自适应对手下具身与智能体 AI 统计保障的局限

arXiv:2610.18948v1 公告类型：交叉收录 摘要：有限的安全评估无法排除这样一种对手：其在认证前保持未受攻击时的行为，并在认证后启动攻击。我们针对具身 AI 和工具使用型 AI 刻画了这一局限。如果对手在可观测且不可撤销的认证完成之前始终匹配完整的观测分布，并在认证后仍保有干预权限，那么在 $n$ 次试验中，其可使认证后事件的期望发生次数达到 $v\mathbb{E}[(n-S_0)_+]$，其中 $v$ 为干预激活时的事件概率，$S_0$ 为未受攻击时的认证时间。这一结果适用于自适应评估器和采用私有随机化的评估器。对于固定的似然比检验，在干预无记忆、会提高事件发生概率且干预预算不构成约束的条件下，于认证时切换策略是严格最优的。如果干预会提高授权部署期内的事件发生率，那么只要要求无攻击情况下以正概率通过认证，即使将认证推迟至截止时间，最坏情况下的预期超额事件数也必然呈线性增长。在模拟的 RoCo 协作中，切换策略导致认证后的 36 个回合中有 34 个出现指令规定的间距违规。预注册的随机化 AgentDojo 试验估计，每段包含四项任务的后续执行平均新增 1.98 次安全违规（95% 区间为 [1.67, 2.29]）。一个对抗性语言模型控制器从带噪声的评估回执中推断隐藏的认证状态，并据此选择干预时机。在采用永久撤销机制的情况下，混合似然比监控器可在每条样本路径上，将相对于预先指定参考发生率的累计超额事件数限制在平方根量级以内（允许对数因子）。在平稳攻击下，仅使用单一固定备择假设可能容许预期超额事件数呈线性增长。面对能够观测监控器规则及统计量的控制器，实时混合监控将每 24 次获分配任务机会中的违规次数从 12.00 次降至 3.81 次。撤销机制也会减少实际执行的任务数。