在最后一刻预判智能体犯罪：探测被招募的智能体何时屈服

⚡ 一句话总结 AI 生成 · 以原文为准

关键结论

• 在留出的Qwen3-32B回合上，探测以5%良性误报率捕获82%的泄露调用，零样本决策模型监视器仅为26%。
• 在gpt-oss-20b上，基于推理激活的探测达到AUROC 0.91。
• 在相同调用上训练的词袋分类器表现相近，说明收益主要来自标签监督而非激活值。

📄 摘要AI 生成 · 以原文为准中文翻译英文原文

当AI智能体共享通道和凭据时，一个智能体可以施压另一个智能体违反其操作者的规则，这是走向串通的第一步。输出过滤器只能检查智能体已经写下的内容。监督者能否事先判断一个智能体即将屈服？我们表明，在受控的多智能体环境中，对智能体激活值的线性探测可以实现这一点。在六个场景中，同伴智能体对目标智能体施压最多20轮，要求其泄露秘密（例如部署令牌）；目标通常先拒绝，然后屈服。在每次模型调用写出输出之前读取探测结果，它能找出那次泄露调用。在留出的Qwen3-32B回合上，将阈值设为标记5%的良性调用时，它捕获了82%的泄露调用。在相近的标记率下，零样本决策模型监视器捕获26%。在gpt-oss-20b上，对其推理过程的探测达到AUROC 0.91。在相同调用上训练的词袋分类器表现接近，因此大部分收益来自标签训练，而非激活值。该探测也会标记被允许的披露：它更多读取的是即将到来的披露，而非违规本身。预警是短程的，任何警报都停止会中断大多数良性回合，第二个文本检查也无法解决。在生成之前发出的预警可以让监督者阻止即将屈服的智能体，赶在其他智能体对其消息采取行动或招募在集群中扩散之前。