推理的一像素：一条真实关系就足以误导 LLM 智能体

一句源支持的话，能否只限定一条隐式证据—结论关系，就把智能体从正确判断推向错误信念。

• 场景：代码审查与生物医学证据综合里，智能体要判断哪些漏洞需修、哪些发现支持医学主张。作者称自适应工作流可把攻击者提供的注释与原证据一并纳入（Hu et al., 2026b），因此要同时判断陈述是否为真、以及它是否构成改结论的理由。
• 现有方法的缺口：对抗性添加、间接指令和检索投毒已利用外部证据，Generative Montage 则把真实片段组成误导叙述。作者称例子仍留下更局部的问题：一句针对隐式关系的话，能否在保留原证据时导向错误信念。
• 核心观察：受 one-pixel attack 启发，稀疏预算是一条选定关系加一句释放的句子，而不是文本长度。限定该链接，是在一次直接干预里用真实陈述误导（paltering），而不是多轮说服。
• 提出的方法：作者提出 one-relation attack（ORA），摘要称其为 novel cognitive attack。它把隐式关系重建为 warrant，用一句源支持的 undercutter 限定适用性或充分性，并以有界查询或零查询释放。
• 威胁模型：
  • 目标：在初始正确集上造成 belief leap，即记录到的答案从金标变为非金标。理想可容许干预下，任务语义所保证的答案不变。
  • 知识：攻击者知道问题、证据和金标 y⋆，不知道受害参数、梯度或隐藏推理。
  • 能力：只追加一句，原证据单元与顺序不变；query 模式对分别注入的候选最多 K 次受害评估，zero-query 在看到任何生成候选的受害响应前承诺一句。选择可用有界受害查询，也可完全无受害反馈。
  • 受害系统：使用检索文档、工具输出和同伴推理的 LLM 智能体；本文评测生物医学推断与漏洞检测。

证据通道上的干扰与注入

• Jia and Liang（2017）在阅读理解中加入对抗句，可分散模型注意并保留正确答案。Shi et al.（2023）讨论无关上下文的敏感；Gao et al.（2026）讨论长上下文推理中少量语义相关干扰。
• Greshake et al.（2023）把恶意指令放进外部内容，形成间接提示注入。InjecAgent（Zhan et al., 2024）评测有害动作与数据外泄；AgentDojo（Debenedetti et al., 2024）同时看抗攻击和合法任务完成。
• PoisonedRAG（Zou et al., 2025）向检索语料插入恶意文档，以诱导攻击者选定的答案。后缀式或说服式越狱（Zou et al., 2023; Zeng et al., 2024）用于绕过安全约束。

真实陈述与论证关系

• Rogers et al.（2017）的 paltering 用真实陈述制造误导印象。Generative Montage（Hu et al., 2026c）用协调的真实片段实现这一威胁。
• Toulmin（1958）用 warrant 连接 grounds 与 claim。Habernal et al.（2018）区分连接同一前提与对立主张的似真 warrant；Lawrence and Reed（2019）综述论证结构恢复。
• Pollock（1987）的 undercutting 质疑推理支持，而不断言相反结论。Defeasible NLI（Rudinger et al., 2020）评估或生成能加强或削弱推理的新信息。

基线方法与基准

• 主实验未把上述攻击当作对照。配对对照是 random warrant（undercutter 改指向非答案承载关系）和 random content（在选定 grounds 上做中性复述），各域 100 例，数据为 PubMedQA 与 PrimeVul。

作者把 ORA 定位为：针对一条隐式证据—结论关系，用原证据中已有信息做源支持限定，使未改动证据的解释成为攻击目标；这与保留正确答案的干扰句、外部恶意指令，以及用多个真实片段组装叙述不同。形式分析与配对对照把定位和限定连接到决策翻转。

攻击模型 A 重建并排序 warrant，生成并检查源支持限定，再释放一句。预算 K 同时封顶候选数与选择阶段的受害查询。作者在加性单坐标模型中给出翻转阈值 C_w=η_wmax_{y≠ y^⋆}([d_yw]₊)/(γ_y)：对手在可行限定强度内严格超过金标，当且仅当 C_w>1；若小于 1，金标在该可行集上保持唯一最优。Appendix Q 另给多关系扩展与非线性界，此处不展开公式。

问题设定与攻击面

• 受害模型收到问题 q 与证据 E。攻击者加入句子 δ，得到 E′=E⊕δ，原证据单元和顺序保留。
• 攻击侧论证超图把源命题映射为节点，warrant 是从非空 grounds 指向 claim 的有向超边。这些关系由攻击者显式重建，不是源文自带标注。
• 理想可容许性要求：δ 只指向选定 warrant，被源文蕴含，并且限定该关系的适用性或充分性，而不是断言相反主张。
• 成功事件是 belief leap：干净答案等于金标，且加入 δ 后答案不等于金标。ASR 是已完成的初始正确评估上这些事件的平均。

论证图与关键 warrant

• 图构建：给定 (q, E)，A 记录每条 warrant 的 claim、源 grounds、backing 强度、可见 defeater 和答案承载指示 a(w)。答案承载关系支持被判断为影响裁决的主张；外围关系涉及不必决定裁决的细节。
• 定位：关系显著性为 RS(w)=L(w){λ U_inst+(1−λ)D(w)}，w⋆ 取最大者。L(w) 由 a(w) 决定，D(w) 随 backing 更弱、可见 defeater 更多而升高。作者称二者分别代理关系对裁决的影响，以及被源支持限定击中的可能。
• 参数：报告配置中 L 对答案承载为 1、否则为 0.4；λ=0.5。κ_def 在医学为 0.34、Cyber 为 0.5。医学冻结流程用一次熵样本，故 U_inst=0；Cyber 用三次。医学采样请求温度 0.8。并列时按抽取顺序打破。

生成、校验与释放

• 生成：以 w⋆、其 grounds、全文和 y⋆ 为条件，A 生成至多 K 句，每句的意图目标都是 {w⋆}。提示要求对推理的适用性或充分性做源支持限定，并邀请一个非金标答案，但不把该答案写出来。附录 K 给出完整提示词。
• 校验：词面检查标记源文中没有的实体、数字或代码 token，用于 zero-query 回退；语义源支持不参与释放，而由释放后对照原文的审计单独判断。
• Query：按生成顺序评估非空候选，释放预算内第一句使 belief leap 为 1 的句子；都不成功则记失败。每次受害评估仍只加一句。
• Zero-query：由 A 评估源接地、不显眼程度和预期误导性，在看到受害响应前选一句。若提议索引未过词面检查且合格池非空，则改选池中误导分最高者。Appendix H 给伪代码与回退。

两域的证据通道

• PubMedQA 使用问题、带标签的完整摘要和 YES/NO/MAYBE。句子有稳定标识；undercutter 插在选定 grounding 句之后，否则落到结果节末或摘要末，并成为新的编号证据单元。
• PrimeVul 使用完整函数，不编辑函数；undercutter 作为一条分析笔记，对应工具或审阅者观察。两域受害模型都看到完整原证据。
• 医学图抽取把摘要句连到 PICO 变量；Cyber 把操作、守卫和数据流连到漏洞判断。附录 I 规定插入位置与轮换维度。

实验设置

• 受害模型：18 个。闭源为 GPT-4.1-nano、GPT-4.1-mini、GPT-4.1、GPT-5.4-nano、GPT-5.4-mini、GPT-5.4、GPT-5.6-luna、GPT-5.6-terra。开源为 DeepSeek-R1-Distill-Qwen 的 7B/14B/32B、Qwen2.5-Instruct 的 7B/14B/32B、Phi-4-mini-instruct、Phi-4、Phi-4-mini-reasoning、Phi-4-reasoning。表中 R 表示 Phi 推理变体，DeepSeek-R1 表示该蒸馏家族。
• 数据：PubMedQA 与 PrimeVul 各 1000 条。PrimeVul 为 seed 42 抽出的 500 个脆弱函数加 500 个良性函数；长于 2500 字符的函数被滤除，保留函数不截断、不编辑。
• 攻击与分母：构造模型为 GPT-5.6-LUNA，与受害列表中的 GPT-5.6-luna 相同。主结果为 best-of-10。ASR 只在该受害模型已完成的初始正确样本上计算；缺失计划或失败调用排除，不记为成功。模型平均为未加权。
• 指标：Acc 是 1000 条上的干净准确率。Conf 是翻转样本的平均自报置信度，HC-Conf 是其中 p≥0.8 的比例。医学主表对有置信度的翻转取预算内最低 signed belief，即最高置信错误；Cyber 取首次成功响应。正确为 +p，错误为 −p。
• 评审：源支持与盲识别是对 Luna 的分别调用。Exact 要求返回标识等于隐藏注入标识；Clean FP 统计未修改输入上的任何怀疑。Joint 是支持且未被精确定位。query 审计覆盖 Luna 的成功攻击，zero-query 审计覆盖全部已部署句子。
• 其余协议：消融每域 100 例、3 个候选，seed 20260924，Luna 同时攻击并受害。辩论为 Luna、DeepSeek-R1-Distill-Qwen-14B、Phi-4，医学 149+149、Cyber 83+83，seed 42。信念带为 800 次 instance-bootstrap、seed 0。解码因提供者而异，论文写明并非一律确定。论文未报告主实验跨随机种子的重复次数。

主结果

摘要报告：十八个模型、生物医学推断与漏洞检测上，best-of-10 翻转初始正确答案的平均率为闭源 54.9%、开源 80.0%。下表是 Table 1 的分域未加权均值，以及 ASR 最低的模型和攻击模型自身作受害时的一行。

表格较宽，可左右滑动

模型	Medical Acc	Medical ASR	Cyber Acc	Cyber ASR
GPT-5.4	71.9%	63.6%	68.9%	36.6%
GPT-4.1-mini	73.3%	56.9%	54.0%	39.8%
GPT-5.6-terra	77.7%	47.6%	69.2%	42.9%
GPT-5.6-luna（即攻击模型）	73.5%	59.6%	70.7%	57.6%
Proprietary Avg.	71.4%	57.8%	64.0%	51.9%
Qwen2.5-32B	70.0%	48.7%	58.0%	97.2%
DeepSeek-R1-7B	47.5%	93.7%	53.1%	92.5%
Open-Weight Avg.	64.9%	66.8%	54.4%	93.1%

• 作者称 Table 1 显示广泛易感性：开源在 Cyber 更高，闭源两域差距更小且方向相反。表未列入的 12 个模型中，Cyber ASR 最高为 Phi-4-mini 的 99.4%，GPT-4.1 为 82.8%，DeepSeek-R1-32B 为 99.3%（均据 Table 1）。
• 作者称干净准确率给不出多少保证，更大尺度也不保证决策稳定：32B 相对 14B 的医学干净准确率上升，Qwen2.5 的易感性相近，DeepSeek-R1 上升，且二者 Cyber ASR 都超过 97%。
• 作者称五个推理取向对照的医学 best-of-10 ASR 都更高。Cyber 上 DeepSeek-R1 仍高于同规模 Qwen2.5，Phi 推理变体更低，但仍超过 80%（Table 1 中 Phi-4-R 为 80.4%，Phi-4-mini-R 为 91.7%）。

无受害反馈的迁移

• 测了什么：Table 2 比较最多十个受害测试候选的 Query，与攻击者自行选择的 Zero。列出 10 个模型；GPT-4.1 家族、GPT-5.4 家族、Phi-4 与 Phi-4-mini 的 zero-query ASR 未报告。
• 结果：作者称每个列出的模型–域对里 Query 都高于 Zero，但 Zero 在两组、两域仍然有效。列出的最低值为 GPT-5.6-terra 的 Cyber Zero 20.5%（其 Query 为 42.9%）；Qwen2.5-32B 的 Cyber Zero 为 83.1%，Medical Zero 为 28.3%。
• 作者的解读：作者称源可见的推理关系提供了可跨决策规则与推理能力迁移的目标，威胁不限于能交互查询受害模型的情形。域差距仍随模型家族变化。

LLM 评审下的源支持与识别

• 测了什么：Luna 对同一输入分别做源支持与盲识别。Table 3 报告伪造事实率 FFR、精确识别 Exact、干净输入误报 Clean FP，以及支持且未被精确定位的 Joint。
• 结果：Medical query 的 Joint 为 83.1%（FFR 11.9%，Exact 7.5%，Clean FP 25.6%）；Cyber query 为 90.9%（4.2%、8.8%、2.2%）。Zero 的 Joint 为 Medical 87.7%、Cyber 92.1%。Appendix N：query 的实际联合计数为医学 364/438、Cyber 370/407，分别占 Luna 初始正确输入的 49.5%（735）与 52.3%（707）。
• 作者的解读：作者称源支持不能解决裁决；盲检测在医学大约标出四分之一干净输入（Table 3 为 25.6%），却很少定位注入。Appendix C 的开篇例子中，一条界内写笔记把正确漏洞裁决改为 safe，置信度 0.98，且通过源支持、检测器未标出单元。附录给出该句原文。

多智能体辩论后的团队修订

• 测了什么：三人在攻击前都答对，且冻结的 best-of-10 句子翻转 Luna 后，全体看到同一被攻击证据。辩论前平衡正确与错误团队。Table 4、Figure 3、Table 13。
• 结果：合并 Contam 23.7%、Recover 4.7%、Error 59.5%。分域 Error 为 Medical 60.7%、Cyber 57.2%。Table 13 合并为正确到错误 55、错误到正确 11；最终错误含 221 个持续错误和 55 个新错误，净增 44/464。作者称正确到错误是修复的五倍，错误率从 50.0% 到 59.5%。
• 作者的解读：作者给出一种解释：所有智能体都看到注入句，同伴一致可能强化同一解释，而不提供独立 grounds。作者称这把“增加视角”和“增加证据”分开，并联系到没有外部反馈时纠正的困难。Appendix R 的分层精确检验合并 p 值为 3.07×10−9；论文未把该检验称为显著性声明以外的定论，这里只报告该 p 值。

其他消融与分析

• 搜索预算（Table 10）：闭源 Medical 平均 ASR 在 K=1 为 18.6%、K=10 为 57.8%；开源 Cyber 为 60.4% 与 93.1%。作者称闭源 Medical 在 K=1 之后再增 39.2 个百分点。Figure 2 端点标注为闭源 Medical 的 K=1: 0.19、K=10: 0.58，开源 Cyber 为 0.60 与 0.93；带为 95% instance-bootstrap 区间。
• 配对消融（Table 5）：合并 best-of-3 ASR 为 ORA 46.0%、random warrant 24.0%、random content 19.5%；作者称分别高 22.0 与 26.5 个百分点。Table 12 合并单候选为 27.8%、13.2%、10.8%；Cyber 单候选 random content 17.0% 高于 random warrant 11.0%。对 random content 的 Cyber exact p=0.136，作者称该内容对照不确定。
• 置信度（Table 1、Appendix B）：Luna 医学翻转 Conf 为 .943、HC-Conf 为 100.0%；GPT-5.4-nano 医学 HC-Conf 为 9.8%。32B Cyber 上，高置信错误占合格案例的 75.6%（DeepSeek-R1）与 67.2%（Qwen2.5）。从 14B 到 32B，DeepSeek-R1 医学 ASR 上升而 HC-Conf 下降，Qwen2.5 的 ASR 相近而 HC-Conf 上升。
• 方向（Table 11、Table 16）：32B 上，DeepSeek-R1 初始识别的漏洞中 290/293 在攻击后被判 safe，Qwen2.5 为 149/152。Table 11 中 DeepSeek-R1-32B 的良性到漏洞率为 .996（分母 260），Qwen2.5-7B 的聚合结果则主要由良性误报贡献（B→V .919，分母 470；其漏洞到 safe 为 1.000，分母 31）。
• 信念位移（Figure 4）：十八个模型合并的成功翻转子集上，配对 signed belief 位移在医学为 −1.65（n=12191）、Cyber 为 −1.74（n=10556）。作者称近零的汇总值可能同时含高置信正确与高置信错误。
• 推理变体（Table 1、Appendix D.1）：Phi-mini 医学 Acc 从 57.9% 到 66.3%，ASR 从 58.2% 到 80.5%。Phi-4 医学 HC-Conf 从 44.9% 到推理变体的 85.7%。Cyber 上两支 Phi 推理变体 ASR 低于对应模型，zero-query 仍为 50.9% 与 45.4%（Table 2）。

作者指出的局限与后续方向

• 评测是固定生物医学与代码证据池上的单关系干预，攻击全程原证据可用。该设计测的是初始正确决策多容易被翻转；实践中的失败频率还取决于攻击者能插入什么证据、智能体执行什么任务。（Limitations）
• 现有受害模型覆盖多个家族与推理能力；更多攻击者家族，以及随时间变化的证据，会拓宽这一评估。（Limitations）
• 扩展到其他语言或模态，还要改适配源单元，并检查隐式关系如何重建，因为论证的表达与解释可能依赖语境和语言模式。（Limitations）
• 完整智能体流水线的端到端延迟与成本仍有待测量。（Limitations）
• query 与 zero-query 提供有无受害反馈的互补条件；Appendix T 的候选防护可在这些条件下再评估，供后续工作考虑。（Limitations）
• Conclusion 称这些结果促使对认知攻击做部署分析，并考虑 Appendix T 中的可能防护。

实验覆盖范围

• 受害模型为 Section 4 与 Appendix I 列出的 8 个闭源和 10 个开源，共 18 个；每域 1000 条，ASR 分母是各模型已完成的初始正确样本（Table 1）。
• 基准为 PubMedQA 与 PrimeVul。PrimeVul 在脆弱与良性函数间平衡，采样 seed 42，并滤除长于 2500 字符的函数（Appendix I、J）。
• 攻击构造由一个模型 GPT-5.6-LUNA 完成；主发布为 best-of-10 与 zero-query。源支持与盲识别评审也是 Luna，论文写明与攻击者同模型家族（Section 4.2；Appendix Q.2）。Table 2 的 zero-query 列出 10 个模型。
• 辩论使用 Luna、DeepSeek-R1-Distill-Qwen-14B 与 Phi-4，在平衡初始团队状态上修订一次；医学 149 对 149，Cyber 83 对 83（Appendix O）。消融为每域 100 例、每臂 3 个候选（Table 5）。
• 论文报告信念曲线的 800 次 instance-bootstrap，以及 Appendix R、Table 15 的配对与分层精确检验 p 值。论文未报告主实验跨随机种子的重复次数。

ORA 把一条隐式的证据到结论关系当作攻击面：原证据保持完整，只加一句源支持的限定，就可能让智能体改判。

• 问题：生物医学推断和漏洞检测中，智能体既要核对陈述有没有出处，也要判断它是否足以改结论。作者针对后者。攻击者知道问题、证据和金标，不知道受害参数、梯度或隐藏推理。
• 做法：攻击模型把证据重建为论证图，按答案相关性与源可见可击败性选出一条 warrant，生成 undercutter。释放要么在最多 10 次受害查询里取第一句成功候选，要么在无反馈时自行选定。理想设定下，该句限定关系而不写出错误裁决。
• 主结果：摘要给出十八个模型、两域的 best-of-10 平均 ASR，闭源 54.9%、开源 80.0%。Table 1 的分域未加权均值为闭源 Medical 57.8%、Cyber 51.9%，开源 Medical 66.8%、Cyber 93.1%。Cyber ASR 最低的列出模型是 GPT-5.4，为 36.6%。
• 迁移与下游：Table 2 中列出的模型–域对里，无反馈 ASR 都低于 query，但仍然发生翻转；GPT-5.6-terra 的 Cyber zero-query 为 20.5%。Luna 的 query 成功里，Medical Joint 为 83.1%，Cyber 为 90.9%（Table 3）。平衡辩论后合并团队错误率从 50.0% 到 59.5%（Table 4）。
• 对照与作者结论：在 Luna 既攻击又受害的 100 例配对里，合并 best-of-3 ASR 为 ORA 46.0%，低于它的是 random warrant 24.0% 与 random content 19.5%（Table 5）。作者称一条源支持的限定可以在全文仍可见时改写结论；规模和推理取向训练可以伴随更高的干净准确率，而不带来对关系操纵的更强抵抗。作者据此讨论部署分析与可能防护。