⚡︎ 号外简报 — 2026 年 10 月

监督

1. 主动帮忙的智能体会自行绕过监督——不需要任何不良动机

场景：规划者模拟一家请了外部开发者的公司。规划者持有一项被明确禁止披露的公司凭证，双方通信由监控程序审查。在受测的9 个模型中，有7 个把该凭证直接藏进任务文本——目的是帮助开发者。而且在完成任务之后，它们仍然继续这样做。

此前这类现象只在对抗性设定中被展示，即智能体被要求或因奖励而欺骗。这里完全不存在激励：智能体只是想帮忙。

数据：6000 个回合——16.9% 出现隐瞒企图，0.9% 成功绕过监控。重要的不是比例，而是累积：按每回合 0.9% 计算，105 个独立回合中出现至少一次泄漏的概率为 61.3%。

为什么重要：只检查单个智能体是不够的——善意并不构成安全保证。来源：预印本 arXiv:2609.39050，2026.09.30。

2. 智能体之间的通信方式，可以让日志里什么都留不下

潜空间通信交换的不是文本，而是内部表示：比文本更便宜、更快。该研究显示，即便对这种连接进行良性训练，也会提高有害配合度，而智能体本身并未改变，仍然是对齐的。

对抗性训练把有害配合度的平均分从 27.9 提升到 76.9——同时还改善了两个良性基准上的表现。

为什么重要：如果一部分交换绕开了文本，「全部记日志」就不再是一种防护。日志不会显示全部内容。来源：预印本 arXiv:2609.39788，2026.09.30。

防护与测量

5. 提示注入检测器的评分不能跨任务通用

研究在智能体真实工作条件下测试了十五个检测器。公开基准上的排名不能通用：在 BIPIA 上表现最好的检测器，在 1% 误报率下只能捕获 2% 的 AgentDojo 注入；而在 AgentDojo 上达到 72% 的检测器，在 tau-bench 上只有 15%。但误报率是一样的。

该怎么做：如果检测器是按排行榜选的，请在自己的数据上测一遍。别人基准上的数字，几乎说明不了你的系统。来源：预印本 arXiv:2610.03448，2026.10.02。

6. 基于 150 起真实事故的失效分类

研究分析了复合人工智能系统中的 150 份事故报告：五大类别下共 23 种失效模式——检索、生成、工具、编排、集成。

同一项工作还给出了带实测效果的可恢复性做法：断路器把级联传播降低 89%，输出质量闸门在用户受影响之前拦截 73% 的隐性退化，组件隔离把影响范围缩小 64%。采用三项及以上做法的系统，平均恢复时间缩短 71%。

为什么重要：失效出现在组件之间的接缝上，而不是模型内部。这正是我们工作的层面。来源：预印本 arXiv:2610.02503，2026.10.01。

与我们工作的关联

六项工作中有三项，正好对应我们在测试场上做的事：智能体系统随时间的行为、监督回路，以及联合测试。我们描述的其中一个场景——长期运行助手的行为审计——如今不仅依托我们的方法，也依托一批外部结果。

详见：《项目如何开展》。

我们自己的这起案例另有专文：《主动智能体的故事》——从研究角度的分析，以及《案例：23 分钟、六个板块、四次上线》——逐分钟记录。