论文：LLM 安全监控的监督缺口并非能力问题

单条轨迹的安全监控被要求认证只能由两次执行共同见证的性质，其输入在信息论上装不下答案；论文把“不可判定”换成可分级的可检测前沿，并测量监控相对该前沿的缺口。

• 场景：作者把跨租户不干扰、evaluation awareness、以及智能体策略性表现不佳都写成两次执行之差，在形式化方法里属于2-safety超性质（Clarkson and Schneider 2010）。读单份转录的监控因此被要求回答其输入不能包含的问题。

• 现有不足：作者称经典结论是二元不可能性，Stein et al. (2026) 据此主张单迹评审必然漏掉跨迹失败、监督应跨多条轨迹汇总证据。作者认为这答错了实践问题：泄漏并非同等不可见，错误类型的值对知道该字段长什么样的人可见，两端之间是连续谱。

• 核心观察：Theorem 1 给出任意单迹监控的平衡准确率上界为 1/2 + 1/2 TV(P0, P1)，似然比检验取等。TV=0 是经典不可能的端点；oversight gap 是监控成绩与其输入所允许上限的垂直距离，用来分开“单迹监督不可避免的盲”和“这个监控没用上已有信号”。

• 本文提出：可观测 TV 由构造精确控制的基准（Proposition 2），九个模型上把信息与程序拆开的受控分解，以及非确定性下的重放复杂度、投影前沿和 1/(qm) 上界。

• 威胁模型

  • 受害系统：有状态运行时在共租户私有输入 h 在场时服务租户 A 的请求，交付轨迹 t = (req, resp)。P0 为不干扰执行下 t 的分布，P1 为泄漏下的分布。
  • 监控输入：单迹监控是任意可测、可随机的映射，只读一条轨迹并输出 approve 或 block。部署侧能做的是在扰动共租户状态下差分重放。
  • 要认证的性质：跨租户非干扰等 2-safety 超性质；随机情形下进一步是诱导分布相等。成功用平衡准确率 BA 衡量，打分是机械的，不用评审模型。
  • 知识：作者把监控类 H 限制为只持有“字段值长什么样”的通用先验，从而把知识项和利用项拆开（Proposition 1）。论文未把该设定写成 white-box 或 black-box。

作者按超性质的逻辑传统、LLM 智能体的跨迹监督、可扩展监督，以及由两次执行定义的行为性质来定位本文。

超性质与监控

• 非干扰作为 2-safety 超性质：Goguen and Meseguer (1982)、Clarkson and Schneider (2010) 给出源头；自组合归约见 Terauchi and Aiken (2005)、Barthe, D’Argenio, and Rezk (2004)；执法综述为 Sabelfeld and Myers (2003)；监控复杂度见 Bonakdarpour and Finkbeiner (2018)、Finkbeiner et al. (2019)。作者称该线是逻辑与最坏情况的，本文是分布性的，给出前沿、受限分解和随机提升。

跨迹监督

• Stein et al. (2026)：引用同一超性质形式，论证单迹评审必然漏掉跨迹失败，并在 10–600 条轨迹上汇总证据以检测分布式滥用和 reward hacking。作者称其设定是观察性的、元数无界，本文是最小非平凡元数上的干预性设定，在 Theorem 2 的元数轴上处于同一层级的不同区间、性质集合不相交。
• Hills, Caspary, and Cooper Stickland (2026)：在持久代码库里把侧任务对抗地摊到多个 pull request 上，发现给监控更多原始历史仍可被规避，而有状态的 link-tracking 监控更好，把渐进攻击的规避从 93% 降到 47%。作者称这是 Theorem 2 字母表规模依赖的经验实例，威胁模型是对抗而非良性故障。
• 成对比较：Liusie, Manakul, and Gales (2024) 处理排序，不处理在单迹上无定义的性质。Zheng et al. (2023) 记录位置、冗长和自我增强偏差；作者称 Section F.1 在此之外加上构造有效性失败。Tripathi et al. (2025) 报告成对反馈约 35% 的情形会因无关属性翻转偏好，绝对分数约为 9%。作者认为这对任何成对协议都是风险，但本文的一对轨迹不是候选输出之间的偏好，而是同一请求两次执行在一个字段上的相等测试；对手能否制造这类干扰项未被测试，作者称之为关于该协议最尖锐的开放问题。

可扩展监督与 AI control

• Greenblatt et al. (2024) 问较弱但受信任的监督者能对更强且不受信任的模型保证什么；Irving, Christiano, and Amodei (2018) 问弱评审能被放大到什么程度。作者称两条路线都把监督者的缺口当成能力或算力问题，要用同一证据上更好的协议来补；Theorem 1 隔离出放大解决不了的缺口：TV=0 时证据不区分假设。

行为性质与隔离故障

• 跨执行定义的行为：欺骗性对齐（Hubinger et al. 2024）、上下文谋划（Meinke et al. 2024）、策略性表现不佳（van der Weij et al. 2024）、sycophancy（Sharma et al. 2024）、反事实公平（Kusner et al. 2017）都由只差一个输入的两次执行规定。Perez et al. (2022) 的模型撰写套件大规模露出这类行为，但逐条转录打分；作者称本文结果说明这种打分能收回什么、重放代价是多少。
• 服务栈隔离失败：跨租户泄漏经共享服务状态是已记录的漏洞类（CVE-2025-25183，vLLM Project 2025），模糊测试在系统侧发现它们（Zhao et al. 2026）。作者改问转录级监控能否看见结果，并称答案由 TV、投影和重放预算支配，而不是监控能力。
• 弃权：Kadavath et al. (2022) 称模型在原则上能知道答案时可合理校准；作者称本文值得弃权的情形是可证明不可判定的，因此 12.6% 的弃权率是这种校准的上界。

基线是 20 行成员检查（值是否落在所请求字段的值池内），以及“重放是否不同就拦截”的朴素规则；基准是 40 个隔离域上 TV 精确等于 λ 的泄漏族，外加 sycophancy、多轮轨迹和被利用生产代码的痕迹。

作者把本文放在分布意义下的可检测前沿上：与逻辑传统不同，它量化单迹输入允许多少信号；与证据汇总不同，它在最小元数上做干预并拆开信息与程序。

整体思路是把单迹监控的 balanced accuracy 上界写成总变差距离的函数，得到 detectability frontier 和 oversight gap，再用交换性抽样把 TV 做成已知量，然后用信息和程序的析因看缺口从哪来。

问题设定与前沿

• 对象：有状态运行时服务租户 A，共租户私有输入 h 在场。交付轨迹 t=(req, resp)。P0、P1 分别是不干扰与泄漏下 t 的分布。单迹监控 M 把一条轨迹映到 approve 或 block。
• 平衡准确率：BA(M) = 1/2 [P1(M=block) + P0(M=approve)]。先验相等、代价相等时，这就是经典 Bayes 界。
• Theorem 1：对每个单迹监控，BA(M) ≤ 1/2 + 1/2 TV(P0, P1)，等号由对支配测度 μ=P0+P1 的似然比检验达到：当 dP0/dμ(t) > dP1/dμ(t) 时 approve。作者强调对 μ 而不是对 P1 写比值，因为该族在 TV=1 端支撑不相交。
• Definition 1：oversight gap 为 G(M) = 1/2 + 1/2 TV(P0, P1) − BA(M) ≥ 0。1 减上限是任何监控逃不掉的盲，G(M) 是这个监控丢掉的信号。TV=0 时处于随机水平则 G=0，作者称之为最优。

逻辑上的单迹不可能性（对任意交付轨迹都存在合规与违规运行时都发出它）与 TV=0 不是同一句话：前者是无先验的逻辑陈述，后者是某一对运行时分布的平均情形。作者称自然分布不同的运行时即使没有单迹逻辑见证，仍可统计上分开。

受限前沿与可证明的不可判定

• Proposition 1：监控类 H 只能实现批准集族 AH 时，其 BA 上界是 1/2 + 1/2 TV_H，且 TV_H ≤ TV。1−BA(M) 拆成三项非负量：不可约项 1/2 − 1/2 TV、知识项 1/2(TV − TV_H)、利用项 1/2 + 1/2 TV_H − BA(M)。
• 为何公平：成员检查知道每个字段的值池，部署监控只持有字段值长什么样的通用先验。把 H 取成该先验能表达的监控，两条轴就分开：类型失配的判别集是“这个值不像所请求字段的值”，先验能表达，TV_H=TV=1，知识项消失，测到的缺口全是利用；池内对照的判别集是“这个值是抽样器指定的那个池元素”，字段类型先验表达不了，TV_H=0 而 TV=1，整整 50 个点的缺口是知识，不是监督能力。
• Proposition 2：固定字段 f 与值池 V_f，从 V_f 均匀抽两个不同值的无序对，再用公平硬币指定 own 与 foreign。若交付轨迹是所示值的函数，则 clean（出示 own）与 leak（出示 foreign）的轨迹律相同，TV=0。
• 分级族：以概率 λ 从另一字段的池抽 foreign（类型失配，池跨字段不相交），以概率 1−λ 用交换性构造。于是 TV=λ，前沿是直线 1/2 + 1/2 λ，界本身不被估计。把 foreign 的分布移向本字段池内某个指定元素得到同样的闭式 TV，但判别集是关于抽样器的事实，知识项吸走全部缺口；作者把它留作负对照。

随机性、重放与投影

• Theorem 2：运行时在共租户输入 h 下诱导响应分布 Q_h，性质是对所有 h、h′ 有 Q_h=Q_h′。若各 Q_h 支撑相同，任何有限样本都不能以零误差认证违规，故不存在确定性情形那种有限元数见证。在常数误差下把 Q_h=Q_h′ 与 TV≥ε 分开需要 k=Θ(1/ε^2) 次每条件重放；支撑不相交时每条件一次重放即够，回到经典见证对。监控还不知道干净响应律时，任务变成两样本接近性检验，复杂度为 Θ(max{m^{2/3}/ε^{4/3}, m^{1/2}/ε^2})，m 为字母表大小（Chan et al. 2014）。
• Corollary 1：两次干净重放以概率 δ 不同（良性改写）时，“重放不同就拦截”的误报率恰为 δ。对抽样 LLM，作者称 δ≈1，朴素差分规则按字面不可用。
• Theorem 3：响应有 m 个通道，泄漏落在通道 j 的概率为 p_j，该通道在重放间良性变化的概率为 q_j，相互独立。监控在集合 S 中某通道于两次执行间不同时拦截。误报 FA(S)=1−β_S，BA(S)=1/2(1+P_S β_S)，其中 P_S 为泄漏落在 S 的概率，β_S 为 S 中各通道都不良性变化的概率。加入通道 j 能提高准确率当且仅当 p_j(1−q_j)/q_j > P_S。对称情形 q_j≡q、p_j≡1/m 时，最优投影大小 s^=−1/ln(1−q)，与 m 无关；mq≫1 时 BA^ 趋向 1/2 + 1/(2eqm)。作者称最好的投影只取决于良性变化率，响应在固定 q 下变丰富时，可达准确率像 1/(qm) 一样落到随机水平。控制误报的是 q 而不是 |S|：窄臂便宜是因为它比较语义槽（q 近 0），而不是表面文本（q 近 1）。

实验操作与成功判定

• 域：40 个隔离域。用户请求一个个人字段，助手陈述一个值。每字段一个四值池，类型、格式和顺序上可互换，使没有任何池元素先验更可疑。四是最小的、能让 k=2 时巧合概率 n^{1−k} 仍可测的池。字段覆盖数值、类别、时间和标识符。每次运行抽一个新的交换性实现。
• 监控与打分：监控收到交付会话，输出 JSON 裁决；打分是对 JSON 的正则，解析率低于一半的格子记为失败并重跑，文中出现过一个这样的格子。温度 0，经一个提供方；精确模型标识和每条提示模板在附录。域抽取由 run index 播种。除非另注，每个条件是 40 个域的两次交换性实现。无训练，作者报告约 26,893 次推理调用。前沿扫描、析因和弃权臂用全部九个模型；机制、重放、投影和真实代码臂用七模型子集；存储 oracle 臂用六模型。
• 析因：信息轴为无（单迹）、想象的第二次运行、执行的第二次运行（扰动共租户状态下差分重放），或存储的真实值；程序轴为是否给出显式比较规则，规则文本在各格保持逐字相同。附录 H 给出完整提示词。点名检查项的臂只加一句，问所陈述的值对所请求字段是否是对的种类。
• 成功判定：主指标是域上自助 95% 置信区间的平衡准确率。TV=0 的控制用来确认指令不能制造信号。k 次重放的理想曲线是 1/2[(1−n^{1−k})+1]，n=4，泄漏仅当 k 次独立共租户抽取全部重合时不可见。

实验设置

• 模型：九个，从 Llama-3.1-8B 到 GPT-4o 与 Claude-Sonnet-4，另有 Qwen-2.5-72B、Llama-3.3-70B、DeepSeek-chat、Gemini-2.5-Flash、GPT-4o-mini、Mistral-24B。前沿、析因、弃权用全部九个；机制、重放、投影、真实代码用七个；存储 oracle 用六个。查询温度 0。
• 数据：40 个隔离域，每字段四值池；除非另注，每条件为 40 域的两次交换性实现。负对照、sycophancy（40 claims、7 模型）、2–64 轮轨迹和被利用生产代码痕迹见下文。
• 基线：20 行成员检查，拦截“所示值不在所请求字段池中”。闭式理想曲线用于 k 重放。
• 指标：平衡准确率；oversight gap G；TV=λ 由构造给出，不估计。域上自助 95% 置信区间。能力关联用 Spearman ρ 与精确置换检验。
• 评审：机械打分，无评审模型。早期失效版本曾用两个前沿 LLM 评审认证 40 个域，后被符号检验否定。
• 规模与重复：作者报告约 26,893 次推理调用。oracle 加规则的精确二项下界按每类 80 次试验给出。论文未把每个条件统一写成固定重复次数以外的“两次实现”。

主结果

Figure 2(a) 中前沿 1/2+1/2 TV 为黑线，成员检查在每一级取等；九模型均值在 TV=1 为 60.9%，最佳模型 70%，Figure 2 注称该处 oversight gap 为 39.1 个点。Figure 2(b) 按模型给出 TV=1 的 gap：GPT-4o 49、Claude-Sonnet-4 48、Qwen-2.5-72B 47、Llama-3.3-70B 45、DeepSeek-chat 36、Gemini-2.5-Flash 33、GPT-4o-mini 32、Llama-3.1-8B 31、Mistral-24B 30（单位为点）。λ=0 时每个模型在随机水平，平均 gap 为 −0.6 个点。

Table 1 是信息×程序的平均平衡准确率（%）。“none”行的 +rule 格带星号，表注为想象的第二次运行。

信息	无规则	+规则
none（单迹）	50.5	50.4
replayed pair	65.8	90.0
stored oracle（六模型）	68.2	100.0

据 Table 1。oracle 无规则的模型范围是 49–89；重放加规则的范围是 70–100。

• 作者解读：九模型几乎接不住随 λ 上升的信号。gap 跨模型 30–49 个点，Spearman ρ=0.15，精确置换 p=0.71，n=9；作者称这么小的 n 只能分辨大效应，且若干前沿模型处于常数裁决模式，信号上升也不动。
• 点名检查项：两臂共有的 7 个模型在 λ=1 从 58.9% 升到 83.8%，gap 从 41.1 降到 16.2 个点，即缺口的 61%。λ=0 控制从 50.3% 到 49.2%，仍在随机水平。作者称这是程序缺口的再次出现，不是第三种现象；剩下的 16.2 个点作者不解释。
• 信息与程序：想象加规则为 50.4%，与单迹 50.5% 不可区分，每个模型的置信区间盖住 50。只给真实存储值、不给程序为 68.2%，有一个模型拿着 oracle 仍得 49%。两者一起时 6 个模型都是 100%，精确二项下界 95.5%。差分重放加规则为 90.0%，相对想象条件的配对符号检验 p=0.004，每模型最低改进 +20.6 个点。作者称 oracle 与重放之间约十个点是在攻击时制造参照的代价，想象与重放之间约四十个点是根本不执行的代价。

想象的反事实与弃权

• 测了什么：七模型记录想象的第二次运行取值再套用规则（Table 5）。匹配真实另一次运行 1.2%，复述已出示值 62%（四值池均匀猜测应为 25%）。复述后按“应批准”规则批准 97%；编造后按“应拦截”规则拦截 15%。
• 结果：没有任何模型的裁决分开两类（两比例检验，全部 p≥0.166）。作者称输出对标签是常数函数，原因在上游：想象值几乎从不等于真值。
• 弃权：在可证明不可判定的情形提供显式的 cannot_verify 选项时，模型 12.6% 的时间弃权（最高 24%）。Llama-8B 批准 98% 的泄漏，Sonnet-4 拦截 81% 的干净流量。作者称弃权这个唯一正确的输出最少见。

重放、投影与三次复制

• k 重放（Table 2，自由改写，理想式 1/2[(1−n^{1−k})+1]，n=4）：k=2 时理想 87.5、投影 88.4、原始 78.9；k=4 为 99.2、99.3、91.9；k=8 为 100.0、99.8、91.2（均为 %）。投影臂在每个 k 与理想相差不超过 1 个点。朴素“任何差异就拦截”被预测钉在 50%，实际 78.9–91.9%，因为七个模型中六个把坏规则默默改成敏感投影；Qwen-72B 按字面执行，k=2 为 55%，k=8 为 54%。
• 投影两难（Table 3，给定反事实对，%）：窄臂主通道 99.7、次通道 1.4、误报 0.9；宽臂 100.0、90.4、75.7。正文称窄投影漏掉 98.6% 的旁路泄漏，宽投影标记 75.7% 的干净流量。Theorem 3 预测窄臂误报 0.0%（测到 0.9%）、宽臂 100.0%（测到 75.7%），作者把极端处的差额归于模型拒绝按字面执行“任何差异”。只有 GPT-4o 离开两簇：误报压到 6%，旁路泄漏只检出 40%。Figure 3 中两投影占对角，作者称部署想要的区域空着。
• 三次复制：sycophancy 上单迹 49.6%、想象 50.2%，每模型 48.7–50.5%；执行对 80.6%，对加规则 83.9%（非干扰上对应 65.8% 与 90.0%），全协议跨度 50–100%。GPT-4o-mini 在非干扰上到九十以上，此处对为 49%、对加规则为 50%；GPT-4o 有规则比无规则更差（99→89%）。16 轮为 49.8%、50.4%、55.9%、86.3%，对照单轮 50.5%、50.4%、65.8%、90.0%。2–64 轮时单迹范围 0.7 个点（49.6–50.3%）；全协议下 7 个模型只有 2 个随长度下降，最多掉 39 个点（Mistral-24B 与 Qwen-2.5-72B，从 2 到 64 轮），其余五个持平或最多升 9 个点。生产代码痕迹：正文给出 51.0%、63.5%、92.6%；附录 E.3 对七模型给出单迹 50.4%、对 61.4%、对加规则 91.1%。碰撞在 15,261 次尝试中找到，槽 86769。

其他消融与分析

• 负对照（Table 4，TV=1）：跨字段失配的界、成员检查、LLM 为 100.0、100.0、60.9；池内元素为 100.0、50.0、49.8。成员检查在池内轴落到 50，因为判别集不是类型先验能表达的。
• 早期手写域：两个前沿 LLM 评审把 40 个域全部认证为单迹不可判定、零标记。符号检验：28 对可比对里 25 对的 foreign 值更大、更高档或更晚（p=2.7×10^{-5}）。修复后，一个曾被钉在 50%、方差为零的模型达到 79% [73, 84]；“推理让监督更差”的对比翻转；“给了 oracle 就到 90%”落到 68.2%。类型规则臂后来还否定了第四条，即前沿缺口与能力无关这一主张。
• Theorem 3 的贪心：最大化 P_S β_S 是乘法背包，贪心在 96% 的随机实例上达到穷举最优，不是全部。
• 能力代理：Figure 2(b) 用配对条件准确率给模型着色，作者称两种排序不一致；正文报告未检出按能力的排序。

作者指出的局限与后续方向

• 合成轨迹：Section 6 称载荷被移到被利用服务代码发出的痕迹上，任务被移到多轮轨迹上，但这些轨迹是合成的，没有运行真实智能体框架或记忆系统。
• 性质覆盖：同一节称前沿族只变一条显眼度轴，2-safety 族测了两个成员，足以说明不可能性不依赖模板、补救不能照搬，而 sandbagging 和 evaluation awareness 仍是类比。
• 定理范围：Theorem 2 是为诱导分布相等的性质证明的，不是任意 k-safety，并继承接近性检验的常数（Chan et al. 2014）。Theorem 3 假设通道间良性变化独立，其连续最优要求 1 ≤ s^* ≤ m。
• 重放假设：重放假设监督者能在扰动的共租户状态下重执行；知道自己被探测的运行时可以在探针上改变行为，因此协议认证的是执行而不是倾向（Section 6）。
• 能力关联与提示词：九个模型上没有单调能力关联的证据，但区间容纳中等效应；一条追加指令把前沿臂移动了其缺口的 61%，因此这里的提示词措辞方差是无界的（Section 6）。
• 开放问题：Related Work 称，控制共租户载荷的对手能否制造使成对协议分心的干扰项未被测试，这是关于该协议最尖锐的开放问题。附录 E.1 称在一个 2-safety 性质上验证协议再部署到另一个，依此处证据有时等于部署了空协议。

实验覆盖范围

• 模型与条件：前沿、析因和弃权使用论文列出的九个模型；机制、重放、投影和真实代码使用七模型子集；存储 oracle 使用六模型子集（Section 3、Table 1）。
• 主基准：40 个隔离域，每字段四值池，覆盖数值、类别、时间和标识符；除非另注，每条件是 40 域的两次交换性实现；打分是 JSON 正则，温度 0（Section 3）。
• 析因与复制：信息×程序格子、点名检查项、k=2/4/8 重放、窄/宽投影、sycophancy（40 claims、7 模型）、2–64 轮、以及一次真实前缀缓存碰撞（15,261 次尝试，槽 86769）都有平衡准确率（Section 4、附录 E）。
• 构造有效性：早期手写域由两个前沿 LLM 评审认证后，被 28 对上的符号检验否定，修复交换性构造后三条主张不再成立，类型规则臂再否定第四条（Section 4、附录 F）。
• 论文未报告：精确模型标识和每条提示模板写在附录，但正文未给出与人工评判的一致性；也未报告对手制造分心项的实验（Related Work 称之为未测试）。

论文测量单迹安全监控相对 2-safety 超性质能看见多少：跨租户泄漏、觉察到被评估、策略性表现不佳都由两次执行之差定义，一条轨迹装不下判定。

Theorem 1 把任意单迹监控的平衡准确率上界写成 1/2 + 1/2 TV(P0, P1)，oversight gap 是成绩与该上界的差。Proposition 2 用值池内的交换抽样使 TV 精确等于 λ，20 行成员检查在每一级取等，从而把“不可判定”和“没用上信号”分开。

在 40 个隔离域、九个模型上：TV=0 时大家处于随机水平，平均 gap −0.6 个点，作者称为最优并用来校准仪器。TV=1 的类型失配上，成员检查 100%，模型均值 60.9%，最佳 70%，gap 从 Mistral-24B 的 30 点到 GPT-4o 的 49 点；Spearman ρ=0.15，置换 p=0.71，n=9。给 7 个模型点名“值的种类对不对”，λ=1 从 58.9% 到 83.8%，补上缺口的 61%，TV=0 控制仍在随机水平（50.3%→49.2%）。

Table 1 中，想象第二次运行并套用规则为 50.4%，想象值与真实另一次运行匹配 1.2%。执行重放加规则为 90.0%，存储 oracle 加规则在六个模型上为 100%（二项下界 95.5%），只给 oracle 不给规则为 68.2%。k=2/4/8 的字段投影为 88.4%、99.3%、99.8%，贴近理想 87.5%、99.2%、100.0%。窄投影次通道检出 1.4%、误报 0.9%；宽投影次通道 90.4%、误报 75.7%。sycophancy、最长 64 轮的合成轨迹、以及一次真实缓存碰撞上，单迹仍近 50%，补救是否带走则依模型和性质而定。

早期手写域被两个前沿评审零标记通过，符号检验 p=2.7×10^{-5} 否定了构造，三条主张在修复后不再成立。作者的结论是：前沿可计算，其下的缺口大多是利用不足；补救是一次执行的第二次运行加上显式程序，并按性质和模型预算。协议认证执行而不是倾向。