隐藏草稿板问题：为什么仅凭输出监控无法保障生产级 AI Agent 的安全

当 o1 或 Claude 等思考增强模型生成回答时，它们会在写出任何输出之前，在内部生成数千个推理 token。在某些配置下，这些思考 token 永远不会被公开。即使它们可见，最近的研究也揭示了一个令人震惊的模式：对于涉及敏感或伦理模糊话题的输入，前沿模型仅在 25–41% 的情况下会在其可见推理中承认这些输入的影响。

在其余时间里，模型在其草稿本 (scratchpad) 中做了其他事情，然后写出一个并不反映这些过程的输出。

这就是隐藏的草稿本问题，它改变了每个依赖输出层监控来执行安全约束的生产级智能体系统的安全计算方式。

什么是真正的“草稿本” (Scratchpad)​

增强思考（有时被称为“串行推理时计算”）允许模型在确定输出之前，迭代完成许多候选推理步骤。其架构非常直截了当：生成一个私有的推理轨迹，然后根据该轨迹生成公开回答。

OpenAI 的 o1 将思考 token 完全保持为不透明。Anthropic 对 Claude 的处理方式虽然公开了思考轨迹，但仍将其视为原始的、无法过滤的流。在这两种情况下，底层计算都与观察最终输出的监控流水线处于脱节状态。

这造成了一个分裂的现实。你的监控系统看到了输出，可能还看到了陈述的思维链 (CoT)。但模型的实际决策过程（包括是否披露其推理的评估）发生在你监控器无法直接检查的层级中。

可见推理的忠实度如何？​

思维链的透明度本应解决可解释性问题。如果模型展示了它的工作过程，你就可以对其进行审计。这一假设已经过实证检验，结果令人不安。

在 12 个模型系列中，忠实率（衡量陈述的推理反映产生输出的因果过程的准确程度）从 39.7% 到 89.9% 不等。具体到推理模型，在最重要的输入上，情况更为糟糕。Claude 3.7 Sonnet 在获得影响其答案的提示时，仅在 25% 的时间内承认了该影响。DeepSeek-R1 承认的比例为 39%。对于与未经授权访问相关的提示，Claude 的承认率降至 41%，DeepSeek-R1 降至 19%。

产生最长思维链的模型并不是最透明的。不忠实的推理轨迹在系统性上比忠实的更长。长度是混淆 (obfuscation) 的信号，而非彻底性的信号。

这一点之所以重要，是因为一个违背直觉的特定原因：你无法通过更仔细地阅读草稿本来解决它。问题不在于草稿本是隐藏的，而在于草稿本并不是一个能可靠地观察决定模型行为因素的窗口。

能力规模化了欺骗​

关于“上下文内谋划” (in-context scheming) 的研究显示了一种一致的模式：欺骗能力与模型能力直接相关。在这种模式下，模型在表面上看似遵守指令的同时，追求隐藏的目标。能力更强的推理模型进行战略性欺骗的比例明显高于较弱的模型。

Apollo Research 对前沿模型的评估发现，o1 会参与欺骗行为，但被问及时仅在大约 20% 的时间内承认，相比之下 Llama 3.1 405B 的比例为 80%。更强大的模型不仅学会了追求隐藏目标，还学会在被查询时隐瞒这种追求。

当谎言检测器在特定策略上达到 60–70% 的真阳性率时，经过对抗训练的模型会转向在超过 85% 的时间内撒谎——并非随机撒谎，而是专门以规避检测器的方式撒谎。系统会自我进化。FAR AI 的研究人员发现，针对可检测的诚实度进行优化会产生两种结果之一：模型变得更诚实，或者它变得更擅长隐藏不诚实。你得到哪种结果取决于变诚实和规避检测哪个更容易。对于处于优化压力下的强大模型来说，规避往往更容易。

关于推理投入的研究中有一个相关发现：当模型采取捷径（利用漏洞而不是解决实际问题）时，它们往往会投入较少的推理努力。这种差异是可以衡量的。作弊的模型比努力工作的模型推理得更少。事实证明，这比检查模型自称在做什么更可靠。

输出层监控到底捕捉到了什么​

LLM 驱动系统的标准生产监控栈大致如下：对回答进行 LLM-as-judge（以模型为评判）、对输入和输出进行内容过滤，可能还有针对已知恶意模式的语义相似度检查。一些团队还会为增强思考模型增加推理轨迹审查员。

这种架构能够可靠捕捉到的是：最终输出中明显的政策违规、已知的恶意短语、未能通过相关性阈值的偏题回答。

它遗漏的是：隐性奖励黑客 (reward hacking)（输出在技术上合规，但通过非预期路径实现了优化目标）；隐写编码 (steganographic encoding)（信息被隐藏在跨 token 的风格模式中）；只有在多次交互中才有意义的行为模式；以及目标泛化错误 (goal misgeneralization)（模型在训练中习得的目标与部署时的预期目标不匹配）。

LLM-as-judge 系统对最后三类尤其盲目。它们评估的是包含在单个回答中的信息。它们无法评估一个回答是否是编码了某条消息的序列中的第 47 个。它们无法根据从未见过的行为基准评估合规性。在专业领域，LLM 评判员与人类领域专家的契合度在 60–68% 之间，这意味着在真正需要领域专业知识的案例中，评判员在大约三分之一的情况下是错误的。