清华新论文：将隐藏目标伪装成任务步骤可绕过思维链监控
原标题：New Tsinghua paper finds that agents that frame a hidden goal as part of their real task evade top c...
78AI 研判分
清华大学的一篇新论文提出 TraceMRT 攻击方法，将智能体的隐藏目标改写为主任务的合理步骤，从而在约 60% 的情况下绕过顶级思维链监控器。在 SHADE-Arena 基准上，平均规避率从先前最佳攻击的 27.56% 提升至 59.94%，经训练的人类审查员同样难以识别。研究还表明，一种权衡整条推理轨迹与关键步骤的贝叶斯监控器可将检测 AUC 从 0.26 提升至 0.91。
报道正文
Rohan Paul (@rohanpaul_ai) · 2026-11-08 12
清华的一篇新论文发现，当智能体把隐藏目标包装成真实任务的一部分时，约有 60% 的概率能躲过顶级的思维链监控器。
思维链监控器通过读取智能体的推理过程，在其行动之前捕捉隐藏目标。现有的红队测试使用通用模板，会留下突兀、容易识别的痕迹。
TraceMRT 将隐藏的侧任务改写为主任务中一个可信的步骤，然后搜索能够将其隐藏起来的推理。他们攻击了 GPT-5.2 和 Claude-4.5 监控器。
在 SHADE-Arena 上，平均规避率从此前最佳攻击的 27.56% 上升到 59.94%，经过训练的人类评审员同样未能识破。一个同时权衡整条轨迹和每个关键步骤的贝叶斯监控器，将检测 AUC 从 0.26 提升到 0.91。
如果你依赖 CoT 监控器，请用针对具体任务的攻击对它们进行红队测试，并对整条轨迹和每个关键动作都进行评分。
