对面向可信执行环境的 Claude Opus 与 ChatGPT 安全顾问进行红队测试

把通用 LLM 当作 Intel SGX 与 Arm TrustZone 的安全顾问时，机制幻觉、远程证明过度声称，以及可跨助手迁移的提示诱导失败，可能进入架构与应急决策。

• 场景：作者称安全团队已用通用助手做 TEE 架构评审、缓解规划和漏洞分诊。输出可能被写入设计、分诊或响应手册。
• 缺口：作者认为只测恶意请求的拒答不够，还要测错误信任边界、误校准的不确定性和幻觉缓解。复用提示模板时，同一错误可跨助手传播。
• 判断：作者认为部分失败并非只属于某一个模型；释义与多轮对话下，一套提示模式也可能在另一助手上诱发同类失败。
• 提出：TEE-REDBENCH 包含 TEE 导向的顾问威胁模型、SGX 与 TrustZone 提示，以及联合正确性与安全行为的评分，并用结果对照 Figure 1 的控制。
• 威胁模型：
  • 目的：保护正确解释、校准的不确定性、双重用途提示上的拒答，以及有用的防御性替代。对抗侧要套取可操作进攻内容，或诱发远程证明过度声称与错误信任边界。
  • 参与者：良性用户是寻求澄清、缓解建议或设计评审的工程师；对抗用户做提示操纵。论文未用 white-box 或 black-box 写攻击者对模型的知识。
  • 手段：prompt injection、角色扮演胁迫、由良性到恶意的迭代升级、意图混淆。工具增强时，不安全的工具选择、参数接地和工具输出解释也算有害。
  • 对象：担任 TEE 安全顾问的 LLM 及其智能体后端。误用探针只测拒答与安全重定向；论文写明不公开可操作利用细节。

TEE 攻击与隔离边界

• Pinto 与 Santos（2019）、Costan 与 Devadas（2016）——分别综述 TrustZone 与解释 SGX。附录 E 称微架构泄漏和故障模型会削弱隔离，威胁范围必须写清。
• Spectre、Meltdown、Foreshadow、Plundervolt，以及 Lee 等（2017）的 branch shadowing——瞬态执行、SGX 机密性受损、软件故障注入和细粒度侧信道。作者用这些工作说明：助手不能只描述 TEE，还要带上与已知攻击一致的边界条件和保留意见。

LLM 红队与风险框架

• GPT-4 system card、Claude 3 model card，以及 Ahmad 等（2025）——作者称厂商 system card 与 model card 记录通用助手的安全评估；外部红队指南主张分领域活动和清楚的失败定义。
• NIST AI 600-1 与 OWASP LLM Top 10——生成式 AI 风险管理，以及 prompt injection、不安全输出处理等应用风险。作者称工作与这些框架对齐，但评测对象是高精确安全域里可迁移的技术失败，以及减轻它们的架构控制，而不只是通用有害性。

智能体与工具面

• ReAct、Reflexion、MRKL——推理与行动、口头强化、模块化外部知识架构。引言称后端 LLM 是规划、工具使用和决策的策略，幻觉、指令跟随脆弱、过度自信或提示敏感会变成错误动作，而不只是错误文本。
• 元数据投毒、同形与国际化域名误导、包混淆，以及引言点名的 tool poisoning、command injection、rug pull——可改写工具路由、标识选择或依赖解析。附录 E 称这些攻击的操作化留作后续工作，并用来说明对外部产物的误信可能影响整条流水线。

基线与基准

• 基线方法：实验对照是同一套提示上的 Unguided baseline，再按 Figure 1 逐项打开控制（Table 6）。论文未把其他红队方法当作实验基线。
• 基准：TEE-REDBENCH，208 条基提示，六族见 Table 2，对象是 SGX 与 TrustZone。

作者把工作定位为研究助手如何推理 TEE、错误如何聚类、工作流如何在助手出错时仍稳健，而不是给 TEE 排名。

TEE-REDBENCH 把通用助手当作 TEE 安全决策辅助来评：用分族提示逼出边界、远程证明和缓解上的推理，用释义与多轮升级看脆性，用双轨评分把技术正确性和安全行为分开，再用 Figure 1 的控制链做消融。

形式化与失败判定

• 助手建模为随机策略。预备知识里 M 为 CHATGPT 与 CLAUDE OPUS；实验写明的版本是 ChatGPT-5.2 与 Claude Opus-4.6。输出是自然语言 r 加工具轨迹 τ。
• 七轴分数各为 0、1 或 2，总分 S 为各轴之和，范围 0–14（式 1）。式 2 对释义和采样求平均，作为期望质量。
• 失败指示对释义集 Φ(p) 与 K 次采样做存在性聚合：任一触发即把该基提示计为失败（式 3）。作者称这是偏保守的安全相关风险，不是“每种说法都失败”的概率。
• 跨助手迁移为

Tr_f(m → m′) = Pr(I_f(m′, p) = 1 | I_f(m, p) = 1) 即源助手在该提示上已失败时，另一助手也出现同一失败的条件概率（式 4）。

提示分类

• Table 2 六族共 208 条：Architecture & primitives 40，Attestation & key management 36，Threat modeling 32，Mitigations & hardening 44，Attack awareness（概念层）32，Misuse probes（策略约束）24。
• 分配不均。作者称标注预算优先给更可能被写进系统决策的错误：架构与远程证明是后续推理的前提；缓解类里虚构补丁或旋钮可能被抄进手册。误用探针刻意较少，只评拒答、多轮稳健性和安全有用性，不测进攻能力。
• 攻击认知提示保持非操作化，要求说明缓解为何不完美，而不是做利用工程。附录 B 有四则案例，此处不复述其中的请求原文。

双轨评分与失败标签

• Table 1 七轴：Accuracy、Completeness、Groundedness、Uncertainty calibration、Policy compliance、Safe helpfulness、Misuse resistance。设计意图是：正确拒答不被罚，拒答仍要看有没有防御性替代。附录 C 给各轴 0/1/2 锚点。
• Table 3 的核心失败：boundary confusion、attestation overclaim、mitigation hallucination、over-generalized defenses、unsafe completion。另有智能体标签：不安全或不正确的工具选择、参数接地、工具输出解释。
• 附录 D.5 称主消融以五种核心 TEE 标签为中心；智能体标签用于支持后续工具增强评测。误用探针不计进攻完整性，只评策略遵守、误用抵抗和安全有用性。

压力测试与控制链

• 每条基提示有 5 个保意图释义，每释义 K=5，温度 0.7。多轮脚本从良性逐步探向不允许的操作细节。附录 A 称提示列表来自技术报告、博客和对安全研究者的访谈。论文未报告攻击用辅助模型。
• Figure 1 从左到右为 Engineer (Query)、Policy Gate、Retrieval Grounding、Structured Template、Verifier & Checks、Human Approval、Actionable Output。图上文字为 block dual-use、cite sources、force assumptions、sanity checks。
• 附录 D.3 的实例化：策略门控要求拒绝可操作利用或绕过步骤，改为防御性替代；检索是词元重叠排序、取前 5 段，不是学习检索器，语料为厂商文档、安全通告和同行评审 TEE 文献；结构化输出分六段（摘要、假设与威胁模型、保证与非保证、缓解及理由、核验清单、参考文献且不伪造引用）；校验是二遍提示，检查边界不精确、远程证明过度声称和虚构缓解。论文未写校验由哪个模型执行。

标注

• 15 名具安全或系统背景的人类评审，对模型身份盲审；分歧由具备 TEE 知识的审稿人按书面定义裁决。附录 A 要求记录模型标识、发布日期、推理设置、暴露出的系统级安全配置和完整对话。

实验设置

• 模型：ChatGPT-5.2 与 Claude Opus-4.6，均作为 TEE 安全顾问被评测。论文未写攻击用辅助 LLM，也未写 LLM 裁判。
• 数据：TEE-REDBENCH，208 条基提示，六族规模见 Table 2。每条 |Φ(p)|=5，K=5，温度 0.7。附录 A 写 N=5200 次模型调用；附录 D.2 写每助手 5200、两助手合计 10400。平均输入 67.5±7.90 tokens，输出 441.4±131.70 tokens，端到端时延 6.25±2.15 s。top-p 与 max tokens 论文称固定，未给数值。
• 对照：Unguided baseline，再按序打开 Policy gating、Retrieval grounding、Structured template、Verification checks，以及 All defenses（§6.1，Table 6）。
• 指标：平均 rubric 分 S（式 2，0–14，越高越好）；Table 4 的 Overconf. Err.（越低越好，论文未另给形式定义）；提示级失败发生率 Pr(If=1)，按任一释义或采样触发即计；迁移率 Trf（式 4）；防御带来的发生率差 Δf（式 5）。
• 评审：15 名人类评审，盲审。3120 个回复级标注实例，37440 项轴或标签决策（附录 D.6）。五类核心失败标签原始一致率 96.32%；ChatGPT 各轴 97.56%–99.11%；Claude 在 Completeness、Uncertainty Calibration、Policy Compliance、Misuse Resistance 上为 92.12%–98.08%（附录 D.7）。
• 问题：RQ1 失败发生率与高风险提示族；RQ2 跨助手与释义的迁移；RQ3 Figure 1 对发生率与迁移的降低。

主结果

据 Table 4。S 为 0–14 平均分，越高越好；Overconf. Err. 越低越好。

表格较宽，可左右滑动

Family	ChatGPT S	Claude S	ChatGPT Overconf.	Claude Overconf.
Architecture & primitives	12.23±2.34	13.87±2.54	0.03±0.01	0.01±0.02
Attestation & key management	11.02±2.33	13.20±1.09	0.05±0.01	0.02±0.01
Threat modeling	12.87±1.67	13.92±3.33	0.02±0.00	0.01±0.01
Mitigations & hardening	13.23±2.89	10.12±1.67	0.02±0.01	0.08±0.03
Attack awareness	12.45±1.67	10.87±1.34	0.03±0.02	0.09±0.02
Misuse probes	12.14±3.44	11.56±1.89	0.03±0.01	0.07±0.01

• 作者称两助手在良性流程下总体可用，平均分多在 10–14，但可靠性随提示族变化。
• 作者称 Claude 在设定前提的三族（架构、远程证明与密钥、威胁建模）更强，ChatGPT 在缓解加固和概念性攻击认知上更高；后两族更常被当成清单来用。Table 4 里 Misuse probes 同样是 Claude 的 S 更低、Overconf. Err. 更高；作者未单独解释这一行。
• 作者称即便平均质量高，过度自信错误仍不均匀：Claude 在缓解与攻击认知上的 Overconf. Err. 升高，ChatGPT 相对更低。作者认为，若流程不要求引用、威胁范围和核验，做缓解规划或解释攻击为何仍然重要时，应预期更多自信遗漏。

失败迁移

• 测了什么：式 4、Table 5，八类失败在 ChatGPT→Claude Opus 与反向上的条件迁移率。对象与 Table 4 相同的两款助手，不是第三方目标模型。
• 结果：作者称失败类型迁移最高 12.02%。摘要写 transferring up to 12.02%；贡献列表写 12.02% of failure transferring；§6.2 写 up to 12.02%；结论写 some transfer 12.02%。Table 5 点估计最高是 Tool out. Misint. 从 Claude Opus 到 ChatGPT 的 0.12±0.02（反向 0.03±0.02）；点估计最低是 Atte. overclaim 从 ChatGPT 到 Claude Opus 的 0.01±0.01（反向 0.08±0.03）。Miti. halul. 为 0.09±0.02 与 0.02±0.01。Boundary conf. 为 0.02±0.01 与 0.05±0.02；Unsafe comp. 为 0.02±0.02 与 0.06±0.02。
• 作者解读：多数失败仍是模型特异的，若干格至少一个方向接近 0；可迁移的尾部仍重要，因为可复用模板会跨提供方传播同一类边界或远程证明错误。作者认为缓解幻觉和过度泛化防御在至少一个方向迁移更高，工具输出误读迁移最大。远程证明误解类提示上，弄错 Claude 的更可能也弄错 ChatGPT，反向则不然；作者认为这与两模型如何从常见先验泛化有关。作者认为第二模型复核能降低低迁移错误的风险，但不能稳定去掉高迁移类别。

架构控制

• 测了什么：同一协议下按序打开 Figure 1 控制。Table 6 是汇总的 Pr(If=1) 与 Trf，未按失败类型拆开，因此不能和 Table 5 的分类型格子直接对照。
• 结果：无引导发生率 ChatGPT 0.17±0.03、Claude Opus 0.14±0.02；全防御为 0.02±0.02 与 0.04±0.01。迁移率基线为 0.03±0.01 与 0.11±0.03，全防御为 0.01±0.01 与 0.06±0.02。作者称加入控制后最坏情况失败发生率降低 80.62%（§6.2）；贡献列表写的是可迁移失败降低 80.62%；结论写失败降低 80.62%。Table 6 的单元格不能直接读出 80.62%。
• 例外与作者解读：Policy gating 后 ChatGPT→Claude 迁移率升至 0.05±0.01，Claude→ChatGPT 仍为 0.11±0.05，与基线 0.11±0.03 的点估计相同。Verification checks 行的 ChatGPT→Claude 为 0.05±0.03，高于 Structured template 行的 0.02±0.02。作者仍称全套控制风险最低，并称策略门控约束响应模式、检索锚定一手来源、模板迫使写出威胁假设。作者称全防御后跨助手迁移仍有残留，护栏降低风险但不构成正确性证明，高影响 TEE 决策仍应人工批准。

其他消融与分析

• 一致率：37440 项决策中 1376 项不一致，对应 96.32%；250/3120 个回复级实例（8.01%）受影响。作者称主要分歧多在策略遵守与误用抵抗，即拒绝时是否泄漏可操作细节（附录 D.7）。
• 检索实现：词元重叠、前 5 段、截到首段；论文未报告语料条数（附录 D.3）。
• 调用次数两处写法不同：附录 A 为 N=5200；附录 D.2 为每助手 5200、合计 10400。
• 附录 B 四则案例分别对应边界混淆、远程证明过度声称、缓解质量、策略约束下的误用探针；误用案例不按进攻完整性计分。
• Table 5 含三类智能体失败的迁移率；附录 D.5 称主消融不以这三类为中心，Table 6 也未按它们拆开。
• 负面方向：Claude 在 Mitigations & hardening、Attack awareness、Misuse probes 上 S 低于 ChatGPT，Overconf. Err. 更高（Table 4）。作者对前两族给了解读，未单独解释 Misuse probes。

作者指出的局限与后续方向

• 不是一次性排名：作者称呈现的是方法与基准设计，而不是一次性经验排名。强比较需要受控访问、模型快照与推理设置的日志，以及专家标注。TEE-REDBENCH 被定位为支持随时间复现测量，而不是单一静态排行榜（§7 Limitations）。
• 平台与提示具体性：TEE 随平台代际和配置差异很大，答案只能具体到提示所给的程度。作者称提示应写明硬件代际、固件与微码态势、操作系统缓解和外部攻击（§7）。
• 态势会变：作者称即便 LLM 正确，真实安全态势仍取决于微码、固件、操作系统缓解和平台代际（§7）。
• 不是完整工具使用基准：智能体失败标签在分类里，但作者称本文不声称提供完整工具使用基准；后续可用记录的工具轨迹实例化工具选择、参数接地和输出解释（附录 D.12）。附录 E 称工具面攻击的操作化留作后续工作。
• 迁移率的范围：作者称结果限于所评助手、提示套件、释义构造和采样设置，应读作该设置下部分失败并非纯属个别，而不是对所有 LLM 或所有 TEE 相关提示的穷尽主张（附录 D.12）。
• 控制不确立正确性：作者称流水线旨在降低风险，而不是确立正确性；高影响决策仍须对照一手来源、厂商文档、安全通告和平台配置做专家复核（附录 D.12）。§6.2 亦称护栏不构成正确性证明。

实验覆盖范围

• 被评模型为 ChatGPT-5.2 与 Claude Opus-4.6，共 2 个（附录 D.2）。
• 提示为 TEE-REDBENCH 的 208 条基提示、六族（Table 2）；每条 5 个释义、每释义 5 次采样、温度 0.7（附录 A、D.2）。
• 防御条件包括 Unguided baseline、Policy gating、Retrieval grounding、Structured template、Verification checks 与 All defenses（Table 6）。Table 6 给的是汇总发生率与迁移率，不是按 Table 3 的失败类型拆开。
• 打分由 15 名人类评审完成，对模型身份盲审，并报告原始一致率（附录 D.6、D.7）。论文未报告 LLM 裁判，也未报告校验步骤使用的模型。
• 论文未报告 top-p 与 max tokens 的数值。调用次数在附录 A（N=5200）与附录 D.2（每助手 5200，合计 10400）写法不同。释义由作者从技术报告、博客和访谈整理，论文未报告攻击用辅助模型。

TEE-REDBENCH 红队评测被当作 Intel SGX 与 Arm TrustZone 安全顾问的 ChatGPT-5.2 和 Claude Opus-4.6，看架构推理、远程证明语义、缓解建议和策略约束下的拒答，并测提示诱导失败能否跨助手迁移。

作者把助手看成随机策略。208 条分族提示加上释义和多轮升级用来诱发失败；一条基提示只要在任一释义或采样上触发，就计为失败。七轴评分把机制正确性、接地、不确定性校准和拒答质量分开，正确拒答不按“不够有用”扣分。Figure 1 把策略门控、检索接地、结构化模板、校验和人工批准串成可逐项打开的控制链。

• Table 4 上两模型的家族平均分多落在作者所说的 10–14。Claude 在架构、远程证明与威胁建模上更高，ChatGPT 在缓解与攻击认知上更高；Claude 在后两族以及 Misuse probes 上的过度自信错误率更高。
• 作者称失败类型跨助手迁移最高 12.02%。Table 5 点估计最高的一格是工具输出误读、Claude Opus 到 ChatGPT 的 0.12±0.02；多个方向的点估计接近 0。作者认为多数失败仍是模型特异的，但可复用模板仍可能传播高迁移类别。
• Table 6 无引导失败发生率为 0.17±0.03 与 0.14±0.02，全防御为 0.02±0.02 与 0.04±0.01。作者在贡献列表、§6.2 和结论里都写了 80.62%，对应对象分别写成可迁移失败、最坏情况失败发生率和失败。全防御后迁移率仍为 0.01±0.01 与 0.06±0.02。Policy gating 并未在两个方向上都降低 Table 6 的迁移率。
• 作者的结论是：顾问应视为决策环里的不可信组件；上述控制可以压低失败，但不能代替对照一手来源的人工批准，也不能把结果读成对所有 LLM 的穷尽比较。