体“此刻离障碍物有多远”，但它本质上是静态的、瞬时的。它擅长回答“这个动作现在会不会撞上”，却难以回答“执行完这个动作后，下一个动作会不会让我陷入死角”或者“这一连串动作会不会让我累积一种奇怪的姿态，最终导致失控”。这种在时序和状态空间中隐晦的、非直接的危险传递，就是“幽灵”。

这个问题在“Agentic”背景下尤为突出。Agentic强调智能体的自主性、目标驱动和长期规划能力。当一个智能体（比如一个机械臂或一个游戏NPC）不再是被动执行单步指令，而是主动规划一连串动作去抓取物体或穿越迷宫时，传统基于瞬时SDF的过滤机制就暴露了其局限性。它可能过滤掉了直接撞击的动作A，却放行了导致后续动作B必然撞击的“安全”动作A。危险像幽灵一样，从一个动作“转移”到了下一个状态。结合热搜词，无论是Agentic RAG（检索增强生成智能体）中动作的连贯性，还是Agentic RL（强化学习智能体）中的策略探索，都可能暗藏这种风险。而网络热词中提到的context-aware and semantic-guided adaptive filtering（上下文感知与语义引导的自适应过滤网络），恰恰暗示了业界对更高级过滤机制的探索方向，以应对此类“幽灵”。

如果你正在开发涉及运动规划、机器人控制、游戏AI或任何需要智能体在几何约束环境中连续决策的系统，并且已经使用了或考虑使用SDF进行碰撞检测与动作过滤，那么理解“幽灵转移”的成因、影响和应对策略，将是提升系统鲁棒性和安全性的关键一步。这不仅仅是修复一个bug，更是将智能体的安全性认知从“瞬时静态”升级到“时序动态”的必要过程。

2. 核心困境解析：为什么SDF过滤会留下“幽灵”？

要理解“幽灵转移”，我们必须先拆解基于SDF的动作过滤（Action Filtering）的标准流程及其理想假设。通常，这个过程在每一个决策时间步（timestep）独立进行：

1. 状态感知：智能体获取当前状态（如末端执行器位姿、关节角度）。
2. 动作提议：策略网络或规划器提出一个候选动作（如“向前移动10厘米，向右旋转5度”）。
3. SDF查询：根据候选动作计算出执行后的预期状态。在这个预期状态上，查询SDF值。SDF(x) 给出了空间点x到最近物体表面的最短距离，符号表示内外（通常内部为负）。
4. 安全判定：如果预期状态点的SDF值大于某个安全阈值（例如 > 0.01米），则认为该动作是“安全”的，不会发生碰撞。
5. 动作执行：通过过滤的动作用于更新智能体状态。

这个流程清晰、高效，并且在无数静态场景和单步动作中得到了验证。它的核心假设是：“如果一个动作的最终状态是安全的，那么这个动作本身就是安全的。”“幽灵转移”正是颠覆了这个假设。

2.1 “幽灵转移”的三大成因

“幽灵转移”并非源于SDF计算错误，而是源于系统设计中对“安全”定义的局限性。它主要从三个维度滋生：

2.1.1 时序盲区：被忽略的动作路径

SDF过滤只检查动作的终点，而不检查动作执行过程中的整条路径。考虑一个简单的例子：一个机械臂末端需要穿过一个狭窄的窗口。一个“快速从窗口左侧平移到右侧”的动作，其起点和终点都在窗口外的安全区域（SDF > 0）。如果只检查终点，这个动作会被放行。但实际上，在平移的中间过程，机械臂很可能已经撞上了窗框。这就是典型的“幽灵”路径——安全的两端，连接着危险的中间过程。

注意：对于高速移动的智能体或动态环境，这个问题会急剧放大。即使使用运动学模拟在路径上采样多个点进行SDF检查，如果采样频率不够高，仍可能漏过快速发生的穿透。

2.1.2 状态空间耦合：被掩盖的后续约束

这是更隐蔽的一类问题。假设智能体有一系列关节，当前动作只移动了关节A，使其进入一个SDF值依然为正（安全）但非常小的位置。单独看，这个动作安全。然而，这个新状态极大地限制了下个时间步关节B的可动范围。由于关节A现在紧贴障碍物，任何涉及关节B的微小动作都可能立即导致碰撞。换言之，动作A虽然没有直接引发碰撞，但它将系统推入了一个“脆弱”的状态，使得原本安全的动作空间急剧缩小，大幅提高了后续动作触发危险的概率。这种对未来动作空间的“透支”或“挤压”，就是危险的转移。

2.1.3 动态性失配：SDF的静态假设

标准SDF是对静态场景的编码。当环境中存在其他移动物体（动态障碍物）或智能体自身任务目标移动时，“幽灵”会更复杂。智能体根据当前时刻的静态SDF过滤了一个动作，但在该动作执行期间，障碍物可能已经移动到了路径上。或者，智能体为了追踪一个移动目标而规划的动作，在目标突然加速变向时，可能导致原动作的终点不再安全。虽然这可以部分归咎于感知更新频率，但更深层的原因是，基于瞬时SDF的过滤机制缺乏对“未来几何关系变化”的显式建模和推理能力。

2.2 从关键词看行业痛点

热搜词Filtering, Agentic, SDF精准地勾勒了这个问题的技术背景。Filtering是手段，SDF是流行且强大的几何工具，而Agentic所代表的智能体范式则是问题爆发的“放大器”。一个被动执行的脚本只需要关心单步安全；而一个主动规划的Agent，其核心价值就在于串联动作以实现长期目标，这正是“幽灵转移”最爱的温床。

网络热词进一步提供了佐证和思路：

• vcs反标sdf只有setuphold但是模型里有hold怎么办：这个来自芯片设计（VCS仿真，SDF时序反标）的问题，虽然领域不同，但核心精神相通——它描述了一种“模型信息”与“约束文件（SDF）”不匹配导致的潜在风险。在我们的语境下，可以类比为“智能体的动力学模型（实际能力）”与“用于过滤的SDF几何约束（安全标准）”之间存在未明言的、动态的耦合关系（如hold time），导致静态检查（setup/hold）无法覆盖所有违规情况。
• 圆柱体的sdf：这是一个具体的SDF实现问题。复杂形状（如圆柱体）的SDF计算可能涉及近似，或者其梯度在某些区域不连续。这些数学上的非理想特性可能在路径积分或梯度引导的规划中引入微小误差，这些误差在时序上累积，可能从量变引发质变，助长“幽灵转移”。
• agentic rag研究方向：这指出了当前的研究前沿。在RAG（检索增强生成）智能体中，“动作”可能是生成一段文本或调用一个工具。这里的“幽灵转移”可能表现为：单个检索或生成步骤看起来合理（符合SDF般的知识或安全规则），但连贯起来的对话或决策流却可能导向荒谬、有害或矛盾的结论。这要求过滤机制具备更强的上下文连贯性审查能力。

3. 构建防御体系：从静态过滤到动态卫士

认识到“幽灵转移”的存在，我们的目标就不是抛弃SDF，而是升级它。我们需要将单步的、静态的几何过滤，扩展为一个考虑时序、状态和动态性的综合安全卫士体系。以下是一套从易到难、层层递进的防御策略。

3.1 基础加固：填补即时漏洞

在现有架构上，我们可以用相对较低的代价实施一些改进，显著缓解第一类“时序盲区”问题。

3.1.1 路径积分与连续碰撞检测（CCD）

对于移动类智能体，绝不能只检查动作终点。必须对动作路径进行采样检查。

• 实现方法：在动作执行的时间区间[t, t+Δt]内，进行离散时间采样，例如t, t+Δt/4, t+Δt/2, t+3Δt/4, t+Δt。在每个采样点，计算智能体关键部位（或包围体）的SDF值。
• 参数选择：采样间隔δt需满足δt < (安全阈值 / 最大线速度)。例如，安全阈值为0.01米，最大线速度为1米/秒，则δt应小于0.01秒。对于旋转运动，需考虑角速度。
• 进阶技巧——保守推进：对于高速运动，离散采样可能漏检。可采用“保守推进”算法，计算智能体在时间区间内扫过的体积（如胶囊体或凸包），并检查该体积的SDF。虽然计算量更大，但能提供严格的安全保证。

3.1.2 引入速度与加速度约束

很多“幽灵”动作源于不合理的运动学状态。在过滤层加入对速度、加速度甚至加加速度（jerk）的限制，可以从源头上减少危险动作的生成。

• 操作：在动作空间或关节空间定义硬性上限。例如，|v| < v_max,|a| < a_max。这不仅符合物理执行器的实际能力，也能避免因速度过快而导致的路径采样漏检问题。
• 与SDF联动：可以设计自适应阈值。当检测到SDF值较小（接近障碍物）时，动态降低允许的最大速度v_max，实现“近障缓行”。

3.2 中级策略：预见未来的危险

针对“状态空间耦合”这类更隐晦的转移，我们需要让智能体具备一定的“前瞻性”。

3.2.1 多步前瞻与滚动时域过滤

这是最直接的扩展。不再只过滤当前动作a_t，而是考虑一个短时域的动作序列[a_t, a_{t+1}, ..., a_{t+H}]。

• 操作流程：
  1. 规划器或策略生成一个候选动作序列。
  2. 使用前向模拟（动力学或运动学），依次执行这些动作，得到一系列未来状态[s_{t+1}, ..., s_{t+H+1}]。
  3. 对这些未来状态进行SDF检查（同样需要路径检查）。
  4. 只有整个序列中所有状态和路径都安全，才允许执行第一个动作a_t。下一个时间步，重新进行滚动规划。
• 代价与折衷：前瞻步长H是关键参数。H越大，预见能力越强，但计算成本呈指数增长。通常H需要至少覆盖智能体的“制动距离”或惯性时间。

3.2.2 构建状态依赖的动作掩码

与其在动作生成后过滤，不如在动作生成前就限制选择范围。我们可以预先计算，在当前状态s_t下，哪些动作是“安全”的。这可以建模为一个状态依赖的动作掩码（Action Mask）。

• 实现思路：对于离散动作空间，可以预先通过采样或分析计算，标记出从s_t出发会导致立即碰撞或进入SDF极小区域（未来危险）的动作，并将其掩码掉。对于连续动作空间，可以学习一个“安全动作边界”函数。
• 与值函数结合：在强化学习中，可以将SDF信息融入价值函数或奖励函数。例如，设计一个势能函数Φ(s) = -log(SDF(s))，当接近障碍物时，势能急剧升高。智能体在训练中就会学会避开导致高势能（即低SDF）的状态序列，从而内化对“幽灵转移”的规避。

3.3 高级架构：迈向上下文感知的过滤

要彻底应对动态环境和复杂耦合，需要系统级的架构思考。这呼应了网络热词中context-aware and semantic-guided adaptive filtering的方向。

3.3.1 分层安全监控体系

不要将所有安全责任都压在底层SDF过滤器上。建立一个分层监控体系：

• 层1（几何层）：基于SDF的瞬时与路径碰撞检测。处理最直接的物理危险。
• 层2（运动层）：监控运动学量（位置、速度、加速度）的轨迹，确保平滑且可控，避免进入奇异点或不可恢复的姿态。
• 层3（任务层）：结合任务上下文进行语义安全判断。例如，对于一个“抓取水杯”的机器人，当检测到水杯是满的且倾斜角度过大时，即使SDF显示抓取路径安全，也应触发警告或调整抓取策略，防止液体溅出。这需要将视觉、力觉等语义信息与几何信息融合。

3.3.2 预测与动态SDF

对于动态障碍物，最根本的解决方案是使用预测信息。

• 动态SDF场：如果能够可靠预测未来几帧内场景中所有物体的运动，就可以为每个未来时间步t+k构建一个对应的SDF场SDF_{t+k}。在进行多步前瞻过滤时，对每个未来状态s_{t+k}，使用对应的SDF_{t+k}进行检查。这是理论上最完备的方案，但对感知预测的准确性要求极高。
• 安全走廊：在时空（x, y, z, t）中规划一条“安全走廊”。这条走廊不仅规定了空间路径，也规定了时间安排（何时到达何处），以避开移动障碍物。SDF在这里扩展为时空中的距离函数。

3.3.3 学习式安全过滤器

当规则变得过于复杂时，可以尝试用学习的方法。训练一个神经网络作为安全过滤器，其输入是当前状态s_t和候选动作序列[a_t, ...]，输出是安全概率。这个网络可以通过在仿真环境中收集大量“安全”和“危险”的（状态，动作序列）数据对来训练，其中“危险”数据要特意包含那些会导致“幽灵转移”的案例。这个学习式过滤器能够捕捉到难以用显式规则描述的复杂时空约束模式。

4. 实操指南：在仿真中复现与诊断“幽灵转移”

理论需要实践验证。下面我将以一个简化的2D移动机器人仿真环境为例，演示如何搭建实验，主动复现“幽灵转移”，并应用上述策略进行防御。我们将使用Python和常见的科学计算库。

4.1 环境搭建与基础SDF过滤

首先，我们创建一个包含障碍物的2D环境，并实现基础SDF计算和单步过滤。

import numpy as np import matplotlib.pyplot as plt from scipy.spatial import KDTree class Simple2DEnv: def __init__(self, width=10, height=10): self.width = width self.height = height # 定义几个圆形障碍物 (x, y, radius) self.obstacles = np.array([ [2, 2, 1.0], [7, 6, 1.5], [5, 8, 0.8] ]) # 生成用于快速查询SDF的采样点网格 self.grid_res = 0.1 x = np.arange(0, width, self.grid_res) y = np.arange(0, height, self.grid_res) xx, yy = np.meshgrid(x, y) grid_points = np.vstack([xx.ravel(), yy.ravel()]).T # 计算每个网格点到最近障碍物表面的距离（SDF） sdf_vals = self._compute_sdf_for_points(grid_points) # 建立KDTree用于快速插值查询任意点的SDF self.sdf_tree = KDTree(grid_points) self.sdf_vals = sdf_vals self.grid_shape = xx.shape def _compute_sdf_for_points(self, points): """计算点到所有障碍物表面的最小有向距离""" # points: (N, 2) sdf_all = np.full(points.shape[0], np.inf) for obs in self.obstacles: center, radius = obs[:2], obs[2] # 点到圆心的距离 dist_to_center = np.linalg.norm(points - center, axis=1) # 点到圆表面的有向距离（外部为正） sdf_obs = dist_to_center - radius # 取所有障碍物中的最小值（最接近的表面） sdf_all = np.minimum(sdf_all, sdf_obs) # 考虑环境边界（视为障碍物） dist_to_left = points[:, 0] dist_to_right = self.width - points[:, 0] dist_to_bottom = points[:, 1] dist_to_top = self.height - points[:, 1] sdf_boundary = np.minimum.reduce([dist_to_left, dist_to_right, dist_to_bottom, dist_to_top]) sdf_all = np.minimum(sdf_all, sdf_boundary) return sdf_all def query_sdf(self, point): """查询任意点的SDF值（通过最近邻插值）""" # point: (2,) _, idx = self.sdf_tree.query(point, k=1) return self.sdf_vals[idx] def is_action_safe_single_step(self, start_pos, action, safety_thresh=0.05): """基础单步过滤：只检查终点""" end_pos = start_pos + action sdf_at_end = self.query_sdf(end_pos) return sdf_at_end > safety_thresh, sdf_at_end # 初始化环境和机器人 env = Simple2DEnv() robot_pos = np.array([1.0, 1.0])

4.2 复现“幽灵转移”场景

现在，我们设计一个场景来展示“时序盲区”型的幽灵转移。

def demonstrate_phantom_transfer(): """演示一个只检查终点会漏检的路径碰撞案例""" start = np.array([1.0, 5.0]) # 设计一个动作：水平向右快速移动，穿过一个障碍物 action = np.array([8.0, 0.0]) # 向右移动8个单位 safety_thresh = 0.05 # 方法1：错误的方法 - 只检查终点 end_pos = start + action is_safe_end, sdf_end = env.is_action_safe_single_step(start, action, safety_thresh) print(f"单步过滤（仅终点）: 安全={is_safe_end}, 终点SDF={sdf_end:.3f}") # 方法2：正确的方法 - 路径采样检查 num_samples = 20 path_positions = np.linspace(start, end_pos, num_samples) path_safe = True min_sdf_on_path = np.inf for pos in path_positions: sdf = env.query_sdf(pos) min_sdf_on_path = min(min_sdf_on_path, sdf) if sdf <= safety_thresh: path_safe = False break print(f"路径采样检查 ({num_samples}个点): 安全={path_safe}, 路径上最小SDF={min_sdf_on_path:.3f}") # 可视化 fig, ax = plt.subplots(1, 2, figsize=(12, 5)) # 子图1：环境与路径 ax[0].set_xlim(0, env.width) ax[0].set_ylim(0, env.height) for obs in env.obstacles: circle = plt.Circle(obs[:2], obs[2], color='red', alpha=0.5) ax[0].add_patch(circle) ax[0].plot([start[0], end_pos[0]], [start[1], end_pos[1]], 'b-o', label='计划路径', markersize=3) ax[0].scatter(*start, c='green', s=100, label='起点') ax[0].scatter(*end_pos, c='blue', s=100, label='终点') ax[0].set_title('场景俯视图') ax[0].legend() ax[0].grid(True) ax[0].set_aspect('equal') # 子图2：路径上的SDF值 distances = np.linspace(0, np.linalg.norm(action), num_samples) sdf_values = [env.query_sdf(p) for p in path_positions] ax[1].plot(distances, sdf_values, 'g-s', label='路径SDF') ax[1].axhline(y=safety_thresh, color='r', linestyle='--', label='安全阈值') ax[1].fill_between(distances, 0, safety_thresh, color='red', alpha=0.2, label='危险区') ax[1].set_xlabel('沿路径距离') ax[1].set_ylabel('SDF值') ax[1].set_title('路径上的SDF变化') ax[1].legend() ax[1].grid(True) plt.tight_layout() plt.show() # 运行演示 demonstrate_phantom_transfer()

运行这段代码，你会清晰地看到一条从起点到终点都在安全区域（SDF>0）的直线路径，在中间段穿过了红色圆形障碍物。单步过滤会错误地放行这个动作，而路径采样检查则会正确地将其拦截。这就是最直观的“幽灵转移”。

4.3 实现多步前瞻过滤

接下来，我们实现一个简单的多步前瞻过滤器，来防御“状态空间耦合”类幽灵。

class MultiStepLookaheadFilter: def __init__(self, env, horizon=3, safety_thresh=0.05): self.env = env self.horizon = horizon # 前瞻步数 self.safety_thresh = safety_thresh def check_action_sequence(self, start_pos, action_sequence): """ 检查一个动作序列的安全性。 action_sequence: list of actions, 每个action是2D向量。 返回: (是否安全, 不安全步的索引, 整个序列中的最小SDF) """ current_pos = start_pos.copy() min_sdf_overall = np.inf for i, action in enumerate(action_sequence): # 1. 检查单步路径安全（采样5个点） num_path_samples = 5 path_pts = np.linspace(current_pos, current_pos + action, num_path_samples) path_safe = True for pt in path_pts: sdf = self.env.query_sdf(pt) min_sdf_overall = min(min_sdf_overall, sdf) if sdf <= self.safety_thresh: return False, i, min_sdf_overall # 在第i步的路径上发生碰撞 # 2. 更新位置，准备检查下一步 current_pos = current_pos + action # 3. 检查新位置的瞬时安全（可选，路径检查已包含终点） sdf_at_new_pos = self.env.query_sdf(current_pos) min_sdf_overall = min(min_sdf_overall, sdf_at_new_pos) if sdf_at_new_pos <= self.safety_thresh: return False, i, min_sdf_overall # 第i步终点不安全 return True, -1, min_sdf_overall # 全部安全 # 测试多步过滤 def test_lookahead_coupling(): """测试状态耦合：第一步安全但导致第二步必然碰撞""" env = Simple2DEnv() filter = MultiStepLookaheadFilter(env, horizon=2) # 场景：机器人起始于一个狭窄通道的入口 start_pos = np.array([4.5, 1.0]) # 动作序列：第一步向上进入通道，第二步向右（但通道很窄，向右会撞墙） action_seq = [ np.array([0.0, 3.0]), # 向上 np.array([2.0, 0.0]) # 向右 ] is_safe, failed_step, min_sdf = filter.check_action_sequence(start_pos, action_seq) print(f"多步前瞻检查 (H={filter.horizon}):") print(f" 整体安全: {is_safe}") if not is_safe: print(f" 在第 {failed_step} 步预测到危险") print(f" 序列中最小SDF: {min_sdf:.3f}") # 对比单步过滤 print("\n对比单步过滤:") for i, action in enumerate(action_seq): safe, sdf = env.is_action_safe_single_step(start_pos, action) print(f" 第{i}步动作（从{start_pos}出发）: 单步安全={safe}, 终点SDF={sdf:.3f}") start_pos = start_pos + action # 模拟执行（仅用于演示单步逻辑） test_lookahead_coupling()

在这个测试中，第一步“向上”移动本身是安全的（终点SDF足够大），但它将机器人带入了一个紧贴右侧墙壁的位置。第二步“向右”移动，单看这个动作从新位置出发也是安全的（因为向右移动的终点可能还在自由空间），但多步前瞻过滤器在模拟执行第一步后，检查第二步的路径时，会发现其起始点已经非常靠近墙壁，向右移动的路径会立即穿越安全阈值，从而提前预警。这就是防御了“状态耦合”型的幽灵转移。

5. 避坑指南与进阶思考

在实际项目中应用上述策略时，会面临许多工程权衡和细节挑战。以下是一些从实践中总结的注意事项和进阶思考。

5.1 性能与完备性的永恒博弈

• 采样密度与计算成本：路径采样和多步前瞻直接增加了计算开销。采样点越多、前瞻步数越长，安全性越好，但实时性越差。实操心得：不要盲目追求高密度采样。对于已知的、运动简单的智能体，可以分析其运动模型，在关键区域（如SDF梯度大的地方）增加采样，在空旷区域减少采样。使用自适应采样策略。
• SDF查询的优化：频繁查询SDF是性能瓶颈。解决方案：
  1. 预计算网格与插值：如示例所示，对于静态环境，预计算一个SDF网格并用KDTree或双线性插值查询，比实时计算解析SDF快几个数量级。
  2. 局部更新：对于动态障碍物，只更新受影响区域的SDF网格。
  3. 使用包围体层次结构（BVH）：对于复杂场景，将SDF查询对象组织成BVH，可以大幅减少不必要的详细计算。
• “安全阈值”的陷阱：safety_thresh这个参数至关重要。设得太大，会过度保守，限制智能体能力；设得太小，在数值误差、控制抖动和模型不准的情况下极易导致碰撞。建议：这个阈值不应是常数，而应根据智能体的速度、质量、控制误差以及SDF计算本身的精度来动态调整。可以设计为threshold = base_thresh + k * velocity。

5.2 处理动态障碍物与不确定性

• 预测的不可靠性：动态SDF或安全走廊依赖于准确的运动预测。预测总有误差。应对策略：采用概率性方法。例如，不是使用一个确定的预测轨迹，而是使用障碍物未来位置的分布（如高斯分布）。然后检查智能体路径与这个分布的重叠概率，将安全标准从“绝对无碰撞”放松为“碰撞概率低于某个可接受阈值”。
• 反应式 vs 规划式：当动态障碍物行为完全不可预测时，过于长远的规划可能失效。这时需要结合反应式的安全机制。例如，在底层控制回路中引入基于实时SDF梯度的排斥力场（人工势场法），作为最后一道即时防线。这相当于一个高频运行的、只关心“下一刻”的过滤层，可以与低频的、负责“未来一段路”的规划层共存。

5.3 从几何到语义：过滤的终极形态

“幽灵转移”的终极解决方案，可能在于跳出纯粹的几何层面。正如热词所提示的，需要context-aware（上下文感知）和semantic-guided（语义引导）。

• 任务语义：一个“将刀尖移向物体”的动作，在“切菜”任务中是安全的，在“与人握手”任务中则是极度危险的。过滤系统需要理解当前的任务上下文。
• 物理语义：SDF只知道距离，不知道材质、摩擦力、稳定性。一个“将重物放在桌子边缘”的动作，几何上安全，但物理上可能导致倾覆。需要结合物理仿真或经验规则。
• 社会语义：对于服务机器人或社交Agent，动作的安全性还包括是否符合社会规范、是否让人感到舒适等。这远远超出了SDF的范畴。

未来的“安全过滤”系统，很可能是一个混合架构：底层是快速、可靠的几何SDF过滤器，处理明确的物理碰撞；中层是考虑动力学和短期预测的轨迹评估器；高层则是一个基于世界模型和任务理解的语义安全推理模块。每一层拦截不同维度的“幽灵”，共同确保智能体在复杂世界中既灵活又可靠地行动。

理解“Filtering Harmful Actions Isn‘t Enough”这一论断，不是要否定过滤的价值，而是要认识到它的边界。通过剖析“Phantom Transfer”这一现象，并系统地构建多层次、有时序考虑、甚至融入语义的防御策略，我们才能让智能体的“自主”真正建立在“安全”的基石之上。这条路没有终点，但每一步深入的思考和实践，都能让我们的系统离真正的可靠更近一步。