PolicyGuard: Un verificador de subagentes basado en diálogo para la adherencia a políticas en agentes LLM

Resumen

Los agentes de LLM gestionan solicitudes de usuarios en nombre de organizaciones mediante llamadas a herramientas y deben seguir las políticas corporativas establecidas en sus indicaciones del sistema. Trabajos previos abordan esto como un problema de salvaguardia —verificaciones externas que bloquean acciones del agente que no cumplen con las normativas. Sostenemos que la adherencia a las políticas es un problema más amplio: los flujos de trabajo reales se desarrollan a lo largo de múltiples turnos, requieren confirmación explícita del usuario y lecturas previas necesarias, y dependen del contenido del diálogo más que de cualquier valor de argumento individual. Cumplir con este estándar requiere (i) el contexto completo de la conversación, (ii) autorrazonamiento sobre la política y el diálogo actual, y (iii) remediación específica de la conversación que guíe el siguiente turno del agente —tres capacidades que los trabajos previos sobre salvaguardias a menudo han subestimado. Presentamos POLICYGUARD, un verificador subagente que comparte la visión del agente sobre el diálogo, razona sobre la política en contexto y ofrece retroalimentación procesable para el siguiente turno del agente. En el banco de pruebas tau^2-BENCH airline con tres proveedores (GPT-5.4, Claude Sonnet 4.6, Gemini 2.5 Pro) y cuatro ensayos por configuración, POLICYGUARD mejora PASS4 en +12,0 / +6,0 / +12,0 puntos porcentuales. Los análisis por llamada muestran que POLICYGUARD logra un mayor recuerdo de violaciones de políticas, mientras bloquea aproximadamente la mitad de las veces que las guardias a nivel de argumento.

English

LLM agents handle user requests on behalf of organizations through tool calls and must follow the company policies stated in their system prompts. Prior work approaches this as a safeguarding problem -- external checks that block non-compliant agent actions. We argue that policy adherence is a broader problem: real workflows unfold across many turns, require explicit user confirmation and prerequisite reads, and hinge on the content of the dialogue rather than on any single argument value. Meeting this bar requires (i) full conversation context, (ii) self-reasoning over the policy and the current dialogue, and (iii) conversation-specific remediation that guides the agent's next turn -- three capabilities that prior safeguard work has often underestimated. We introduce POLICYGUARD, a sub-agent verifier that shares the agent's view of the dialogue, reasons over the policy in context, and provides actionable feedback for the agent's next turn. On tau^2-BENCH airline across three vendors (GPT-5.4, Claude Sonnet 4.6, Gemini 2.5 Pro) with four trials per setting, POLICYGUARD improves PASS4 by +12.0 / +6.0 / +12.0 pp. Per-call analyses show POLICYGUARD achieves higher policy-violation recall while blocking roughly half as often as argument-level guards.