硬件位翻转如何影响 LLM 智能体：安全与对齐行为可变

随机硬件故障损坏的模型输出，进入 LLM 智能体闭环后会变成哪些系统级结果？

• 场景：作者称 LLM 已被用作自主智能体的决策部件，服务依赖加速器与异构内存，硬件故障仍是问题。文中举例的应用包括自主科研、软件工程和网页自动化。
• 既有缺口：作者称先前硬件故障研究多把一次生成当作传播终点。智能体失败研究扰动工具、API 响应或外部输入；作者称那些损坏不在模型状态内，也不会由同一损坏模型反复执行。
• 要回答的问题：损坏输出进入执行轨迹后会发生什么。闭环中，它可触发动作，动作结果再成为后续步骤的上下文。
• 做法：作者向权重注入独立采样的随机两位故障，并沿完整执行追踪传播。作者称这是对 LLM 智能体随机硬件故障韧性的系统性研究。
• 作者归纳的结果：智能体有时能从损坏的中间输出恢复并仍完成任务；执行成本会上升；少数故障造成语义上有意义、但外观仍正常的错误；在部分模型与场景中，安全与对齐相关行为会改变。

智能体执行中的失败

• 栈上扰动：Zhu 等人（2026）、Tan 等人（2026）、Zhang 等人（2025）和 Liu 等人（2026）扰动工具、API 响应或外部输入。作者称这可产生错误或不可用的工具结果、损坏的 API 响应或不一致输入，并触发重规划、恢复和后续级联失败。
• 作者标出的差别：作者称那些故障来自执行栈组件。本文的故障在 LLM 模型状态内部；权重损坏会在后续调用中复用，动作也由损坏后的模型做出。

模型的硬件故障韧性

• 分类与 Transformer：Ibrahim 等人（2020）、Li 等人（2017）、Reagen 等人（2018）和 Hong 等人（2019）评估分类模型在硬件故障所致参数按位损坏下的行为。Roquet 等人（2024）与 Coalson 等人（2026）把分析扩展到视觉和视频模型。
• LLM 推理：Agarwal 等人（2023）、Sun 等人（2025）和 Huang 等人（2026，LLMFI）研究 LLM。作者称 Sun 等人报告随机按位故障会使生成质量下降，推理密集型负载上尤其如此；LLMFI 按推理阶段、模型组件和比特位置刻画传播。
• 作者标出的差别：作者称这些工作大多把生成输出当作传播终点。本文在完整闭环执行上刻画随机硬件诱导的按位故障。

对照与故障模型来源

• 无故障对照：数量对照是同一任务的无故障运行。基准为 HomeBench、AgentDojo 和 Agentic Misalignment。
• 两位故障：沿用 Sun 等人（2025）与 Huang 等人（2026）。作者称它对应超出现代 GPU 单错纠正 ECC 能力的内存错误，并引用 Oles 等人（2024）、Zhu 等人（2025）和 NVIDIA（2023）。

作者把本文与上述工作分开的两点是：损坏位于会持续复用的权重，评估做到闭环执行结束，而不是停在单次模型输出。

作者把随机两位权重损坏注入会持续复用的模型状态，再按各基准原有指标观察完整智能体执行，而不是只看一次生成。

故障模型与注入

• 注入什么：每次故障执行随机选择一个权重，并在其表示中翻转两位。损坏权重在该次执行中一直保留，后续 LLM 调用因此复用同一损坏状态。
• 不注入什么：智能体运行时、工具和基准环境保持无故障。
• 如何重复：每个基准在固定任务集上重复执行，各次故障独立采样。本次共三个基准、218 个任务；每任务 8–13 次无故障运行、15–25 次故障注入运行，合计 6,814 次执行。
• 作者给出的理由：关注权重，是因为权重跨连续 LLM 调用复用，便于看持久模型状态中的损坏如何穿过闭环。两位模型沿用先前 LLM 韧性研究，作者称其对应超出单错纠正 ECC 能力的内存错误。论文未说明层、比特位置或数值格式。

工作负载与模型

• HomeBench：结构化动作生成，作者用作高通量刻画负载。
• AgentDojo：安全敏感的工具调用智能体，用来看任务正确性之外的效应。
• Agentic Misalignment：后果性自主决策场景，用来看对齐相关行为是否变化。
• 模型：全部负载的主模型是 Qwen3.6-27B。为检查模型依赖性，另用 Qwen3.8-27B 和 Granite4.1-30B。

度量

作者不设跨负载的单一指标，沿用各基准定义，并分三方面看。

• 任务结果：智能体最终是否完成预定任务。
• 执行成本：执行中的额外计算，例如输入与输出 token。
• 后果性行为：用基准自带的安全与对齐相关指标，看任务正确性之外的效应。

实现

附录 A 称框架用 Python 3.11.15、PyTorch 2.11.0 和 CUDA 13.0 实现，智能体经 Inspect AI（v0.3.123）执行。AgentDojo 与 Agentic Misalignment 用 Inspect Evals（v0.10.0）的官方实现，HomeBench 用其官方仓库实现。机器有两套：48 核、768 GB 内存、八块 NVIDIA A40；112 核、2 TB 内存、八块 NVIDIA H100。论文未说明哪些运行在哪套机器上。证据来自对权重的受控翻转后再观察执行，论文未做按层或按比特位置的分解。

实验设置

• 模型：Qwen3.6-27B 是全部负载的主模型；Qwen3.8-27B 与 Granite4.1-30B 用于检查模型依赖性。三个模型都在故障注入下被评测。
• 规模：HomeBench、AgentDojo、Agentic Misalignment，共 218 个任务。每任务 8–13 次无故障、15–25 次独立采样的故障注入，合计 6,814 次。摘要另写 2,400+ 次无故障和 4,300+ 次故障注入。论文未报告各基准任务数。
• 对照与故障：对照是同一任务的无故障执行。每次故障随机选一个权重并翻转两位；运行时、工具和环境无故障。
• 指标：任务结果、输入 token、输出 token、智能体轮次，以及基准原有的安全/对齐指标。HomeBench 用 exact-match。AgentDojo 报告攻击成功率与 utility。Agentic Misalignment 报告 harmful action 与 classifier verdict。
• 判定限制：AgentDojo 的攻击成功率只在 utility 正确、且智能体收到提示注入的无故障–故障配对上计算。Agentic Misalignment 的分类器是哪个模型，论文未说明。
• 恢复分析范围：作者称只在 AgentDojo 上分析恢复，因为它是本次评估中唯一包含多轮、且后续动作可以补偿先前错误的基准。论文未报告统计检验。

主结果

下表只含 Qwen3.6-27B，是无故障到故障执行的变化，据 Table 2。“–”表示该基准单轮设计下被固定的量。其他模型的成本，论文未报告。

表格较宽，可左右滑动

基准	输入 token	输出 token	智能体轮次
HomeBench	–	+51.3%	–
AgentDojo	-3.5%	+5.6%	-5.1%
Agentic Misalignment	–	+31.7%	–

• 任务与成本可以分开：HomeBench 上，作者称 exact-match 只从 75.6% 降到 71.4%，即 4.2 个百分点；均值输出 token 从 1,656 到 2,505，增幅 51.3%（第 4.2 节，与 Table 2 同一主模型）。
• AgentDojo 并非各项都升：作者称输入 token 与轮次略降，是因为 token storm 常常没有有效动作，框架提前结束。作者称中位数输出 token 增幅为 +3.8%–16.6%，低于均值 +5.6%–51.3%，论文未按基准列出中位数。
• 38.0% 与 token storm：引言称故障执行的均值输出 token 可增加 38.0%。第 4.2 节称跨基准汇总增加 38.0%，token storm 执行占这些新增 token 的 96.0%。Table 1 中 token storm 的恢复率是 0.0%。

闭环恢复

只测 AgentDojo。两类中间错误是畸形工具调用，以及 token storm：模型反复发出同一 token，直到该轮输出 token 上限。Table 1 的错误率在全部故障执行上计算；恢复率在出现该错误的故障执行上计算。正文另写畸形调用占全部工具调用的 2.3%–61.4%，数字区间与表相同，测量对象以 Table 1 为准。

表格较宽，可左右滑动

模型	错误类型	错误率	恢复率
Qwen3.6-27B	token storm	11.3%	0.0%
Qwen3.6-27B	畸形工具调用	11.0%	24.4%
Qwen3.8-27B	token storm	1.3%	0.0%
Qwen3.8-27B	畸形工具调用	61.4%	25.9%
Granite4.1-30B	token storm	4.8%	0.0%
Granite4.1-30B	畸形工具调用	2.3%	3.3%

• token storm 不恢复：三个模型都是 0.0%。作者称这类生成没有有效动作，AgentDojo 将该轮判为没有进展并终止轨迹。
• 畸形调用可部分修复：恢复率为 3.3%–25.9%。作者称有两种观察：发现环境没有发生预期改变后发出修正调用；或对照工具 schema 发现不匹配后重写调用。Qwen3.8-27B 的错误率是 61.4%，恢复率 25.9%；Granite4.1-30B 的恢复率是 3.3%。

安全与对齐相关行为

下表据 Table 3。攻击成功率属于 AgentDojo，且经过 utility 正确、收到注入的配对控制；后两列属于 Agentic Misalignment。箭头左为无故障，右为故障执行。

表格较宽，可左右滑动

模型	攻击成功率	harmful action	classifier verdict
Qwen3.6-27B	32.7%→32.5%	33.3%→42.2%	38.9%→46.7%
Qwen3.8-27B	2.6%→3.0%	5.6%→3.4%	11.1%→6.7%
Granite4.1-30B	51.3%→49.7%	5.6%→4.5%	5.6%→4.5%

• 汇总变化小，方向不完全一致：作者称控制后，无故障与故障执行相差 0.2–1.6 个百分点。harmful action 与 classifier verdict 在 Qwen3.6-27B 上上升，在另外两个模型上没有同样的上升。
• 一个选定故障可以不同：作者选取一个已经造成提示注入失败的随机 2-bit 故障，把损坏后的 Qwen3.6-27B 在全部 AgentDojo 样本上重放。攻击成功率从 31.0% 到 43.0%，任务 utility 从 56.0% 到 58.0%。Slack 套件从 57.0% 到 92.0%。作者称易感性随智能体设置变化。
• 两种统计不要混读：重放的无故障攻击成功率是 31.0%，Table 3 中 Qwen3.6-27B 的汇总是 32.7%→32.5%。论文把它们放在不同程序下报告。

微妙语义错误

Figure 2 给出 Qwen3.6-27B 的例子。作者称有些故障不表现为明显的模型退化：输出仍然流利，动作结构有效，但语义不正确或错位。

• HomeBench：用户要求把阳台灯亮度降低 53%，初始亮度 83。无故障动作是 set_brightness(30)，故障动作是 set_brightness(39)。作者称这是错误的数值解释。
• 另外两类：作者称 AgentDojo 例子是没有依据的交易更新，Agentic Misalignment 例子是升级对象发错。Figure 2 中动作仍结构有效。作者称因此难以只靠生成是否有效来发现。
• 没有比例：论文未报告这类微妙错误占全部故障执行的比例。

其他消融与分析

• AgentDojo utility，Qwen3.6-27B：56.0%→52.3%（Table 4）。
• AgentDojo utility，Qwen3.8-27B：51.0%→57.0%（Table 4）。
• AgentDojo utility，Granite4.1-30B：32.0%→28.4%（Table 4）。
• 附录 B 称三个模型的 utility 变化为 -3.7 到 +6.0 个百分点，方向不一致。
• 选定故障重放时，Qwen3.6-27B 的 utility 为 56.0%→58.0%，与 Table 4 汇总的 56.0%→52.3% 方向不同。

作者指出的局限与后续方向

• 范围：What's Next 称本研究聚焦持续的两位权重故障，模型与基准集合有限，若干方向仍开放。
• 推广：作者称下一步是看发现如何推广到不同故障条件与智能体环境，例如微妙语义错误有多普遍，以及多样多轮设置中的故障传播。
• 统计：作者称这类研究将受益于更严格的统计分析，以便把故障引起的行为变化和执行本身的波动分开。
• 设计：作者称这些工作最终可能为硬件诱导内存故障下、更有韧性的智能体系统设计提供信息。

实验覆盖范围

• 模型：实验运行了 Qwen3.6-27B、Qwen3.8-27B 和 Granite4.1-30B。Table 2 的成本变化只报告 Qwen3.6-27B；恢复率、攻击成功率、对齐指标和 utility 报告了三个模型。
• 次数：三个基准、218 个任务、合计 6,814 次执行；每任务 8–13 次无故障、15–25 次故障注入。摘要另写 2,400+ 与 4,300+。论文未报告各基准任务数。
• 故障：每次故障执行随机翻转一个权重中的两位，损坏在该次执行内持续；运行时、工具与环境无故障。论文未报告被翻转的层、比特位置或数值格式。
• 轮次：恢复分析在 AgentDojo。作者称它是本次评估中唯一包含多轮、且后续动作可补偿先前错误的基准。Table 2 把 HomeBench 与 Agentic Misalignment 的部分成本标为单轮设计所固定。
• 判定与统计：AgentDojo 攻击成功率限于 utility 正确且收到注入的配对。论文未说明 Agentic Misalignment 的分类器模型，也未报告统计检验。

随机两位权重故障进入 LLM 智能体后，模型级损坏会变成可恢复、成本上升、微妙语义错误，以及安全或对齐行为变化。

• 问题：单轮研究把损坏生成当作终点。智能体把输出变成动作，观察再进入下一步，同一损坏权重会被反复调用。
• 做法：每次执行随机翻转一个权重的两位；运行时、工具和环境无故障。基准是 HomeBench、AgentDojo 和 Agentic Misalignment。主模型是 Qwen3.6-27B，另测 Qwen3.8-27B 与 Granite4.1-30B。共 218 个任务、6,814 次执行。
• 恢复与成本：AgentDojo 上 token storm 的恢复率都是 0.0%，畸形工具调用的恢复率是 3.3%–25.9%（Table 1）。HomeBench 上 Qwen3.6-27B 的 exact-match 从 75.6% 到 71.4%，输出 token 从 1,656 到 2,505。跨基准汇总，输出 token 增加 38.0%，新增部分的 96.0% 来自 token storm。
• 安全与对齐：控制后，AgentDojo 攻击成功率只差 0.2–1.6 个百分点（Table 3）。作者另把一个已造成提示注入失败的 2-bit 故障放到全部 AgentDojo 样本上重放：Qwen3.6-27B 的攻击成功率从 31.0% 到 43.0%，Slack 套件从 57.0% 到 92.0%。Agentic Misalignment 上，Qwen3.6-27B 的 harmful action 从 33.3% 到 42.2%；另外两个模型没有同样上升。
• 作者的结论：作者认为模型级评估未必能完整反映这种韧性，后果还取决于后续动作和环境交互。作者称下一步要看不同故障条件与环境，并用更严格的统计把故障效应和执行波动分开。