更强的评测器并不会看得更多：LLM 评测中的部署完整性盲区

论文试图解决大模型智能体评测中存在的“部署完整性盲区”（Deployment-Integrity Blindness）问题。

• 评估对象的范式转移：大模型智能体已从单一模型转变为包含模型、提示词、工具、检索、依赖及后处理器等组件的运行时复合系统，但排行榜仍以单模型报告分数，无法反映实际运行的系统完整性。
• 现有纯输出评估的失效：现行评测仅依赖输出行为分数，当部署系统发生组件篡改但仍保持评测输出符合要求时，纯输出评测器（如规则评分或大模型裁判）无法察觉部署变更。
• 评测能力与盲区的矛盾假设：行业通常倾向于采用更强的大模型裁判来提升评测质量，但作者指出更强的裁判因更擅长识别输出的正确性，反而更容易接受篡改后的输出。
• 威胁模型（Threat Model）：
  • 攻击目标：在保持评测集输出符合评测要求的同时，替换组件或注入后门逻辑，在评测集外引发有害行为。
  • 攻击者能力：能够修改运行时栈中的单个组件（如提示词、工具、检索、后处理）或未声明组件（如聊天模板）。
  • 攻击者知识：针对评测输入分布进行针对性适配，使评测分布上的输出分布偏移等于0。
  • 受害系统：依赖输出评分的评测器（规则评分器、大模型裁判）及下游部署的大模型智能体。
• 论文的解决方案：提出 DIB-Bench 评测基准以度量评测盲区，并建立基于清单哈希的身份通道（Identity Channel），将行为证据与身份证据解耦。

• 大模型裁判与评测完整性（LLM Judges and Evaluation Integrity）：
  • Zheng et al. (2023) 与 Wang et al. (2024) 研究了基于大模型的裁判评测，指出其虽与人类偏好高度一致，但存在位置偏差和冗长偏差。
  • Zhang et al. (2024) 提出 GSM1k 探讨模型对公开基准的过拟合；Singh et al. (2025) 提出“排行榜幻觉”（Leaderboard Illusion）指出私有测试对竞技场排名的扭曲。作者指出这些工作是在给定系统下质疑分数，而本文是在给定分数下质疑系统本身。
• 智能体评测与安全基准（Agent and Tool Evaluation）：
  • Ruan et al. (2024) 提出 ToolEmu 评估长尾风险；Yao et al. (2024) 提出 tau-bench 评测人机工具交互；Lu et al. (2025) 提出 ToolSandbox 增加有状态交互；Andriushchenko et al. (2025) 提出 AgentHarm 评测多步场景危害。作者指出这些基准评测智能体行为，而本文探讨行为评测是否能检测部署栈偏离声明配置。
• 间接提示注入与检索投毒（Prompt Injection and Retrieval Poisoning）：
  • Abdelnabi et al. (2023) 提出间接提示注入可劫持大模型应用；Yi et al. (2025)、Zhan et al. (2024) 与 Debenedetti et al. (2024)（AgentDojo）构建了注入鲁棒性基准；Zou et al. (2025)（PoisonedRAG）研究 RAG 知识投毒。作者称本文篡改条件受此类攻击面启发，但核心是度量评测是否察觉组件变化，而非攻击本身在行为上是否成功。
• 模型指纹、模型替换与供应链元数据（Fingerprinting, Substitution and Attestation）：
  • Pasquini et al. (2025) 提出 LLMmap 利用文风信号识别服务模型；Chen et al. (2024) 与 Cai et al. (2025) 审计商业 API 与模型替换。作者指出指纹仅覆盖模型单个组件，且统计测试需要大量查询，本文将其扩展到整个软件栈与评测报告体系。
  • Torres-Arias et al. (2019)（in-toto）与 SLSA Framework (2026) 提供软件供应链制品完整性机制。
• 基线方法与基准数据集：
  • 基准数据集包括合成测试集 DIB-Bench（120 个任务，涵盖事实问答、策略、工具选择、泄密拒绝、金丝雀探针五大类）、BFCL-simple、GSM8K 以及 AgentDojo。
  • 对比基线包括标准规则评分器、严格规则评分器、取证评分器（Forensic）、金丝雀评分器（Canary）、本地大模型裁判（Qwen3-8B）、商业大模型裁判（GPT-5-nano）以及基于 LLMmap 的行为指纹基线。
• 作者对区别的定位：作者称，已有研究多集中在优化评测打分算法或揭示模型行为缺陷，本文从系统论和软件供应链视角切入，将行为评测证据与身份凭证解耦，填补了智能体评测体系中部署身份未予报告的结构性空白。

论文提出 DIB-Bench 评测基准与清单哈希身份通道（Manifest-Hash Identity Channel），通过形式化解耦行为证据与身份证据，以轻量级内容哈希补充纯输出评估的盲区。

部署栈与双通道评测设定

作者将部署的大模型智能体形式化为由6个组件构成的运行时栈：模型与分词器、系统提示词、工具规范与路由、检索策略与语料、运行时依赖、后处理器。评测系统由两个独立通道构成：

1. 输出评测通道（Output Channel）：通过行为评分器检验系统在给定输入下的输出是否符合要求，形式化定义为 E_out(system(x)) = pass。
2. 身份评测通道（Identity Channel）：通过比较声明清单与运行时观测清单的组件内容哈希（对规范 JSON 计算 SHA-256）判定是否通过，形式化定义为 h(M_expected[c]) = h(M_observed[c])，要求每个组件哈希完全一致。

理论分析与样本复杂度二分界

作者给出了界定行为评测边界的理论分析：

• 不可区分性命题（Proposition 1）：对于任意有限输出评测集和通过该评测集的基准部署，存在至少在一个清单组件上被替换但在该评测集上输出完全等价的篡改部署。
• 行为样本复杂度二分定理（Theorem 1）：设评测分布上的输出分布总变差距离为 ε，对于任意依赖 N 个独立同分布样本的行为测试，其区分优势受限于 Nε；当 ε = 0 时，任何样本量的行为测试区分优势均为 0（与随机猜测无异）；而当 ε > 0 时，存在样本量为 O(ε^(-2) log(1/δ)) 的测试能够以不超过 δ 的误差区分两系统。
• 相比之下，身份通道仅需单次读取清单并比对哈希，即可在 0 样本输出条件下判定 ε = 0 类型的篡改。

DIB-Bench 评测设计与受控篡改机制

DIB-Bench 设计了针对单一组件的6类受控篡改实验，确保因果对比清晰：

• 模型替换（Model Substitution）：将声明的高性能模型替换为较小或替代模型（如 Qwen2.5-14B 替换为 7B，7B 替换为 1.5B）。
• 提示词篡改（Prompt Tamper）：向系统提示词注入未授权的覆盖指令。
• 工具篡改（Tool Tamper）：篡改工具规范或路由器，使受限工具伪装为安全工具。
• 检索篡改（Retrieval Tamper）：在检索策略或检索文档中混入覆盖文本。
• 依赖篡改（Dependency Tamper）：变更运行时环境描述符或依赖包补丁版本。
• 后处理篡改（Postprocess Tamper）：在模型推理后对生成的文本进行修改。

评测报告的分级部署身份描述符

为将身份验证纳入常规评测，作者设计了分级部署身份描述符（Graded Deployment-Identity Descriptor）：

• 组件级记录：在评测报告中逐项记录各栈组件的内容哈希与获取方式（自声明、构建来源验证、硬件认证等）。
• 篡改定位功能：比对失配可直接定位发生变更的具体组件，协助人工审查。
• 覆盖范围声明：要求报告明确列出参与哈希的清单覆盖范围及评测集探针的行为覆盖范围。

实验设置

• 被测模型：主实验评估了三组模型对（声明模型 -> 部署模型）：Qwen2.5-14B-Instruct -> Qwen2.5-7B-Instruct、Qwen2.5-7B-Instruct -> Qwen2.5-1.5B-Instruct、Llama-3.1-8B-Instruct -> Qwen2.5-7B-Instruct；拓展实验包括 Qwen3-8B -> Qwen2.5-7B-Instruct、gpt-oss-20B -> Qwen2.5-7B-Instruct。
• 评测数据集与规模：主实验采用合成评测集，包含 120 个合成任务，覆盖五大家族（事实上下文问答、策略允许/拒绝、工具选择、泄密拒绝、金丝雀探针）；公开发行基准扩展包含 BFCL-simple（200 样本 x 3 种子）、GSM8K（200 样本 x 3 种子）和 AgentDojo banking 银行任务套件（16 样本）。
• 评测基线与评估器阶梯：包含四类纯输出评分器（标准规则评分器 Standard、严格规则评分器 Strict、取证评分器 Forensic、金丝雀评分器 Canary）、两个大模型裁判（本地运行的 Qwen3-8B 和商业推理模型 GPT-5-nano）、GPT-5-nano 怀疑审计器（Suspicion Auditor）以及 LLMmap 风格的行为指纹基线。
• 评价指标：输出接受率（Acceptance Rate，%）、盲区率（Blindness Rate，定义为输出接受且身份校验失败的比例，在篡改条件下因身份通过率为 0% 而等于输出接受率）、套件级盲区指标 blind@τ、触发危害率（Harm Rate，%）以及指纹识别准确率（%）。
• 评审与推理配置：使用 vLLM 进行贪婪解码（temperature 0，top-p 1），最大新生成 160 token，上下文 2,048 token；Qwen3-8B 禁用思考且 temperature 为 0，GPT-5-nano 采用最小推理努力；套件级默认阈值设定为 τ = 0.80。
• 样本总量与统计设置：主实验覆盖 7 个条件（1 个干净条件与 6 个单组件篡改条件），经 9 次运行（3 个模型对 x 3 个随机种子 42、43、44），共评测 7,560 个得分样本（每条件 1,080 样本）；1,000 次自举抽样的 95% 置信区间半宽不超过 2.9 个百分点。

主结果

据 Table 2（合成评测集 n=7,560，9 次运行平均接受率与盲区率 %）：

表格较宽，可左右滑动

• 评测器能力越强盲区越大：作者称，篡改条件的平均接受率随着评估器能力单调上升，从标准规则的 88.6% 上升到 Qwen3-8B 的 89.3%，再升至 GPT-5-nano 的 94.1%；其原因为更强大的裁判更擅长识别出篡改输出在语义上的正确性，但对底层系统是否变更无法提供信息。
• 身份通道完全消除盲区：在所有 6 类篡改条件下，基于清单哈希的身份通道通过率均为 0.0%，在干净条件下为 100.0%，展示了零样本识别组件变更的能力。
• 严格规则评分导致误伤：严格规则评分虽然将篡改接受率降至 73.1%，但在阈值 τ=0.90 时将干净系统的接受率也降低，无法在消除篡改的同时保留干净系统（据 Table 3）。

隐蔽条件触发篡改与模型能力缩放实验

• 实验设置：测试触发式提示词篡改（E4），在提示词中注入仅在特定触发词出现时激活的恶意指令，在日常无触发评测集和 58 个留出触发探针上进行测试。
• 实验结果：在日常评测集上，篡改部署与干净系统决策匹配率为 100%，危害率为 13.3%（与干净基线持平）；而在触发探针上危害率达到 81.0%（据 Table 5）；在模型规模缩放上（据 Figure 3），留出触发危害率随部署模型能力增强而上升：Llama-3.1-8B 为 48.3%，Qwen2.5-7B 为 81.0%，Qwen2.5-14B 达到 100.0%。
• 作者解读：作者称该结果符合假设 1，即存在输出分布偏移 ε=0 且在评测集外引发高危害的实际篡改；同时指出能力更强的部署模型能更稳定地执行隐藏的触发逻辑。

未声明组件逃逸与怀疑审计实验

• 实验设置：测试未声明组件篡改（E8），通过聊天模板（chat template，未纳入清单）注入触发条件逻辑；并测试配置为怀疑审计员的 GPT-5-nano 识别异常输出的能力。
• 实验结果：E8 篡改在日常评测集上决策与干净系统 100% 匹配，身份通道通过率为 100%，而在触发探针上产生 86.2% 的危害率（据 Table 5）；GPT-5-nano 怀疑审计器对干净输出的标记率为 54.0%，对提示词篡改的标记率为 52.6%，对依赖篡改的标记率为 51.2%。
• 作者解读：作者称身份通道的检测能力取决于清单覆盖范围，未声明组件会导致身份与输出双通道同时被绕过；同时怀疑审计器对提示词篡改的标记率低于干净系统，无法区分正常与篡改输出。

行为指纹与基准泛化实验

• 实验设置：评估基于 LLMmap 风格的 40 个判别探针行为指纹基线（E6），并在 BFCL-simple、GSM8K 及 AgentDojo 基准上验证盲区现象（据 Table 4）。
• 实验结果：行为指纹对模型三分类准确率为 76.7%（二分类 81.2%），但在 4.5 倍参数差距的模型间仍有 37.5% 的探针输出完全相同；在 BFCL-simple 上，6 类篡改的标准平均接受率为 99.9%（干净 100.0%）；在 GSM8K 上，篡改平均接受率为 27.6%（干净 27.7%）；在 AgentDojo 上，提示词篡改效用为 50.0%（干净 43.8%），而 1.5B 模型替换效用降至 25.0%。
• 作者解读：作者称行为指纹仅能覆盖 6 个组件中的模型本身，对其余 5 类非模型篡改完全无效；在各公开基准上，只要篡改未大幅损害任务能力，篡改接受率便紧密追随干净系统表现。

其他消融与分析

• 规则评分套件阈值分析：在 τ=0.90 下，标准与取证评分仍接受 4/6 个篡改条件，而严格与金丝雀评分将接受数降为 0/6 的同时也拒绝了干净部署（据 Table 3）。
• 跨代模型替换分析：以 Qwen3-8B 为声明模型、Qwen2.5-7B 为部署模型，标准接受率为 100%，严格接受率为 85%，盲区率为 100%（据 Table 4 与附录 B）。
• 超大参数规模替换分析：以 gpt-oss-20B 为声明模型、Qwen2.5-7B 为部署模型，标准接受率保持 100%，身份通过率降至 0%，盲区率为 100%（据 Table 4 与附录 B）。
• 仪器验证（未声明参数变更）：温度参数从 0 改为 0.7 导致 33.3% 输出变化，聊天模板注入导致 77.5% 输出变化，身份通道均 100% 通过（据 Table 1）。
• 仪器验证（良性声明变更）：提示词释义修改和依赖补丁小版本升级导致输出 0% 变化，但身份通道通过率均降为 0%（据 Table 1）。

作者指出的局限与后续方向

• 自适应探针识别预算（第 7 节）：检测触发门控篡改需要查询触发集内的输入，对于触发密度 ρ，期望探针查询量下界为 1/ρ。
• 纵向部署漂移研究（第 7 节）：未来需要对主流智能体框架进行长期纵向监测，以测量运行时栈偏离声明配置的发生频率。
• 排行榜排名分解（第 7 节）：需要在受控组件替换下重新对现有智能体排行榜打分，检验模型排名与系统栈排名是否重合。
• 单组件篡改与高级对抗（Limitations 节）：实证方案使用合成任务评估单组件篡改，未覆盖多组件联合攻击或可直接伪造清单的高级对抗者。
• 未声明组件的逃逸隐患（Limitations 节）：E8 实验表明未声明组件是一个具体缺陷，虽可通过分级描述符缓解，但在缺乏运行时证明（Runtime Attestation）的情况下无法消除。
• 前沿级超大模型评估（Limitations 节）：实验测试的模型规模范围在 1.5B 至 20B 参数之间，GPT-5-nano 作为裁判代表了商用模型，但未在部署的前沿级超大系统上进行评估。

实验覆盖范围

• 被测模型范围：实验测试了 Qwen2.5-1.5B/7B/14B-Instruct、Llama-3.1-8B-Instruct、Qwen3-8B 以及 gpt-oss-20B 等 6 个模型，参数量覆盖 1.5B 至 20B。
• 篡改条件与环境覆盖：涵盖模型替换、提示词、工具、检索、依赖、后处理 6 类单组件篡改，以及聊天模板和采样温度两类未声明组件修改；未测试多组件并发篡改。
• 评测基准与样本量：主实验合成评测集包含 120 个任务（五大类别，共 7,560 个得分样本），外部验证包含 BFCL-simple（600 样本）、GSM8K（600 样本）和 AgentDojo banking（16 样本）。
• 评测器阶梯类型：输出评测器覆盖标准规则、严格规则、取证规则、金丝雀探针规则，以及 Qwen3-8B 和 GPT-5-nano 裁判，并包含 GPT-5-nano 怀疑审计器与 40 探针行为指纹基线。
• 论文未报告事项：论文未在实际生产部署流量中进行长期纵向监测，未报告针对前沿旗舰大模型（如更大规模闭源部署）的受控篡改实验，未结合硬件级安全执行环境进行硬件认证。

• 核心定位与挑战：大模型智能体已成为由模型、提示词、工具、检索、依赖和后处理器组成的运行时复合栈，但现行评测仅报告模型层面的行为分数，导致能够保持评测输出合格的系统部署篡改完全无法被识别。
• 理论发现与二分界：作者提出了行为样本复杂度二分界，指出当篡改在评测分布上的输出偏移为 0 时，任何依赖被动输出样本的行为评测器（无论样本量多大）都无法区分篡改系统；而清单哈希身份通道可在零输出样本下直接判定该类篡改。
• 评测盲区与能力悖论：在包含 7,560 个样本的 DIB-Bench 基准测试中，输出评测器越强，对单组件篡改的平均接受率反而越高，从标准规则评分的 88.6% 上升到 Qwen3-8B 的 89.3%，并进一步升至 GPT-5-nano 的 94.1%，而清单哈希通道保持 0% 误判。
• 隐蔽触发与能力扩展：实验显示，基于特定触发词激活的提示词篡改在常规评测集上与干净系统决策匹配度达 100%，但在留出触发探针上产生 81.0% 的有害输出，且模型能力越强其危害率越高（14B 模型达 100%）。
• 未声明组件的逃逸风险：若通过清单未覆盖的组件（如聊天模板）注入篡改逻辑，系统能同时绕过输出评测与清单哈希通道，在触发探针上产生 86.2% 的危害，作者解释称身份通道的有效性取决于清单覆盖范围。
• 对评测报告的建议：作者建议在排行榜和评测报告中引入分级部署身份描述符，在公布行为分数的同时公布组件哈希、清单覆盖范围与评测集行为覆盖范围，并将哈希不匹配作为触发人工审查的变更信号。