论文发现多模态模型启用工具后拒答失败率最高上升 68.7%

论文试图解决智能体工具调用范式是否会削弱多模态大语言模型（MLLM）拒答有害请求能力的问题。

• 范式转变与应用背景：MLLM 正从单次前向推理（推理 → 回答）转变为基于 ReAct 等迭代循环的智能体工具调用范式（推理 → 工具调用 → 推理 → ··· → 回答），通过调用图像标签、裁剪缩放、OCR 和代码解释器来提升复杂任务的感知与视觉理解能力。
• 现有安全评估的空白：以往多模态安全研究主要针对单次前向 MLLM 的对齐能力，或者局限于特定智能体场景（如 GUI 导航、提示注入攻击），无法直接对比启用工具调用前后的基础安全性变化，未探究工具使用范式本身对拒绝危险请求能力的影响。
• 论文的核心观察与假设：作者观察到，面对图文配对的恶意请求，在无工具设定下能够正常拒答的 MLLM，在启用工具调用后拒答失败率普遍上升；作者假设这是由工具输出累积带来的“上下文稀释”和注意力转向视觉观察的“安全关注点偏移”共同导致的。
• 论文提出的核心工作：在 11 款主流开源与专有 MLLM 以及 3 个安全基准上，系统对比无工具与 ReAct 工具调用条件下的拒答失败率（RFR），并通过调用轮次关联、原请求重新注入、首句分类与控制变量消融对退化机理展开实证分析。

论文讨论的相关研究主要涵盖多模态安全基准、智能体特定安全评测以及工具增强型视觉推理系统三个方面。

多模态大语言模型安全与对齐

• 安全评测基准：MM-SafetyBench（Liu 等，2024）、VLSBench（Hu 等，2025）与 HoliSafe（Lee 等，2026）等工作提出了包含图文配对危险请求的安全基准，揭示了 MLLM 易遵从有害请求的问题。
• 多模态越狱与攻击：Figstep（Gong 等，2025）、Image hijacks（Bailey 等，2024）与 Visual adversarial examples（Qi 等，2024）等工作通过排版视觉提示或对抗图像扰动诱导模型输出有害内容。
• 多模态安全护栏：CoCA（Gao 等，2024）、Llama Guard 3 Vision（Chi 等，2024）与 MLLM-protector（Pi 等，2024）等工作通过输入转换、宪法校准或防护模型构建安全护栏。

智能体特定场景的安全评测

• 智能体危害基准：AgentHarm（Andriushchenko 等，2025）、R-Judge（Yuan 等，2024）和 Ruan 等（2023）在模拟环境中衡量大语言模型智能体的危害感知与执行风险。
• 系统与设备控制安全：OS-Harm（Kuntz 等，2025）、RiOSWorld（Yang 等，2025）与 MobileSafetyBench（Lee 等，2026）评估计算机与移动设备 GUI 导航等场景下智能体的操作安全。
• 智能体特有攻击：AgentPoison（Chen 等，2024）与 Kumar 等（2024）研究了针对智能体记忆库投毒以及浏览器环境下的越狱问题。

工具增强型视觉推理系统

• 多模态工具调用框架：MM-REACT（Yang 等，2023）、Visual ChatGPT（Wu 等，2023）与 Chameleon（Lu 等，2023）通过提示词协调外部工具完成组合式视觉推理。
• 迭代视觉搜索与规划：V*（Wu & Xie，2024）、Chain-of-focus（Zhang 等，2025）与 AdaReasoner（Song 等，2026）通过强化学习或动态编排调用缩放与搜索工具提升视觉感知。

基线方法与使用基准

• 论文采用 MM-SafetyBench、VLSBench 与 HoliSafe 三个公开基准，以各模型自身的无工具单次推理（No-tool）作为基线，对比 ReAct 工具调用设定（Tool-use）。

与已有工作的区别：作者指出，此前智能体安全评估高度针对智能体专属任务（如 GUI 交互或记忆注入），无法与单次无工具 MLLM 直接对比；而该研究聚焦工具调用范式本身是否削弱了基础图文有害请求的拒答能力。

论文构建了标准化的 ReAct 工具调用评测框架，在三个公开安全基准上系统对比模型在无工具与工具调用条件下的拒答行为，并通过因果干预与文本分类实验验证诱发机理。

评测框架与工具集成

• 推理范式对比：无工具设定采用单次推理生成回答；工具调用设定遵循 ReAct 循环（推理 → 工具调用 → 推理 → ··· → 最终回答），模型在每轮自主决定是否调用工具，允许多轮循环直到输出最终回答。
• 四类常用工具集成：1) 图像打标（Tagging），使用 RAM++ 模型；2) 局部缩放（Zooming/Cropping），返回裁剪区域并附带文本确认；3) 光学字符识别（OCR），使用 GOT-OCR2.0；4) 代码解释器（Code Interpreter），提供沙盒 Python 环境执行图像翻转、旋转或直方图绘制等操作。
• 交互规范与预算：主实验采用结构化提示规范思考流程；专有模型单次查询工具调用上限设为 50 次，达到上限强制输出最终回答；对话全程保留原始图像与用户请求。

指标定义与判定协议

• 拒答失败率（RFR）：定义拒答失败率 RFR ∈ [0, 100] 为模型未能拒答危险请求的比例，数值越高代表安全性越低；工具使用带来的安全性变化量定义为： Δ RFR = RFR[Tool-use] − RFR[No-tool] 其中 Δ RFR 在样本层级计算 95% 置信区间。
• LLM 评审与人工校验：依据 VLSBench 推荐协议，采用 GPT-5.2 担任评审员，按三级规则分类：安全拒答、安全警告、不安全（直接作答）；在 100 个随机样本上进行人工标注，GPT-5.2 与人工评估达成 97% 的一致率（97/100）。

上下文稀释验证与重新注入

• 调用轮次与失败率关联：在无工具设定下已成功拒答的样本子集上，统计工具调用次数（0 次、1 次、2 次、3 次及以上）对应的拒答失败率变化，以排除样本难度干扰。
• 原请求重新注入设计：在模型完成最后一次工具调用但输出最终回答前，丢弃初次最终回答，插入一个不含任何安全暗示的新轮次，仅重复呈现原始图像与原始请求字符串，促使模型在最终决策点恢复对初始安全输入的关注。

安全关注点偏移与首句分类

• 样本约束：仅选取无工具和工具调用两种设定下均成功拒答的样本，消除未拒答样本中包含任务执行内容带来的干扰。
• 首句三分类统计：利用评审模型将回答的首个句子分为三类：观察总结（描述图像或工具返回内容）、安全陈述（表达安全担忧或合规说明）、直接回答（直接拒绝回答），分析模型注意力重心的转变。

控制变量消融验证

• 虚假缩放消融：将工具集限制为仅缩放工具，对比标准缩放与返回原图的“虚假缩放”，在保持工具调用行为不变的前提下排除工具输出内容差异的影响。
• 提示词阶乘消融：在 5 款专有模型上构建 2×2 矩阵，交叉验证工具可用性（无工具 / 工具调用）与提示词结构（简约 / 结构化），排除提示词结构带来的偏差。
• 原生智能体检验：对比 Gemini-3-Flash 与其原生搭载工具的 Gemini-3-Flash Agentic Vision，检验退化是否属于外挂 ReAct 包装器的特有现象。

实验设置

• 被测模型：测试 7 个模型家族的 11 款 MLLM，包括 5 款专有模型（Gemini-2.5-Pro、Gemini-3.1-Pro-Preview、Claude Opus 4.6、Claude Opus 4.7、GPT-5.4）、5 款开源模型（Qwen3-VL-235B-A22B-Instruct、Qwen3.5-122B-A10B、Kimi-K2.5、Kimi-K2.6、GLM-5V-Turbo）以及 1 款工具调优开源模型（AdaReasoner-7B-Randomized）；并在独立实验中评估了原生智能体 Gemini-3-Flash Agentic Vision。
• 数据集与规模：覆盖 3 个公开多模态安全基准，评估样本总量达 7,937 对图文：MM-SafetyBench（SD_TYPO，1,680 样本，13 种安全场景）、VLSBench（HF train，2,241 样本，6 个大类与 19 个子类）、HoliSafe（HF test，4,016 样本，7 个大类、18 个子类与 5 种风险类型，排除 15 个加载失败样本）。
• 对比基准：以各模型自身的无工具单次推理作为基准线，对比启用 4 种工具（RAM++ 打标、局部缩放、GOT-OCR2.0、Python 代码解释器）的 ReAct 智能体表现。
• 评价指标与统计检验：以拒答失败率（RFR）和 Δ RFR 为主指标；在样本级别计算 95% 置信区间，并使用 McNemar 配对检验评估统计显著性。
• 评审方式：基于 GPT-5.2 的 LLM-as-a-Judge 按照三级规则评审；在 100 个随机样本上进行人工标注，一致率为 97%。
• 生成与推理配置：开源模型在 8 张 NVIDIA A100 80GB GPU 上运行（PyTorch 2.3、bfloat16、SDPA 注意力、贪婪解码 do_sample=False、最大生成 512 token）；专有模型调用官方 API（默认采样配置、最大输出 4,096 token），单次查询工具调用上限为 50 次。

主结果

表格较宽，可左右滑动

模型类别	模型名称	MM-SafetyBench (无工具 / 工具调用)	VLSBench (无工具 / 工具调用)	HoliSafe (无工具 / 工具调用)	三基准平均 (无工具 / 工具调用)	平均 ∆RFR (95% CI)
开源权重	Qwen3-VL	28.7 / 34.1	34.4 / 50.4	22.3 / 26.0	28.5 / 36.9	+8.4 ± 1.2
开源权重	Qwen3.5	41.1 / 41.5	50.7 / 56.2	30.1 / 33.8	40.7 / 43.8	+3.2 ± 1.1
开源权重	Kimi-K2.5	42.5 / 47.1	49.3 / 51.6	26.4 / 27.6	39.4 / 42.1	+2.7 ± 1.1
开源权重	Kimi-K2.6	34.1 / 39.1	40.5 / 57.3	17.3 / 26.6	30.6 / 41.0	+10.4 ± 1.7
开源权重	GLM-5V-Turbo	34.5 / 47.5	56.8 / 64.4	24.9 / 42.0	38.7 / 51.3	+12.6 ± 1.6
开源权重	AdaReasoner	68.2 / 74.5	70.3 / 74.9	60.5 / 64.3	66.3 / 71.2	+4.9 ± 1.9
专有闭源	Gemini-2.5-Pro	34.6 / 40.4	45.2 / 50.8	24.0 / 28.2	34.6 / 39.8	+5.2 ± 1.1
专有闭源	Gemini-3.1-Pro	29.2 / 32.6	35.7 / 39.5	16.5 / 22.1	27.1 / 31.4	+4.3 ± 1.0
专有闭源	Claude Opus 4.6	19.8 / 24.5	8.7 / 13.7	12.4 / 16.1	13.6 / 18.1	+4.5 ± 0.9
专有闭源	Claude Opus 4.7	27.7 / 30.8	20.8 / 27.4	13.8 / 18.2	20.8 / 25.5	+4.7 ± 1.1
专有闭源	GPT-5.4	15.5 / 20.0	18.2 / 19.0	10.2 / 11.7	14.6 / 16.8	+2.3 ± 0.9

(注：据 Table 1，数值为拒答失败率 RFR，平均值为三基准未加权均值)

• 普遍性退化：作者报告，所有 11 款被测模型在全部 3 个基准上启用工具调用后 RFR 均发生上升，三基准平均相对增幅为 17.7%（平均绝对 RFR 增加 5.7），相对增幅最高达 68.7%（GLM-5V-Turbo 在 HoliSafe 上从 24.9 升至 42.0）。
• 类别表现差异：工具调用使 MM-SafetyBench、VLSBench 与 HoliSafe 的平均 RFR 分别相对上升 15.0%、17.3% 与 22.5%；开源模型平均 RFR 从 40.7 升至 47.7，专有模型从 22.1 升至 26.3。
• 对齐基线无法免疫退化：无工具下拒答失败率最低的 Claude Opus 4.6 平均 RFR 从 13.6 升至 18.1（在 VLSBench 上相对增加 57.4%）；专为工具微调的 AdaReasoner 也从 66.3 升至 71.2。

上下文稀释验证

• 调用轮次与失败率正相关：在无工具设定下已成功拒答的样本中，调用工具次数越多，拒答失败率越高；Figure 2 显示，未调用工具时 RFR 接近 0，而随着轨迹包含 1 次、2 次或 3 次及以上工具输出，Claude Opus 4.6、Gemini-3.1-Pro 与全模型平均 RFR 持续爬升。
• 重新注入显著降低失败率：在完成最后一次工具调用后重新注入原始图像与用户请求，Figure 3 显示该操作在所有模型与基准上均促进了成功拒答，使全模型三基准平均 RFR 下降 7.6%。
• 作者的解读：作者认为，短轨迹中初始有害意图保持显著，随着中间工具观察结果累积，初始有害意图被稀释，模型转而根据视觉观察内容作答；重新注入恢复了安全关键输入的存在感。

安全关注点偏移验证

• 首句分类分布转变：在无工具和工具调用下均成功拒答的样本中，Figure 5 显示无工具设定下模型首句以直接回答（55.6%）和安全声明（25.8%）为主，观察总结占 20.3%；而在工具调用设定下，观察总结成为主要首句（52.3%），直接回答降至 37.4%，安全声明降至 10.3%。
• 作者的解读：作者认为，详细的工具观测结果占用了模型的注意力资源，导致模型优先陈述视觉发现而非优先考虑安全规范，发生安全关注点偏移。

原生视觉智能体验证

• 测试对象与结果：在工具内部不可控的原生专有系统上对比 Gemini-3-Flash 与 Gemini-3-Flash Agentic Vision（Table 3），后者在 HoliSafe（22.1 升至 38.4）、MM-SafetyBench（35.6 升至 51.5）与 VLSBench（41.5 升至 54.8）上 RFR 均发生上升，平均 ∆RFR 为 +15.2。
• 作者的解读：作者指出，原生商业智能体系统同样出现安全退化，表明该现象并非外部 ReAct 包装器或具体工具实现的特有伪影。

其他消融与分析

• 虚假缩放消融：仅开放缩放工具时，标准缩放与返回原图的虚假缩放平均 RFR 分别为 34.0 与 34.2（Figure 7），作者认为表明工具调用行为本身而非工具返回内容是退化主因。
• 提示词阶乘消融：在 5 款专有模型上，工具使用在简约提示和结构化提示下分别使 RFR 增加 +3.8 ± 0.4 与 +4.2 ± 0.5，而提示词结构本身对 RFR 的影响仅为 +0.1 ± 0.3（无工具）与 +0.5 ± 0.4（工具调用）（Table 2）。
• 统计显著性检验：对所有模型与基准对进行 McNemar 配对检验，无工具拒答而工具调用失败样本数（b）在全部组合中均大于相反情况（c），p 值均小于 0.05（Table 5），作者报告退化在统计学上显著。
• 评审员一致性分析：在随机抽取的 100 个多模型跨基准回答中，GPT-5.2 评审结果与人工标注一致率为 97%（Appendix B.1）。

作者指出的局限与后续方向

• 单一 LLM 评审模型的依赖：评测采用 GPT-5.2 单一模型作为裁判，作者在第 5 节指出，未来可探索引入多个 LLM 裁判的集成机制以进一步提升评估可靠性。
• 系统提示词的潜在结构差异：无工具与工具调用提示词之间存在固有的结构差异，尽管消融实验显示其非主因，作者在第 5 节仍指出需要关注提示词结构对拒绝行为的潜在影响。
• 效用与安全权衡的度量缺失：现有安全基准并非为衡量任务完成表现而设计，客观验证有害请求（如制造爆炸物）的回答质量需要专业知识且难以客观验证，作者在第 5 节指出本研究未详细分析工具调用对通用效用的影响，并将如何有效测量与平衡效用-安全权衡留待未来工作探索。

实验覆盖范围

• 被测模型数量与类别：主实验覆盖 11 款主流开源与闭源 MLLM，另在独立实验中测试了 1 款原生专有系统 Gemini-3-Flash Agentic Vision，未测试其他原生多模态智能体。
• 外部工具集成种类：主实验中的外部工具限定为 4 种（RAM++ 图像打标、局部裁剪缩放、GOT-OCR2.0 字符识别与 Python 代码解释器）。
• 智能体框架与调用预算：主实验采用 ReAct 提示框架，专有模型的单次查询工具调用上限设定为 50 次，开源模型采用最大 512 新 token 的贪婪解码。
• 评测数据集范围：评测覆盖 MM-SafetyBench（1,680 样本）、VLSBench（2,241 样本）与 HoliSafe（4,016 样本）3 个公开图文安全基准，论文未报告其他语言或非配对环境的数据集表现。
• 人工评估样本量：人工与评审模型的一致性检验基于随机抽取的 100 个样本（n=100）。

论文系统评估了智能体工具调用范式对多模态大语言模型拒答能力的影响，指出了工具增强视觉推理背后的安全隐患。

核心探讨的问题在于：当 MLLM 从单次推理转向通过 ReAct 循环调用外部工具（打标、缩放、OCR、代码执行）时，工具使用机制本身是否会降低模型拒答有害请求的概率。

实验在 MM-SafetyBench、VLSBench 与 HoliSafe 三个安全基准上评估了 11 款主流开源与专有模型，结果显示工具调用使得所有被测模型的拒答失败率（RFR）均发生上升，三基准平均相对增幅为 17.7%（绝对值增加 5.7），相对增幅最高达 68.7%（GLM-5V-Turbo 于 HoliSafe，Table 1）。

原生视觉智能体 Gemini-3-Flash Agentic Vision 的平均 RFR 同样相比基础模型上升 15.2（Table 3），通过 McNemar 检验确认退化在统计学上显著（Table 5）。

归因分析提出两大机制：一是上下文稀释，调用工具轮次越多 RFR 越高，而重新注入原请求与图像可使平均 RFR 回落 7.6%（Figure 3）；二是安全关注点偏移，工具调用使成功拒答样本中以观察总结开头的比例从 20.3% 变为 52.3%（Figure 5），注意力被视觉证据挤占。

作者认为，工具调用不应仅被视为能力增强机制，也是能够改变拒答行为的安全相关设计；未来的多模态智能体必须在工具调用条件下进行安全评测与对齐训练，而不能假定无工具环境下的安全对齐可以直接迁移。