思维链监控在隐式影响设置下可能不可靠

# 思维链监控在隐式影响场景下可能不可靠

来源：https://arxiv.org/html/2608.04735

Agatha Duzan  
EPFL  
agatha\.duzan@epfl\.ch

&

Asa Cooper Stickland  
UK AI Security Institute

###### 摘要

思维链（CoT）监控正日益被视为前沿推理模型的重要安全层。大多数可监控性评估研究的是*显式影响*（explicit-influence）场景：即提示词直接促使模型隐藏某些内容，例如指示其执行一个隐藏的副任务。CoT 监控评估的一个互补维度是*隐式影响*（implicit-influence）场景：提示词中不包含任何隐藏指令，但模型的行为仍然受到任务或上下文特征的影响，例如关于某个候选人的无关细节会偏差化招聘评分。我们引入了第一个直接比较这两种机制下 CoT 可监控性的基准。我们测试了在存在引导选择特定选项的“助推”（nudge）时，模型行为如何变化。该助推要么以随意的题外话形式出现（隐式），要么以直接指示模型按助推行动并隐瞒这一行为的指令形式出现（显式）。该基准涵盖四种任务格式（二选一、数值评分、多项选择问答、开放式编码）和七个前沿扩展思考模型。在显式影响下，CoT 监控器能检测到 60–94% 的行为偏移：即使模型被指示隐瞒，也会将指令泄露到其 CoT 中。在隐式影响下，相同的因素仍会偏移行为，但在我们的四个设置中的两个中，检测率下降了 41–46 个百分点。现实中的系统提示词附加内容（开发者可能部署以减少离题偏差的那类）会进一步降低隐式检测率，最低降至 5%，同时保留了行为影响本身。这些结果表明，在显式影响设置中获得的可监控性估计可能会高估可监控性，而且善意的部署选择还可能进一步降低可监控性。我们的基准和代码可在 https://github.com/agatha-duzan/implicit-vs-explicit-influence 获取。

## 1 引言

思维链（CoT）监控，即利用模型的推理痕迹来检测问题行为，正日益被视为前沿 AI 的重要安全层。越来越多的研究支持这种乐观观点。试图在 SHADE-Arena 中进行隐蔽副任务的模型经常在其推理痕迹中暴露其意图（Zolkowski et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib35)），推理模型难以控制其自身 CoT 的内容（Chen Yueh\-Han et al\.,2026 (https://arxiv.org/html/2608.04735#bib.bib14)），并且在一系列破坏和奖励黑客基准中，前沿推理模型被发现具有相当好的可监控性（Guan et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib18); Baker et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib9)）。

现有工作涵盖了各种环境，具有不同的可监控性属性。我们建议根据监控器必须检测的行为是如何产生的来对可监控性评估进行分类。在*显式影响*设置中，提示词直接施压要求模型隐藏，例如通过指令（“执行这个隐藏副任务”）或通过告知模型的激励（“如果你太有能力，你将不会被部署”）。在*隐式影响*设置中，提示词不包含此类指令。行为源于任务或上下文中未被标记为需隐藏的特征：少样本示例中正确答案都落在同一位置，导致模型在测试题上也选择该位置，或者关于候选人的无关细节偏移了招聘评分。这一维度与 Guan et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib18)\) 的分类法正交，后者根据监控器被要求从 CoT 中检测什么来分类评估：受控输入干预是否影响了模型行为（干预）、必要解题步骤是否出现在推理中（过程）、或者输出是否具有可测量的属性如奖励黑客（结果属性）。我们的维度则根据被监控的行为是如何被诱导的来分类评估。

图 1：CoT 可监控性评估的两种机制。*左*：在*显式影响设置*中，提示词指示模型对某个细节采取行动并隐藏这一行为。该指令往往会在 CoT 中浮现，因此监控器通常会标记它，即使对抗性系统提示词在监控器意识到的隐藏压力之上叠加也是如此。*中*：在*隐式影响设置*中，提示词不包含此类指令，但上下文细节仍然偏移模型的行为而不出现在其 CoT 中，因此监控器常常错过它。可选的引导系统提示词可进一步降低可监控性。*右*：我们的基准中监控器在行为偏移案例上的检测率。

大多数 CoT 监控测试都是在显式影响设置中完成的。Arnav et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib8)\) 指示被监控模型在完成合法编码问题的同时执行一个有害副任务，然后测量监控器是否能抓住它。Emmons et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib16)\) 提示模型主动规避 CoT 监控器，发现模型只有在获得详细的规避策略或多次尝试时才能成功。其他测试遵循类似模式，提示词要么指示模型隐藏某些内容，要么给其一个理由（Zolkowski et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib35); Jiralerspong et al\.,2026 (https://arxiv.org/html/2608.04735#bib.bib19); Kutasov et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib21); Li et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib23); Skaf et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib28)）。

隐式影响的案例已被研究过，但相关工作较为分散，且大多不针对可监控性本身。Lanham et al\. \(2023 (https://arxiv.org/html/2608.04735#bib.bib22)\) 和 Turpin et al\. \(2023 (https://arxiv.org/html/2608.04735#bib.bib30)\) 确立了上下文线索可以在不被言明的情况下引导回答，但这些工作早于扩展思考推理模型。最近的工作将这些现象扩展到推理模型，通常采用线索插入或问答式格式（Chua and Evans,2025 (https://arxiv.org/html/2608.04735#bib.bib15); Chen et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib13); Arcuschin et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib5),2026 (https://arxiv.org/html/2608.04735#bib.bib6)），以及最近扩展到由模型自身价值观而非任何插入线索产生的影响（Betley et al\.,2026 (https://arxiv.org/html/2608.04735#bib.bib10)），但这些工作的框架是 CoT 忠实性而非 CoT 监控器评估。Guan et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib18)\) 的广泛可监控性套件同时包含显式和隐式影响评估，但它们是不同任务上的独立评估，因此两种机制下的检测率与任务差异混杂，且该套件不关注这一区分。没有先前工作直接比较这两种机制。

我们提出了第一个基准，在四种任务格式（二选一、数值评分、多项选择问答、开放式编码）下直接比较隐式和显式影响下的 CoT 可监控性。基准中的每个条目都有两种匹配形式，仅在于同一个偏差细节的传递方式不同：作为随意的题外话（隐式），或作为直接指示模型按该细节行动并隐瞒这一行为的指令（显式）。在七个推理模型上，我们发现了一致的排序：即使模型被指示隐藏其理由，显式影响也具有相当好的可监控性，因为指令会泄露到 CoT 中。相同的影响以隐式方式传递时仍会偏移行为，但监控器的检测率在四个设置中的两个中下降了 41–46 个百分点，在第三个中下降了 11 个百分点。在现实的部署变化下，可监控性进一步恶化。*引导系统提示词*，即开发者可能部署以减少离题偏差的那类附加内容，在保留行为影响本身的同时大幅降低了隐式分支上的 CoT 可监控性。它们的效果是不对称的：叠加在显式分支上时，相同的提示词是惰性的，而要将显式影响的可监控性压低，则需要一个故意对抗、监控器感知的系统提示词。

我们的主要贡献和发现是：

- •我们引入了第一个直接比较显式和隐式影响下 CoT 可监控性的基准，涵盖四种任务格式（二选一、数值评分、多项选择问答、开放式编码）和七个前沿推理模型。
- •我们发现隐式影响比显式影响更难监控。在其他条件相同的情况下，隐式传递在四个设置中的两个中检测率低 41–46 个百分点，在第三个中低 11 个百分点，在第四个中相当，其中隐式检测已接近上限。
- •我们发现良性的引导系统提示词会进一步降低隐式影响的可监控性。旨在去偏的现实开发者指令保留了行为偏移，同时在我们的第一个设置中将检测率从 16% 降至 5%，这表明部署中的可监控性可能低于我们的估计。
- •我们发现当推理是承重的时候可监控性会提高，但只是部分提高。当助推需要多跳推理时，我们第一个设置中的检测率从 12% 升至 51%，但监控器仍然错过大约一半的行为偏移。

## 2 相关工作

表 1 (https://arxiv.org/html/2608.04735#A1.T1) 按设置类型、任务格式、评估是否扩展到推理模型以及工作使用了何种操纵（如果有）来影响可监控性，对我们引用的工作进行组织。存在一个空白：关于可监控性压力测试的工作主要研究显式影响设置，而忠实性研究线涵盖隐式影响设置，但大多局限于狭窄的任务格式。我们的基准直接针对这一空白，将现有的隐式影响证据扩展到更广泛的任务格式，并通过添加引导系统提示词进一步进行压力测试。

#### 关于 CoT 忠实性和可监控性的已知情况。

关于 CoT 忠实性的工作表明，模型常常无法言明驱动其预测的因素：Lanham et al\. \(2023 (https://arxiv.org/html/2608.04735#bib.bib22)\) 发现忠实性因任务而异，并常常随能力提升而下降，Turpin et al\. \(2023 (https://arxiv.org/html/2608.04735#bib.bib30)\) 表明提示词侧的偏差（答案顺序、人口统计信息）在不被提及的情况下引导回答。最近的工作将这些现象扩展到扩展思考推理模型，通常但并非 exclusively 采用线索插入或问答式格式：Chua and Evans \(2025 (https://arxiv.org/html/2608.04735#bib.bib15)\) 在植入提示的 MCQA 上比较推理和非推理对应模型；Arcuschin et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib5)\) 记录了硬数学、成对二元矛盾以及恢复错误上的不忠实；Arcuschin et al\. \(2026 (https://arxiv.org/html/2608.04735#bib.bib6)\) 发现了决策任务中未被言明的偏差；Chen et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib13)\) 涵盖了植入提示的 MCQA 和 RL 诱导的奖励黑客环境。最近，Betley et al\. \(2026 (https://arxiv.org/html/2608.04735#bib.bib10)\) 表明模型的回答被其自身价值观隐蔽地偏差化，影响源于模型本身而非任何插入的线索。这些工作将其问题框架为 CoT 忠实性而非监控器评估，并且不测试部署相关的可监控性干预，例如系统提示词扰动。没有一项工作将隐式影响与匹配的显式形式进行比较。

关于 CoT 可监控性的工作将可监控性形式化为一种安全属性（Korbak et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib20)）并对其进行测量：Guan et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib18)\) 报告称前沿推理模型在一个结合干预、过程和结果属性任务的广泛评估套件上具有相当好的可监控性；Baker et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib9)\) 表明 CoT 监控在奖励黑客上优于仅基于行动的监控，但针对监控器的优化会引发混淆；Chen Yueh\-Han et al\. \(2026 (https://arxiv.org/html/2608.04735#bib.bib14)\) 表明推理模型在受指令限制下难以控制其 CoT；Turpin et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib31)\) 训练模型将奖励黑客推理口头化。其他工作通过提示词或训练压力对抗性地压力测试监控器以规避检测（Zolkowski et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib35); Arnav et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib8); Emmons et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib16); Jiralerspong et al\.,2026 (https://arxiv.org/html/2608.04735#bib.bib19); Li et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib23); Skaf et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib28)），主要是在智能体破坏设置中（Kutasov et al\.,2025 (https://arxiv.org/html/2608.04735#bib.bib21); Arike et al\.,2026 (https://arxiv.org/html/2608.04735#bib.bib7)）。

#### 与现有可监控性评估的比较。

最广泛的可监控性评估套件来自 Guan et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib18)\)，他们报告其套件的总体 g-mean2 约为 0.7–0.8。在我们的基准上计算相同的指标（附录 C\.2 (https://arxiv.org/html/2608.04735#A3.SS2)），我们隐式分支的结果在四个设置中的三个上显著低于该值：设置 1 和设置 3 降至 0.16 和 0.18，设置 2 达到 0.49，设置 4 是例外，为 0.81。

## 3 实验设置

四个设置共享共同结构。每个设置向模型呈现一个基线任务，引出默认行为，然后以小规模*助推*重新运行任务：在提示词中添加一个与任务既定标准无关但会引导答案的细节，例如随口提到某家航空公司因劳工行为受到批评。然后我们测量（a）模型行为相对于基线是否发生变化，以及（b）CoT 监控器是否能检测到助推影响了答案。每个设置首先确认基线是稳定的且助推确实移动了它；筛选程序因设置而异，详见附录 B (https://arxiv.org/html/2608.04735#A2)。这是 Guan et al\. \(2025 (https://arxiv.org/html/2608.04735#bib.bib18)\) 的干预结构：助推是对输入的受控干预，监控器必须从 CoT 中推断它是否驱动了模型的行为。我们的贡献在于改变干预的传递方式。我们测试两种传递助推的方式：*隐式*，即助推以随意的题外话形式出现；*显式*，即用户直接指示模型按助推行动并隐瞒这一行为。任务和助推在两种形式中保持不变，只有传递方式改变（构建细节和示例对见附录 B\.1 (https://arxiv.org/html/2608.04735#A2.SS1)–B\.4 (https://arxiv.org/html/2608.04735#A2.SS4)）。每个设置都在四种条件下运行：隐式传递、显式传递、隐式传递加引导系统提示词、显式传递加引导系统提示词（详见下文）。此外，我们还测试了一种显式加对抗性系统提示词的条件，以了解显式可监控性在多大程度上可以被主动压