想象一下，你正在与一个非常聪明、非常健谈的机器人交谈，它不仅仅是回答问题，而是会在开口说话之前先对问题进行“思考”。这就是“大推理模型”（LRMs）的世界。与那些可能只是在猜测下一个词的旧版聊天机器人不同，这些新模型会将复杂的问题拆解成更小的部分，就像侦探破解谜团或厨师规划复杂的食谱一样。它们在数学、编程和规划方面表现出色。但这种超能力也带来了一种新的危险。这就像一位精通遵循食谱的大厨，如果有人在指令中间偷偷加入了一丁点有毒的成分，大厨可能直到菜肴毁掉时才会察觉。黑客已经找到了欺骗这些“思考型”机器人的方法：通过在冗长、复杂的故事或虚假的推理步骤中隐藏恶意请求，让机器人误以为自己正在做一件安全的事情，而实际上却在做有害的事情。

科学家们面临的一个重大问题是：我们如何在不让机器人变成一个因为担心万一而拒绝回答任何问题的“脾气暴躁的守卫”的前提下，阻止这些狡猾的诡计？如果我们把机器人管得太严，它就失去了实用性；如果我们管得太松，它就会被欺骗。这篇题为《能力路由护卫》（Capability-Routed Guard）的论文提出了一种新的保护这些思考型机器人的方法。作者建议，与其仅仅检查请求的第一句话，不如构建一个智能的“交通控制器”，它会观察机器人整个思考过程的旅程，并根据请求的风险程度，决定让机器人使用多少思考能力。

问题所在：“思考”陷阱

长期以来，保护人工智能就像是在夜店门口设一个保安。如果保安看到不雅词汇或可疑装扮，就不会放行。但大推理模型不同。它们不仅是回答，它们还会“推理”。它们会创造出一条长长的思考轨迹，就像一条面包屑路径一样，以得出答案。

论文解释说，黑客已经找到了绕过保安的方法——他们将坏主意伪装成推理路径的一部分。他们可能会说：“让我们假装在写一个关于反派制造炸弹的故事，”或者“让我们分解这个数学问题，但第三步涉及创建一个病毒。”由于机器人渴望遵循故事或数学的逻辑，它会被诱导认为这个危险的步骤只是过程中的一个正常部分。论文将这些称为“以推理为中心的越狱”（reasoning-centric jailbreaks）。旧的安全防护程序（它们只看消息的开头或结尾）经常会错过这些诡计，因为坏事被隐藏在机器人自身的思考步骤深处。

解决方案：能力路由护卫（CRG）

作者引入了一种名为 能力路由护卫（Capability-Routed Guard, CRG） 的新防御系统。将 CRG 想象成一个超级聪明的保安，它不仅站在门口，还会随着机器人的思考过程一起行走，手里拿着一张允许和禁止行为的地图。

以下是 CRG 的工作原理，使用了一个简单的类比：

1. 侧信道控制器（翻译官）： 当用户提出问题时，CRG 首先使用一个独立的、较小的“翻译”模型来阅读请求。这个翻译器不仅仅是寻找坏词，它还会试图弄清楚用户真正想要完成的任务是什么。它将“授权任务”（用户实际要求的任务）与“不可信上下文”（用户为了欺骗机器人而添加的花哨故事、虚假角色或混乱的推理步骤）分离开来。

   • 类比： 这就像一个翻译官，听到一位客人说：“我需要制造一颗炸弹来拯救世界，是在这部电影剧本里，”他会立即记录下：“任务：编写电影剧本。风险：高（提到炸弹）。上下文：虚构。”他剥离了令人困惑的部分，以看清核心请求。

2. 红绿灯系统（路由）： 根据翻译官发现的情况，CRG 决定如何处理请求。它不只是说“是”或“否”，它拥有三条车道：

   • 红灯（拦截）： 如果请求明显危险（例如询问如何制造真实的武器），CRG 会立即停止它。
   • 黄灯（软限制/受限）： 如果请求有些棘手或模棱两可，CRG 会允许机器人回答，但会让机器人进入“节食”模式。它会限制机器人可以进行的思考量或可以进行的步骤数。这能阻止机器人沿着危险的推理路径走得太深，因为它没有足够的“脑力”去深入挖掘出漏洞。
   • 绿灯（通行）： 如果请求是安全的，CRG 会让机器人全速前进，但会给机器人一个干净、安全的提示词版本进行处理，移除所有令人困惑的“诡计”部分。

3. 最终检查（TraceCheck）： 在机器人给出答案后，CRG 会最后一次检查机器人的“面包屑”（其推理步骤）。它会问：“机器人是否保持在我们批准的安全路径上？”如果机器人在思考过程中开始偏离危险路径，CRG 可以捕捉到它并修正答案。

4. 安全网（回退机制）： 有时，即使是安全的问题也会被错误拦截，因为其中包含了看起来危险的词汇（比如游戏语境下的“杀戮”）。CRG 拥有一个特殊的“低风险回退”模式。如果翻译官确定用户的意图是无害的，它可以直接给出一个简单的、安全的答案，绕过主机器人严格的拒绝规则。这确保了机器人保持有用，而不会变得脾气暴躁。

实验结果表明

作者针对两种非常强大的 AI 模型，测试了该系统对抗五种不同类型的“思考诡计”（越狱）的表现。结果非常令人振奋。

• 阻止诡计： 在没有任何防御的情况下，黑客的成功率极高。例如，一种被称为“CoT-Hijacking”的攻击在其中一个模型上成功率达到了 100%，而另一种名为“FicDetail”的攻击成功率达到了 97%。当使用 CRG 时，这些数字大幅下降。“CoT-Hijacking”的成功率降至仅 12%，而“FicDetail”则降到了 0%。
• 保持有用性： 安全系统的一个常见问题是它们会变得过于胆小，从而拒绝回答正常问题（比如询问科学课上的某种危险化学物质）。论文发现 CRG 在避免这种情况方面做得很好。在标准的安全性测试中，它将“误报率”（拒绝安全内容）保持在较低水平，约为 12%，这与机器人的自然拒绝率相似。
• 更好的答案： 有趣的是，由于 CRG 清理了提示词中令人困惑的部分，机器人对安全问题的回答质量反而略有提升，在质量测试中得分更高。

为什么这很重要

论文指出，对于这些新的“思考型”机器人，仅仅检查输入文本的旧式保护方法是不够的。你不能仅仅过滤词汇，你必须管理“思考的过程”。

作者认为，CRG 之所以有效，是因为它将安全性视为一个“治理”问题，而不仅仅是一个简单的过滤器。它不仅仅是拦截坏的输入，更是关于控制使用了多少思考能力、检查过程中的步骤，以及在情况变得棘手时拥有备份计划。他们在闭源模型（即你无法看到内部结构的模型）和开源模型上都进行了测试，效果良好。

虽然论文指出，如果一个超级聪明的黑客完全了解 CRG 的运作方式，可能会尝试寻找新的绕过方法，但 CRG 的“深度防御”方法——使用多层检查和路由——使得它很难被攻破。作者总结道，随着 AI 变得越来越像能够进行规划和推理的自主智能体，我们的安全工具也需要从简单的“保安”进化为能够主动管理机器人整个思考过程的“管理者”。