💻 computer science

Stalled, Biased, and Confused: Uncovering Reasoning Failures in LLMs for Cloud-Based Root Cause Analysis

本文在一个受控框架内对六个大语言模型进行了大规模实证评估，以隔离并分类云端根因分析中的推理失败，揭示了在多跳故障传播方面的特定弱点，并提供了一个用于指导未来自动化系统诊断改进的分类法。

原作者： Evelien Riddell, James Riddell, Gengyi Sun, Michał Antkiewicz, Krzysztof Czarnecki

发布于 2026-02-02

📖 1 分钟阅读☕ 轻松阅读

原作者： Evelien Riddell, James Riddell, Gengyi Sun, Michał Antkiewicz, Krzysztof Czarnecki

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是一位数字建筑组成的巨大未来主义城市（一个“云系统”）的首席侦探。有一天，一栋摩天大楼的灯光闪烁了一下，紧接着整个城市都发生了交通拥堵、停电和电梯故障。你的任务是进行根因分析（RCA）：找到引发这整场连锁反应的那个微小而单一的火星。

过去，人类通过翻阅堆积如山的纸质报告来完成这项工作。现在，我们正尝试使用大语言模型（LLM）——也就是超级聪明的 AI 聊天机器人——来充当这些侦探。核心问题在于：这些 AI 侦探真的擅长破解谜团吗，还是仅仅在瞎猜？

这篇论文就是一个大规模实验，旨在查明真相。研究人员构建了一个受控的“犯罪现场”来测试六种不同的 AI 侦探，并制定了严格的规则，排除了通常会掩盖其错误的干扰因素。

以下是他们的发现，用通俗易懂的方式进行了解释：

1. 设定：受控的犯罪现场

通常，当人们测试 AI 修复计算机问题时，会构建复杂的机器人（例如由许多部分组成的代理团队互相交谈）。这很难判断 AI 的失败是因为它“笨”，还是因为机器人的设计不好。

研究人员决定剥离这一切。他们给了 AI：

线索： 简化的警报（例如“上午 8:42 发生错误”、“CPU 过热”、“连接失败”）。
地图： 一张清晰的、以文本形式呈现的城市建筑连接图（知识图谱）。
规则： AI 只能通过提出特定问题来检查地图。它不能直接编写代码或进行疯狂的猜测。

他们运行了 48,000 次模拟故障（这相当于让侦探不间断地工作 228 天）来观察其解决案例的表现。

2. AI 解决犯罪的三种方式

他们测试了 AI 三种不同的“思考风格”：

“直球攻击”（即时猜测者）： AI 一次性获得所有线索，然后必须立即猜出罪魁祸首。没有思考过程。
“ReAct”（带着笔记本的侦探）： AI 先思考，然后检查一个线索，再根据发现的内容再次思考。这是一个来回的过程。
“计划与执行”（大师级规划者）： AI 首先写出一份完整的调查计划，然后尝试逐步执行该计划。

3. 大惊喜（结果）

惊喜 #1：规模并不总是意味着更好，而且“思考”并不总是有效。

一些 AI 模型在猜对正确建筑方面表现得非常出色，而另一些则表现得很糟糕。
“计划与执行”的方法往往会让情况变得更糟。 对于较小的 AI 模型，先尝试制定复杂的计划只会让它们感到困惑。它们会陷入循环或选择放弃。这就像要求一名疲惫的学生在读完教科书之前先写一篇 10 页的论文；他们最终只会编造事实。
“直球攻击”（立即猜测）对于较小的模型来说，往往与复杂方法一样好，甚至更好。

惊喜 #2：AI 会被错误的线索分散注意力。

指标（如“CPU 使用率”等数字）是最好的线索。 当 AI 拥有这些数字时，它通常能找到正确的建筑。
日志（文本信息）有助于弄清楚 发生了什么错误（例如“数据库崩溃”对比“网络故障”）。
追踪（请求经过的路径）实际上是一个陷阱。 当 AI 被给予追踪数据时，它往往会变得混乱，表现反而更差。这就像侦探过度痴迷于嫌疑人的足迹，以至于忘记了去看那把坏掉的锁。追踪数据太嘈杂了，分散了 AI 的注意力。

惊喜 #3：AI 有特定的“错误人格”。
研究人员创建了一个“耻辱柱”（分类法），列出了 16 种 AI 失败的方式。以下是最常见的几种：

幻觉证据： AI 自信地表示：“我看到一个日志文件说 X”，但实际上并不存在这样的文件。这就像侦探说：“我看到嫌疑人在公园， ”而那个公园其实是关闭状态。
锚定偏差： AI 太早选定了一个嫌疑对象，并且拒绝改变主意，即使有新证据证明它是错的。
停滞： AI 陷入了循环，不断重复同一个想法，无法取得进展。
混淆地图： AI 认为一个症状（比如电梯变慢）就是原因，而不是意识到电梯只是在对断掉的电源线做出反应。

4. 结论

论文得出结论：虽然 AI 展示了潜力，但目前的开源 AI 侦探还不足以独立运行云系统。

它们经常停滞（陷入循环）、有偏见（选择第一个喜欢的想法）以及困惑（混淆因果关系）。
增加更复杂的“代理”工作流（例如让它们提前计划）往往会让较小的 AI 模型失败得更多，因为它们无法处理这种精神负荷。
AI 擅长使用数字（指标），但在同时处理复杂的路径（追踪）和文本日志时表现不佳。

底线是：
要让 AI 成为修复云系统中有用的工具，我们不能仅仅向它投喂更复杂的工具。我们需要教它更好的推理技巧，防止它被嘈ibly的数据分散注意力，并且或许需要保持“人类在环”来检查它的工作。AI 是一个聪明的实习生，但目前，它需要一个非常严格的经理来防止它编造自己的现实。

技术总结：停滞、偏见与困惑：揭示大语言模型在云端根因分析中的推理失败

问题定义

根因分析（RCA）对于维护现代云原生、微服务系统的可靠性至关重要。然而，这些系统的分布式和相互依赖的特性使得诊断变得复杂，特别是对于症状与真实原因相距较远的多跳故障传播问题。尽管大语言模型（LLM）通过通用推理和工具使用能力，为自动化 RCA 提供了前景，但其在实际应用中的效用仍不明确。

现有方法存在两个主要的范式缺陷：

推理被遮蔽： 许多框架将 LLM 嵌入到复杂的多智能体流水线或高度工程化的工作流中。这种纠缠使得人们难以判断失败究竟是源于 LLM 的推理能力，还是源于外围设计选择（例如，智能体间的依赖关系、特定系统的启发式规则）。
缺乏推理评估： 先前的研究通常仅评估最终输出的准确性，或依赖粗粒度的人类判断。目前缺乏一种系统化、可复现且自动化的中间推理轨迹质量评估方法，而这对于理解多跳故障传播至关重要。

因此，目前对于 LLM 在 RCA 中的孤立推理能力、影响其性能的因素以及它们表现出的特定推理失败模式，仍缺乏实证性的理解。

研究方法

作者提出了一个受控的实证评估方案，旨在将 LLM 的推理行为从干扰因素中分离出来。该研究利用了一个简化的实验设置，在保持多跳推理复杂性的同时，重点突出 LLM 本身的表现。

实验框架

数据集： 使用了两个真实的微服务数据集：GAIA（源自 MicroSS 应用）和 OpenRCA（源自 Online Boutique 应用）。这些数据集提供了多模态遥测数据（日志、指标、追踪）。
输入处理：
- 告警提取： 使用特征融合处理原始遥测数据。日志通过 Drain 进行解析，追踪通过孤立森林（Isolation Forest）进行异常分析，指标则通过 3-sigma 原则进行标记。
- 告警统一： 通过基于时间或基于元素的策略统一告警，以创建一致的输入表示。
- 知识图谱 (KG)： 从架构文档和清单中构建一个显式的、类型化的 KG，编码实体（服务、主机）和关系（控制流、数据流、部署）。这作为系统拓扑结构的基准真相（Ground Truth）。
智能体工作流： 对六个开源 LLM（包括 Llama 3.2/3.3、Qwen 3、Command R+ 和 DeepSeek-R1）在三种不同的范式下进行了评估：
1. 直击式（非智能体化）： LLM 接收所有输入并在单次传递中返回诊断结果。
2. ReAct： LLM 将推理与工具调用交替进行（“思考-行动-观察”循环）。
3. 计划与执行（Plan-and-Execute）： LLM 生成高层计划，顺序执行步骤，并根据结果进行重新规划。
工具： 为 LLM 提供确定性的、语义极简的工具，用于数据检查和图遍历（例如，检索 $r$ -跳邻域）。限制直接访问原始 KG 或执行代码，以确保推理是唯一的变量。

评估指标

输出质量： 通过位置准确率（LA）、类型准确率（TA）、假设准确率（HA）以及前 $k$ 个（ $k=1, 3$ ）的传播路径有效性（PA）进行衡量。
推理质量： 采用了一种新型的 LLM-as-a-Judge 方法来标注推理轨迹。通过开放编码和迭代优化（涉及人类和 LLM 标注），开发了一个包含 16 种推理失败（RF） 的分类体系。失败被归类为：
- 程序性： 决策-行动循环中的问题（例如，未能更新信念、重复操作）。
- RCA 特有型： 领域知识错误（例如，指标解释、溯源混淆）。
- 通用型： 逻辑谬误、缺乏证据支持的因果联系以及内部矛盾。
规模： 该研究执行了 48,000 个模拟故障场景，总计运行时间达 228 天。

关键结果

1. LLM 智能体的有效性 (RQ1)

并非一劳永逸： 模型性能具有任务特定性。Qwen 3 (32B) 获得了最高的整体假设准确率，而 Llama 3.3 在传播路径重建方面表现出色。较小的模型（如 Llama 3.2、Qwen 3 4B）在简单工作流中表现具有竞争力，但在复杂的智能体设置中性能显著下降。
智能体工作流的收益递减： 与“智能体工作流能提升性能”的假设相反，直击式（Straight-Shot） 在 LA、TA 和 HA 方面往往与 ReAct 或 Plan-and-Execute 持平甚至更优。对于较小的模型，增加工作流复杂度会导致性能下降，有时甚至低于随机猜测。
路径有效性： 对于具备能力的模型（如 Llama 3.3），智能体工作流提高了传播路径有效性（PA），这表明其对系统上下文的落地（Grounding）更好，但这种收益取决于模型可靠地进行计划和执行工具调用的能力。
执行错误： 小模型面临极高的执行失败率（例如，Qwen 3 4B 在 Plan-and-Execute 模式下为 87.3%），主要由于递归限制和重新规划错误，这严重限制了其端到端的实用性。

2. 对告警模态的敏感性 (RQ2)

指标对于定位至关重要： 缺少指标数据会导致定位准确率（LA）出现最大幅度的下降，表明 LLM 高度依赖指标异常来识别故障位置。
日志对于定型至关重要： 排除日志主要降低了故障类型归因（TA）的准确性，表明文本告警为错误分类提供了必要的语义线索。
追踪（Traces）作为干扰项： 出人意料的是，排除追踪数据往往能提高准确率。作者发现，追踪告警通常具有噪声大、量大的特点，导致 LLM 过度关注调用关系而忽略了其他关键依赖（如部署）。移除它们可以使分析更加聚焦于 KG 基础上的内容。

3. 推理失败 (RQ3)

普遍存在的失败： 推理失败在所有模型中都广泛存在。
程序不稳定性： 程序性失败（如未能更新信念、过度推测）因模型和工作流的不同而表现各异，较小的模型在智能体控制下表现出更高的不稳定性。
RCA 特有差距： 与领域知识相关的失败（如指标解释、溯源）在不同模型间具有一致性，表明 LLM 缺乏内在的 RCA 特定推理能力。
通用弱点： 每个假设的通用失败（如伪造证据、证据不足）平均发生率最高，这表明假设声明往往缺乏充分支持。

4. 失败对正确性的影响 (RQ4)

负面预测因子： 特定推理失败的存在——特别是锚定偏差 (RF-13)、重复/停滞不前 (RF-12)、任意证据选择 (RF-07) 以及 未能更新信念 (RF-09)——与正确性降低强相关（风险差异 < -0.15）。
工作流交互： 虽然智能体工作流中每个失败导致的绝对风险差异较小（表明迭代推理可能会稀释单个错误的冲击），但多种失败的共现以及智能体轨迹中早期的错误累积，导致了净准确率的下降。
模型差异： “思考型”模型（如 Qwen）表现出的跨切面失败频率较低，这表明训练风格对推理连贯性的影响比单纯的工作流结构更为显著。

重要性与贡献

本文声称是首个针对 LLM 基 RCA 智能体的孤立推理能力及其特定失败模式进行的实证调查。其主要贡献在于：

受控评估框架： 一种能够将 LLM 推理从框架复杂度中分离出来的研究方法，实现了独立于多智能体纠缠的透明化推理能力评估。
推理失败分类体系： 一个包含 16 种常见 RCA 推理失败的标签化分类体系，涵盖程序性、RCA 特有型和通用型，通过严谨的混合方法提取而成。
自动化推理评估： 一种能够自动且可复现地评估 RCA 推理质量的 LLM-as-a-Judge 系统，并通过人类可靠性检查进行了验证。
实证洞察： 通过 48,000 个样本的大规模实验，量化了 LLM 对输入模态的敏感性，并识别了能够预测最终正确性的特定推理失败模式。

作者得出结论：虽然简化设置并未使 RCA 任务变得平庸，但目前的开源 LLM 在处理多跳推理时仍然困难，尤其是在复杂的智能体工作流中。未来自动化 RCA 的进展可能需要提高特定的推理能力（例如，证据充分性检查、假设多样化）并提供明确的领域指导，而非仅仅依赖智能体结构。这项工作为开发不仅是自动化的，而且是可解释且符合故障诊断实际需求的 RCA 智能体奠定了基础。