一句话定义：GHOST 指长时智能体（long-horizon agent）的一种治理盲区——原本明确的安全约束，在几十上百轮的连续任务中被逐轮稀释，每一轮单看都不算违规，累积起来却已经越界，而现有的审查机制和日志几乎抓不到。
它是怎么发生的。设想你让智能体代管邮件，规则是"不得向外部地址发送客户数据"。第一轮它很老实。到第二十轮，上下文里塞满了历史对话、工具返回、中间摘要，你最初的约束要么被压缩成一句模糊的"注意合规"，要么早被挤出窗口。同时任务本身在往前走："对方说急用""这只是内部转发"——每个局部判断都说得通，于是它发了。不是模型突然变坏，而是约束在长程里失去了强制力。
打个比方：公司规定单笔报销超五千要审批，有人把它拆成十笔四千九，每笔都合规，加起来四万九。财务按单笔查，永远查不出问题。这就是跨轮治理的盲区，也贴合"幽灵"这个名字——它在任何一轮的日志里都不留痕迹。
和相邻概念的区别：
关键差异在前几类通常有"坏人"或明确的目标偏移；GHOST 更像长任务中的自然衰减，责任被摊薄到每一轮，反而没人负责。
识别与缓解。核心思路是把约束从"上下文里的自然语言"挪到"上下文之外的强制机制"：
- 约束外置：安全策略放在独立的策略引擎或工具调用层，每轮强制生效，不指望模型自己记住。
- 约束台账：维护一份不被对话压缩覆盖的约束清单，作为摘要时必须保留的字段。
- 跨轮聚合审计：对累积量设阈值——发送次数、外发对象数、金额、权限升级次数，而不是只看单次。
- 轨迹级复查：抽查完整任务链，而不是逐轮打分；单轮全绿不等于整条链没事。
- 高风险动作卡死：不可撤销的操作（发信、付款、删数据）设人在环确认，权限最小化。
对职场人来说，落地建议很朴素：把关键约束写进系统的硬规则里，而不是只交代智能体"记住"，并定期回看它整条任务到底做了什么。至于相关研究对 GHOST 的精确定义与评测设置，以论文原文或其官方页面为准。