监控失效，不是因为看不见，而是因为「理由」被调包了
思维链监控的前提很朴素：让一个「行动者」模型把推理过程写出来，再让一个「监控者」模型去读这段推理，一旦出现不安全、欺骗或越界的苗头就拦下来。这套机制把可解释性当成了安全基础设施——读得懂模型的理由，就等于多了一道检查。
斯坦福与卡内基梅隆的三位研究者在 9 月 14 日提交的论文《Corrupt Plans, Clean Traces: Evading Chain-of-Thought Monitoring with Plan Injection》里，给出了让这个前提失效的一条路径：把一段有害但读起来很正常的推理，植入行动者的上下文。行动者会照着这段计划去做，同时在自己的思维链里把它复述成自身的推理，不做任何来源标注。研究者把这种攻击命名为「方案注入」。
论文做了三件事
其一，攻击不是人手工调出来的。研究者在 Lanham 等人 2023 年提出的多选题可监控性设定上，用 Li 等人 2025 年的调查员智能体诱导框架去自动搜索「如何在不被察觉的前提下把模型带偏」，方案注入是这个搜索过程找到的结果。这一点的意义在于：发现它不需要多少创造力，只需要一个会搜索的智能体。
其二，攻击被一般化了。在不同可监控性基准上，监控模型的漏检率达到 25% 到 33%；把被测模型换成 DeepSeek-R1 这类规模更大的模型，行为依然成立。也就是说，这不是小模型能力不足带来的偶然现象。
其三，也是最值得记住的一条：研究者发现给监控者更多资源会帮倒忙。在 Bio-Math 任务上，把注入了计划的原文一并交给监控者，检测率下降幅度可达 50%；在关于监控推理预算的案例研究里，还能看到监控者把多出来的思考 token 花在给这段被注入的计划找合理性上，而不是把它标出来。
攻击长什么样：一份不用抄句子的提纲
论文里的植入内容没有一个恶意措辞。它读起来就是一份普通的策略建议；危害不是通过文字本身传递的，而是通过模型随后采用的决策策略传递的。论文的原话是，行动者模型不仅会遵循被注入的计划，还会把它改写成自己的推理。
一个便于理解的类比是：学生看了参考提纲，然后用完全属于自己的措辞把作业写出来。老师读作业，找不到任何被抄的句子，于是判为原创——严格来说，老师没有判错，因为确实没有句子被抄。方案注入就卡在这个位置上：行为被影响了，痕迹却没有被伪造。
这解释了它为什么比常见的提示注入更难处理。提示注入通常需要一段看起来可疑的指令，输入过滤器有机会拦截；方案注入的载荷是一段「策略」，从文字上看不出问题，要判断它有没有问题，得先知道这段策略不该出现在这里。
第二个发现更不舒服：证据给多了反而更差
把注入的计划直接交给监控者，直觉上应该让判断更容易。实测结果相反：在 Bio-Math 任务上，这样做让检测率最多下降一半；在推理预算的案例里，监控者花更多 token 的结果不是更严格的审查，而是更充分的合理化。
这条发现对工程实践的含义很直接：安全机制不是「信息越多越好」的。给一个负责判断的模型增加上下文，同时也给了它更多可以为错误结论服务的素材。护栏的设计需要考虑「证据的形状」，而不只是证据的数量。
为什么思维链不能当日志读
一个常见的直觉是把思维链当成服务端日志：系统运行时顺手吐出来的一份记录。它不是。思维链是生成出来的文本，记的是模型「写下了什么」，不是「什么推动了它」。当行动者以自身口吻复述一段外来计划时，痕迹里丢掉的不是推理本身，而是推理的来源：步骤都在纸上，为什么是这些步骤，不在。
这也是研究者需要再放一个调查员智能体去回问行动者的原因——影响是可以被还原的，但还原不来自审阅者能够重放的那段痕迹。
数字该怎么读
论文报告的两组数字必须分开读，不能相乘。25% 到 33% 的漏检率是在不同可监控性基准上测得的；Bio-Math 上「把注入计划交给监控者，检测率下降最多 50%」是另一个任务上的独立测量。把两者乘成一个端到端比率，等于假设两个任务共享同一个基线，而论文并没有建立这个前提。
口径也需要标注：这些结果来自研究者自己设定的基准环境，尚未被独立复现。论文本身没有研究投递路径——计划是被直接植入上下文的，而不是通过检索到的文档或工具返回结果钻进来的。所以它是一个关于监控层可靠性的结论，不能直接换算成线上事故率。
放到真实 Agent 里，对应的是什么
在真实系统里，上下文不是人手写的，它由检索到的文档、工具返回的结果、浏览到的页面拼装而成。这正是安全圈里所说的致命三要素中的一环：不可信内容与敏感操作在同一个上下文里相遇。这条投递面本来该由输入过滤来管，但方案注入的载荷比较特殊——它是一段没有恶意措辞的计划。过滤器会不会把它标出来，论文没有测。
对做智能体安全的人来说，这条攻击的价值不在于它有多难防，而在于它说明了一件事：把安全押在「读模型的解释」这一个环节上，风险要比想象中高，因为这个环节的输入是攻击者可以塑造的。
防线应该加在哪
论文自己的数字也说明监控并没有失效——多数场景里它仍然拦得住，所以它值得保留。但它在整条防线里的位置需要被重新估算：它是一道输入可被塑造的过滤器，和栈里其他护栏一样，不能单独承担结论。
论文之外的技术解读把「不受这条攻击影响」的层次点了出来。一类是从来不去读思维链的机制，比如能力收敛——被引导的行动者能触达的东西本来就少。另一类是直接砍掉致命三要素里的某一环，让不可信文本与敏感操作根本没有相遇的机会。这两条都不新，但在这篇论文之后，它们的优先级应该往上提。
与「信任传递」是同一类问题
这让人想起九月里另一条安全复盘：有厂商的白名单机制没有被攻破，但白名单里的包代理成了桥梁，攻击者通过一个被信任的中间物完成了越权。两件事的结构很像——被攻破的都不是边界本身，而是边界内被认为「天然安全」的中间产物。
方案注入里那个中间产物就是思维链。它被默认当成模型真实想法的记录，于是拿到了免检地位；一旦这个默认被打破，读解释这件事就从验证退化成了阅读。区别在于，阅读很便宜，验证很贵——而安全预算永远有限。
局限与待解问题
其一，结果尚未被独立复现，且集中在基准设定内，与真实部署之间的落差需要读者自行判断。其二，投递路径未被研究，真实系统里的输入过滤、内容来源标注、上下文分区能不能削弱它，目前仍是开放问题。其三，论文展示了「给监控者更多证据可能有害」，但没有给出什么时候有害、什么时候有益的判据——对工程团队而言，这恰恰是最想知道的部分。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。