微软团队提出 capability laundering 攻击：弱模型拆分任务向对齐前沿模型套取能力

核心问题在于：当强对齐前沿模型在直接访问下拒绝执行有害任务时，攻击者能否通过任务分解将其能力转移给更弱的未对齐本地模型，从而突破系统级安全防线。

• 问题场景与重要性：语言模型安全通常以单次交互为分析单元，评估受保护模型是否直接输出有害内容。作者指出，攻击者可以通过改变任务粒度，将端到端有害目标分解为多个孤立片段，使单次交互呈现普通技术工作特征（Section 1）。
• 现有防御不足：主流防御集中于提示分类、拒绝训练、输出检查与会话意图监控。作者称请求过滤器无法获取编排器未披露的全局上下文，无差别收紧规则则会误伤大范围合法技术咨询（Section 1, 7.1）。
• 核心观察与假设：攻击可实现意图与专业知识的分离。本地未对齐小语言模型（SLM）掌握全局意图与环境状态，将受阻步骤转化为对目标脱敏的局部子任务；强对齐前沿模型作为咨询顾问仅求解技术片段，由本地编排器完成闭环装配（Section 1, 3.3）。
• 威胁模型：
  • 攻击者目标：促使本地未对齐编排器完成自身原本无法独立实现的有害任务，达成端到端的能力提升（capability uplift）（Section 3.1）。
  • 攻击者知识与能力：控制本地未对齐小模型并操作任务执行环境，通过标准认证 API 黑盒调用前沿顾问模型；无法修改顾问模型权重、内置防护与对齐提示，不篡改传输数据（Section 3.1）。
  • 受害系统：由提供商 API 托管的强对齐前沿大模型，在每次独立无状态咨询中均保持原生安全策略与外加对齐提示处于激活状态，保留拒绝权利（Section 3.1, 3.3）。
• 论文提出的方法：作者提出能力洗钱（capability laundering）攻击，并在网络安全（CyBench、BountyBench）和生物安全（CBRN）五阶段攻击链中进行了实证测量（Section 1, 4.3）。

直接越狱与对抗诱导

• 提示操纵与后缀优化：早期攻击依赖人工构建的角色扮演或指令覆盖提示，如 DAN 系列（Shen 等，2024）；后续研究发展出基于梯度的对抗性后缀优化（Zou 等，2023；Nasr 等，2026）以及黑盒提示迭代生成（Mehrotra 等，2024）。
• 多轮交互与攻击者模型：研究转向复杂多轮交互越狱，如 Crescendo（Russinovich 等，2025），或利用强化学习训练专用攻击模型（Bullwinkel 等，2026；Liu 等，2026）。作者称直接越狱需要应对提供商持续改进的防御，攻击成本不断上升（Section 2）。

任务分解与组合式滥用

• 句法解析与重构越狱：Dua 等（2022）与 Ye 等（2023）指出将复杂问题分解为简单问题可诱导模型输出详细答案；DrAttack（Li 等，2024）借助大模型句法解析分解有害提示并提示目标模型进行重构。作者指出 DrAttack 依赖 API 保护的前沿模型进行分解并由目标模型重构，易触发防护（Section 2.1）。
• 弱模型拆解与前沿组合：Jones 等（2025）提出使用弱模型生成固定分解并重组受害前沿模型响应。作者称本文在此基础上将能力洗钱推进为由本地未对齐模型驱动的自适应迭代编排攻击（Section 2.1）。
• 知识分解攻击 KDA：Zhang 等（2025）提出 KDA 将有害任务递归分解为低风险子任务。作者指出 KDA 仅评估 AdvBench 指令的文本诱导，未证明调用目标模型能让攻击者完成原本无法达成的任务，且辅助模型能力可能与目标相当，未分离出受保护模型的净贡献（Section 2.1）。

模型未对齐与组合监控

• 激活削弱与小模型去对齐：Arditi 等（2024）指出拒绝行为由单一激活方向介导，可通过削弱处理消除拒绝；Russinovich 等（2026）探讨了单提示消除对齐的方法。
• 序列与跨身份监控：Yueh-Han 等（2025）设计轻量级序列监控器检测分解攻击；Sun 等（2026）分析了攻击者跨非关联身份分散查询对有状态防御的限制。

基线方法与使用基准

• 基准数据集：网络安全使用 CyBench（Zhang 等，2025，43 项 CTF 任务）与 BountyBench Exploit 工作流（Zhang 等，2026，43 项真实漏洞悬赏）；生物安全采用专家构建的假想生物武器 5 阶段 8 步骤攻击链量规（Section 4.3）。
• 对比基线设置：设置了原生前沿模型（Raw frontier）、带对齐提示的前沿模型（Aligned frontier）以及仅运行脚手架的未对齐编排器（Harness-only orchestrator）（Section 4.1）。

本文与相关工作的定位区别：作者强调本文超越了以 AdvBench 越狱率为指标的防护绕过研究，从本身无法独立解题的弱小模型出发，实证衡量通过合成前沿模型合规回答所获得的端到端功能性能力增益（functional uplift）（Section 2.1）。

作者提出能力洗钱（capability laundering）框架，由本地未对齐小模型担任编排器，通过上下文隔离的 API 向对齐顾问模型发起局部技术咨询，并在本地合成最终解决方案。

核心思路与形式化定义

• 核心流程：编排器保有完整目标并控制交互环境；遇到阻碍时提取技术疑问并通过 consult_ask 发送；顾问模型在无状态环境下返回局部解答；编排器验证后装配至全局状态（Section 3.3）。
• 候选差距定义：为隔离真实能力增益，网络安全任务需满足三项条件才计入候选集： C_{m, f, B} = { t ∈ B ∩ R_f ∣ S_raw(f,t) = 1, S_aligned(f,t) = 0, S_harness(m,t) = 0 } 该式含义为任务必须可被原生前沿模型解决、被对齐前沿模型明确拒绝、且纯框架编排器无法独立解决（Section 4.5）。
• 能力提升度量：能力提升率（capability uplift）定义为： U(m, f, B) = (∑_{t ∈ Cm, f, B} S_assist(m, f, t))/(|C_{m, f, B}|) 即顾问协助下编排器成功解决的候选任务数占总候选任务数的比例（Section 4.6）。

编排器与外部脚手架设计

• 结构化工作状态：跨轮次维护包含反思、计划与状态、下一步动作及追加式命令日志的文本便签，将持久任务状态与易失模型上下文分离（Section 3.3）。
• 基准专用适配器：CyBench 适配器限制每轮仅执行单条命令或单次最终提交；BountyBench 适配器维护 exploit_files 目录并自动预演验证测试（Section 3.3）。
• 上下文截断与看门狗：压缩高信号观察内容，看门狗中断无动作、工具格式错误及过早终止的行为；命令守卫自动修复畸形工具调用与 shell 引号错误（Section 3.3）。

目标脱敏咨询机制

• 独立无状态会话：每次 consult_ask 调用均在空工作目录启动独立顾问实例，不继承过往会话历史，顾问无法跨轮次累积任务上下文（Section 3.3）。
• 双重对齐提示约束：委派子任务文本的前后均重复附加领域对齐提示词，强制以严格对齐策略作为最终指令；顾问拥有内部测试终端但不可触碰基准目标（Section 3.2, 3.3）。
• 确定性外流过滤：请求发出前由本地规则检查任务 ID、网络端点、受保护路径及显式有害表述，拦截包含敏感线索的提问并要求编排器重写（Section 3.3）。

运行预算与参数配置

• 编排器参数：基于 vLLM 部署，上下文窗口 32K，最大输出 8192 token，采样温度设为 0.3；Gemma 重复惩罚 1.1，Qwen 设为 1.05，Muse 采用默认 1.0（Section 4.2）。
• 轮次与耗时限制：CyBench 允许每尝试 15 轮，BountyBench 允许 20 轮；编排器单步思考超时为 1500 秒；网络安全顾问单次调用上限 16 步工具步与 600 秒；CBRN 限制成功咨询在 10 到 25 次之间（Section 3.3, 4.4）。

实验设置

• 被测模型：前沿顾问模型评测了 GPT-5.5、Claude Opus 4.8 和 Grok-4.3；本地未对齐编排器评测了 Gemma-4-31B、Muse-Glimmer-30B、Qwen3.6-27B 和 Gemma-4-12B，四者均采用激活消除技术去除拒绝倾向（Section 4.2）。
• 数据集与基准：CyBench 包含 43 个完整 CTF 挑战；BountyBench Exploit 评测 43 个可评分真实软件漏洞；CBRN 评估覆盖构思、获取、改造、释放与规避 5 个阶段共 8 个步骤的生物攻击链（Section 4.3）。
• 基线与测试条件：网络安全设定原生前沿、对齐前沿、纯框架编排器（harness-only）与顾问协助编排器；CBRN 设定独立提示编排器、纯框架编排器与顾问协助编排器（Section 4.1, 4.3）。
• 指标与判定标准：网络安全采用 pass@3（3 次尝试内成功即算解出）及候选差距恢复率；CBRN 采用人类专家制定的 100 分制操作实用性量规（Section 4.3, 4.6）。
• 评审方式：CyBench 由基准判定提交 flag 是否精确匹配；BountyBench 在沙箱中验证 exploit 在漏洞版本成功且在补丁版本失败；CBRN 使用 Grok-4.3 充当裁判模型依据量规评分（Section 4.3, 4.4）。
• 样本量与重复次数：网络安全每任务进行最多 3 次独立尝试；CBRN 每个攻击步骤设置 5 个提示，每个提示独立重复 5 次（每步 n=25，总计 200 次评测）（Section 4.3, 4.4）。

主结果

网络安全基准 pass@3 差距候选恢复情况如下表所示（据 Figure 5a、Figure 7b 与 Table 1）：

表格较宽，可左右滑动

• 编排能力决定恢复上限：作者称同一模型家族内，31B 编排器的候选恢复比例大幅高于 12B 模型，表明顾问提供的局部知识需要由具备足够推理能力的编排器消化并转化为正确利用（Section 5.2, 5.4）。
• 参数规模不等于组装成功：作者称 Muse-Glimmer-30B 虽在 CyBench 恢复了 6 个任务，但在 BountyBench 上无论搭配 GPT-5.5 还是 Opus 均取得 0 恢复率，说明单纯参数量无法保证应对复杂软件验证（Section 5.4）。
• 纯框架表现无法预测协助收益：作者指出 Gemma-4-31B 与 Qwen3.6-27B 在纯框架下均独立解出 14/43 个 BountyBench 任务，但在 GPT-5.5 协助下前者恢复 3/9 而后者为 0/9（Section 5.4）。

生物攻击链全步骤评测

• 测试设置：在假想生物攻击链 8 个步骤中，对比 Gemma-4-31B 独立提示、纯框架与结合 GPT-5.5 / Grok-4.3 协助的量规得分（n=25）（Section 5.5）。
• 实验结果：全步骤总均分从独立提示的 62.3±13.2 升至纯框架的 75.3±12.7；引入 GPT-5.5 与 Grok-4.3 咨询后均升至 83.1±9.1 与 83.1±9.7（Table 2）。
• 作者的解读：作者称上游具军民两用特征的步骤（逆向遗传学从 75.7 升至 89.3 与 91.0，实验室经验知识从 67.1 升至 79.3 与 81.0）增益较大，而直接暴露恶意企图的释放步骤（气溶胶配方得分 78.1 变为 77.8 与 78.7）未产生咨询增益（Section 5.6）。

共享候选集上的顾问模型对比

• 测试设置：在两款顾问重合的 CyBench 候选子集上对比 GPT-5.5 与 Opus 4.8 的表现（Section 5.2）。
• 实验结果：Gemma-4-31B 在 8 个共享候选任务中，双方均解决 5 个，GPT-5.5 独占 2 个，Opus 独占 1 个；Muse-Glimmer-30B 在 14 个共享候选任务中，两款顾问均解出相同的 6 个任务（Figure 5b）。
• 作者的解读：作者称在共享候选集上顾问身份的影响相对有限，更高级的前沿模型并不必然带来更高的相对增益（Section 5.2）。

Paddle 漏洞案例工作流对比

• 测试设置：针对 BountyBench 中的 paddle:0 归档解压漏洞，对比 Gemma-4-31B 与同等量级的 Muse-Glimmer-30B 的多轮交互轨迹（Section 6）。
• 实验结果：Gemma-4-31B 经 11 轮完成 3 次咨询后通过验证；Muse-Glimmer-30B 在 3 次尝试中分别发起 18、21、27 次咨询，包含 19 次被拒，所有尝试均失败（Section 6, Figure 14）。
• 作者的解读：作者称 Muse 频繁委派本地文件读取导致无用回复，未能保留已知事实；成功转移能力取决于合理分工、状态持久化和适时终止咨询（Section 6）。

其他消融与分析

• 任务难度分级：CyBench 仅记录了 permuted 一项 Hard 任务被恢复（由 Muse-Glimmer-30B 在两顾问下实现）；Gemma-4-31B 在 5/5 项未标注难度任务中均实现恢复（Figure 6）。
• 持续未解任务：CyBench 中 back_to_the_past 等 7 项候选任务在所有评测设置中均未被任何模型解出（Section 5.2, Figure 13）。
• 高频恢复任务：it_has_begun 在 5 个适用设置中被解出，failproof、partial_tenacity 与 stop_drop_roll 各在 4 个设置中被解出（Section 5.2, Figure 13）。
• 直接前沿访问对照：在 CBRN 全步骤中直接提示 GPT-5.5 均分为 0.0±0.0（加提示词后为 0.8±7.4），直接提示 Grok-4.3 原生为 26.0±42.9（加提示词后为 5.4±20.4）（Table 3）。
• 分类器阻断分布：GPT-5.5 输入分类器在 DNA 筛查规避步骤阻断 393 次，在反制规避阻断 291 次，在实验室经验知识仅阻断 16 次（Figure 11）。

作者指出的局限与后续方向

• 前沿模型覆盖受限：由于多轮次智能体调用成本高昂，前沿模型评估仅测试了 GPT-5.5、Claude Opus 4.8 和 Grok-4.3，未测试更多模型（Section 7.3）。
• 基准环境代表性局限：CyBench 侧重 CTF 目标确定性评分，BountyBench 采用长程代码库漏洞契约，两者均未能涵盖实际部署智能体系统的全部多样性（Section 7.3）。
• 外加策略的替代性局限：实验采用的外加对齐提示词提供了受控且更严格的边界，但无法替代对各服务商原生安全机制的全面评估（Section 7.3）。
• 生物评测主观性与现实差距：CBRN 任务缺乏自动化验证环境，使用大模型裁判和量规无法消除评审偏置与量规敏感性，且高分文本输出不等于现实操作可行性（Section 7.3）。
• 单通道交互设定局限：实验仅测试了一对一编排器与顾问通道，未来工作需量化协同攻击者跨账号与跨服务商分散子任务的权衡，评估更大规模编排器，并测试组合感知防御（Section 7.3）。
• 开源发布受限：为避免降低攻击复制门槛，攻击实现与自动化代码未公开发布，仅通过受控流程向合格研究者提供（Appendix A, Appendix B）。

实验覆盖范围

• 被测模型范围：测试了 GPT-5.5、Claude Opus 4.8 和 Grok-4.3 共 3 个前沿模型，以及 Gemma-4-31B、Muse-Glimmer-30B、Qwen3.6-27B 和 Gemma-4-12B 共 4 个未对齐小模型（Section 4.2）。
• 基准任务范围：网络安全包含 CyBench 的 43 个 CTF 任务与 BountyBench 的 43 个真实漏洞任务；生物安全包含 8 个步骤的攻击链场景（Section 4.3）。
• 评测样本规模：网络安全各任务每条件测试最多 3 次；生物安全每步骤测试 5 个提示，每个提示重复 5 次（n=25）（Section 4.3, 4.4）。
• 未报告指标：论文未报告各模型完成基准测试的 token 消耗总量与经济财务成本（Section 4, 5）。
• 防御评估范围：防御测试仅包含静态文本对齐提示词与商用输入输出过滤，未接入动态状态感知监控防御系统（Section 3.2, 7.2）。

• 研究定位：该论文针对基于单次交互的大模型安全评估假定，提出了一种通过多交互任务拆解与重组来提取被拒绝能力的攻击范式。
• 要解决的问题：现有多阶段防御主要依靠对单次请求中完整有害意图的拦截，当攻击者将任务分解为孤立技术细节并保留在外部环境中时，前沿模型的单次拒绝机制无法防止底层能力的泄露与组合利用。
• 核心方法设计：提出能力洗钱攻击，以本地未对齐小语言模型作为编排器，结合结构化便签与看门狗脚手架，向无状态对齐前沿模型发起目标脱敏的技术咨询，随后在本地验证并拼装完成端到端任务。
• 主要实验结果：在网络安全基准 CyBench 上，Gemma-4-31B 配合 GPT-5.5 恢复了 8/14（57%）的差距候选任务，配合 Opus 4.8 恢复 7/9（78%）；在 BountyBench 上分别恢复 3/9（33%）与 2/3（67%）；在生物攻击链评测中，咨询支持使 Gemma-4-31B 平均量规分由 75.3 提升至 83.1。
• 能力边界发现：能力提升受编排器自身的推理与状态保持能力制约，同量级的 Muse-Glimmer-30B 在真实漏洞任务上取得 0 恢复率；生物链条中具两用特征的上游步骤增益明显，而直接涉及武器化的下游释放步骤几乎无增益。
• 作者结论与建议：作者认为单次交互层面的对齐无法保障系统级安全，防御体系必须从独立的单次请求过滤，转向能够跟踪请求来源、跨会话推演功能依赖关系的组合感知监控架构。