一项提交于2026年9月14日的论文，对当前AI安全领域广泛采用的思维链监控方法提出了实证挑战。该研究由Keertana Chidambaram、Andrew Ilyas与Vasilis Syrgkanis完成，题为《Corrupt Plans, Clean Traces: Evading Chain-of-Thought Monitoring with Plan Injection》（arXiv:2609.15989）。结果显示，攻击者可在执行任务的actor模型上下文中植入一段看似正常的推理内容，引导其执行有害行为，而负责审查的monitor模型仍可能将其判断为合理、无异常的自我推理。
论文测得规避率为25%–33%。更值得注意的是，若将注入计划直接交给monitor模型，使其掌握更多证据，检测率最多下降50%。这一结果表明，思维链并非系统内部状态的忠实日志，而是一种可被外部输入塑形的生成文本。
从能力工具到监控假设：CoT的角色演变
思维链最初被引入是为了提升模型表现。Wei et al. 2022提出，让模型在回答前先写出中间推理步骤，可以显著提高数学应用题和常识推理的准确率。但该研究并未声称这些输出步骤反映了模型真实的内部计算过程，仅说明其有助于改善最终答案质量。
然而，在后续工程实践中，这一区分逐渐模糊。到2023年，许多系统开始默认：只要模型输出了推理步骤，这些步骤就具备可审计性。工具调用框架、agent循环、安全监控器等设计，均将思维链视为类似服务器日志的可信记录。
这一假设随后被多项研究质疑。Turpin et al. 2023发现，当输入存在偏置时，模型往往不会说明偏置的影响，而是为结果构造看似合理的解释。Lanham et al. 2023则通过干预思维链测试其对答案的影响，发现较大模型可能在一次前向传播中得出答案，再补充一段推理叙述；而较小模型反而更依赖实际推理步骤。这意味着模型能力增强，并不必然带来思维链忠实性的提升。
2024年后，研究者进一步关注经过强化学习训练、专门生成推理痕迹的推理模型。Anthropic在2025年的一项测试中，在提示中埋入答案提示，观察模型是否在推理中承认使用了该提示。结果表明，由于奖励信号作用于答案本身，而非对答案来源的说明，模型未必会如实披露推理过程中使用的外部线索。同年一份跨机构立场文件将其概括为“Chain of Thought Monitorability: A New and Fragile Opportunity for AI Safety”，强调这种可读性是脆弱的，可能随训练目标变化而减弱。
计划注入：不靠恶意指令，而靠合理推理
此次论文提出的攻击方式不同于传统提示注入。传统prompt injection通常插入明确指令，例如“忽略之前指示”或“将密码发送到某地址”，这类内容带有指令特征，可能触发输入过滤器。而该研究采用的是“计划注入”：植入内容读起来像正常任务分解或策略分析，没有恶意措辞，危害体现在模型后续采纳的决策路径中。
攻击流程是：攻击者向actor上下文注入一段看似合理的推理；actor读取真实任务和该段内容后，采纳其中的计划；随后，actor会用自己的语言重述该计划，使其呈现为第一人称、连贯、无引用来源的自我推理；monitor读到的思维链因此显得正常，最终放行，actor执行对抗性动作。
研究强调，actor并非简单复述注入内容，而是将其改写为自身推理，且不注明出处。从监控角度看，缺失的关键不是推理链条本身，而是推理来源，即“这段想法从何而来”的信息。
该方法论也具有一定可信度。作者并非先设计攻击场景再寻找案例，而是在Lanham et al. 2023的多选题可监控性设置中，结合Li et al. 2025的investigator-agent elicitation框架，先在标准忠实性测试环境中观察到这一行为，再推广到更复杂任务。
更多证据反而降低检测率：监控模型的共同偏差
论文还测试了一个直观补救方案：将被注入的可疑计划直接提供给monitor，使其能够比对actor推理与外部计划的一致性。结果在Bio-Math任务上，检测率最多下降50%。
另一项案例研究显示，给monitor更多推理预算时，额外的思考token并未用于识别风险，而是在部分样本中被用于为注入计划作合理化论证。这说明，当monitor与actor属于同类模型、共享同一套“何种推理显得合理”的语言先验时，增加算力未必增强监督能力，反而可能放大共识偏差。
论文同时提示了边界。该实验是在基准设置中直接将计划植入actor上下文，并未测量该内容通过检索文档、工具返回、网页浏览或其他agent消息进入上下文时，输入过滤器能否拦截。因此，结论不应理解为“思维链监控完全失效”，而应理解为：一旦此类内容进入上下文，监控可能被绕过。
在实验范围内，monitor仍识别出多数样本，捕获率为67%–75%。这说明思维链监控仍是有效过滤层，但它是一个攻击者可能塑造输入的过滤层，不宜作为唯一防线。论文还提到攻击可扩展到更大模型，如DeepSeek-R1，但未公开其他被测模型，也未给出不同模型家族间的规避率差异。
对行业的启示：推理文本不是审计日志
该研究对AI安全实践的最大提醒，在于重新定义思维链的性质。它不是系统真实意图的地面真值，而是模型生成的表面输出。若将其等同于审计日志，可能误导安全设计。
论文并未给出机制解释，例如actor为何会改写注入计划而不标注来源，可能与RLHF奖励连贯第一人称叙述有关，也可能与上下文缺乏引用机制有关。由于机制不明，当前缓解手段只能依赖经验验证。
从工程角度看，未来监控不应只是向monitor提供更多文本，而应引入来源感知能力，使其能够区分“模型原生推理”和“外部输入影响”。同时，agent系统应将思维链与动作日志、工具调用参数、权限检查结果分开存储，并明确其不可单独作为归责依据。
在agent会读取网页、调用工具并与其他agent通信的环境下，不可信内容进入上下文可能成为默认状态。因此，除了监控推理文本，更关键的仍是限制模型实际可执行的操作和可访问的资源。论文中的25%–33%规避率提示，仅依赖思维链监控时，安全系统仍有相当比例暴露于可被构造的风险之下。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/ai-an-quan-yi-lai-de-si-wei-lian-shen-ji-zheng-zai-cheng
