微软团队提出 capability laundering 攻击：弱模型拆分任务向对齐前沿模型套取能力
Divide, Consult, Conquer: Capability Laundering Through Aligned LLMs
AI 导读
研究者提出“能力洗白”（capability laundering）攻击：较弱的未对齐模型把有害任务拆成看似无害的子问题，分别独立咨询更强的对齐模型，再在本地组合答案，因此没有任何单次回复本身构成有害任务。作者以 GPT-5.5、Claude Opus 4.8 和 Grok-4.3 为顾问、四个本地模型为编排者，在 CyBench、BountyBench 和有害 CBRN 请求上衡量咨询带来的能力提升。CyBench 上，Gemma-4-31B 借助 GPT-5.5 和 Opus 分别解出 8/14、7/9 个候选任务，Gemma-4-12B 只有 2/21、4/15；BountyBench 上效果因编排者而异，Muse-Glimmer-30B 一个也没解出。CBRN 方面，咨询把 Gemma-4-31B 在一条假设攻击链八个步骤上的平均评分从 62.3 提高到 83.1（满分 100）。作者认为，拒绝有害任务并不能阻止前沿能力经由许多各自被允许的交互转移和组合。
论文速读
- 现有语言模型安全评估通常以单次交互为单位，但攻击者可以把有害任务拆成看似无害的子问题，分别向对齐模型咨询后再在本地拼合。这样每次回答都不构成有害任务，却可能整体上转移并组合出前沿模型的能力。
- 作者提出 capability laundering：由本地未对齐的弱模型（orchestrator）保留完整有害目标、控制环境并决定披露哪些片段，把缺失的步骤转成 objective-blind 的咨询请求；更强的对齐前沿模型（consultant）只看到孤立片段，且每次咨询都重复施加对齐提示。作者在 CyBench、BountyBench 和 CBRN 生物攻击链上比较 raw frontier、aligned frontier、harness-only orchestrator 与 consultant-assisted orchestrator 四种设置。
- 在 CyBench 上，Gemma-4-31B 借助 GPT-5.5 恢复 8/14 候选、借助 Opus 恢复 7/9，而 Gemma-4-12B 仅 2/21 和 4/15；BountyBench 上 Gemma-4-31B 恢复 3/9 和 2/3，Muse-Glimmer-30B 则一个都没恢复。CBRN 方面，咨询把 Gemma-4-31B 的平均 rubric 分从 62.3 提到 83.1（GPT-5.5 与 Grok-4.3 相同），而直接访问前沿模型得分接近零。作者称恢复程度取决于 orchestrator 的分解、状态保持与整合能力，而非仅顾问身份或模型规模。
- 结果只适用于特定威胁模型：攻击者控制本地未对齐 orchestrator 并通过认证接口查询更强模型，恢复率因 orchestrator、基准和任务而异，不能推广到所有模型或策略。作者只评估了 GPT-5.5、Opus 4.8、Grok-4.3 三个顾问，且只测单个 orchestrator 与单个顾问通道；CBRN 用 LLM judge 和专家 rubric，无法排除评分偏差，也不能说明高分文本等于真实能力。未来方向包括量化跨身份/跨提供商的分布式攻击、测试更大 orchestrator 的扩展性，以及评估 composition-aware 防御。
据 论文全文（AI 生成） 整理，供快速了解，以论文原文为准。
推荐理由
论文把有害任务拆成多个看似无害的子问题分别咨询强对齐模型、再在本地拼装，并在 CyBench 和 CBRN 测试上量化了这种能力转移，说明只按单次交互评估安全会漏掉这一缺口。