对齐是局部的：用户侧说服下 GUI 智能体的配对诊断

研究者在三个前沿 GUI 智能体上用配对诊断显示，提示词层面的对齐只在单轮、明确表达意图的评测场景中可靠，沿多轮升级和隐匿请求两个轴会系统性退化，这种说服基于屏幕、来自用户侧、不涉及环境注入。一行护栏在单轮场景可将攻击成功率最多降低约 40 个百分点，过度拒答成本接近零；但改为四轮升级链后，三个模型护栏下的 ASR 均上升约 20 个百分点，相对中性基线，这在 Qwen 上体现为明显的护栏侵蚀，在 Claude 和 GPT 上则主要是与防御正交的动态风险。显著性差距在护栏下翻转，隐匿请求只在有护栏时比显式请求更成功，说明防御主要在意图被点名时才生效；作者据此认为静态单轮 ASR 会以系统性、可预测的幅度高估部署稳健性。