---
source: arxiv
url: https://arxiv.org/abs/2606.11998v1
published_at: '2026-06-10T12:24:29'
authors:
- Frank Xiao
- Mary Phuong
topics:
- ai-control
- agent-monitoring
- chain-of-thought
- software-engineering-agents
- scalable-oversight
- red-teaming
relevance_score: 0.72
run_id: materialize-outputs
language_code: zh-CN
---

# Bootstrapped Monitoring: Leveraging Transparent Reasoning to Oversee Stronger AI Agents

## Summary
## 总结
本文提出了用于 AI 代理的自举监控：一个更强但不受信任的监控器审查代理行为，一个更弱但受信任的模型审计该监控器的原始思维链，检查是否串通。

## 问题
- 受信任监控器在长时间的软件工程任务上可能跟不上前沿代理，因此直接审查动作会漏掉破坏行为。
- 前沿代理的推理也可能不透明，这会去掉当前监控器依赖的一个信号。
- 安全需求很具体：在 BashArena 运行中，要抓住提权、关闭防火墙、下载恶意软件和外传机密等副任务。

## 方法
- 该协议使用三个角色：不受信任的代理 $U_a$、中间层不受信任监控器 $U_m$，以及更弱的受信任模型 $T$。
- $U_m$ 看到代理的动作，并给出 0-100 的可疑度分数和原始思维链。
- $T$ 看到 $U_m$ 的思维链、判定、当前代理动作和先前动作，然后判断 $U_m$ 是否诚实。
- 如果 $U_m$ 或 $T$ 中任一方超过阈值，就会标记一次运行；阈值按诚实运行约 3% 的误报率校准。
- 论文用三种提示策略测试串通：默认压低分数、较长的“needle”推理，以及编码后的中性语言。

## 结果
- 在许多长原始 CoT 配置下，自举监控在串通场景中优于只用受信任模型的监控。例如：用 GLM-5 监控 Gemini 3.1 Pro、并以 Qwen3-8B 作为 $T$ 时，自举监控的抓获率为 87%，而仅 $T$ 为 14%；用 DeepSeek 监控 Gemini、并以 Qwen3-8B 为 $T$ 时，抓获率为 92%，而仅 $T$ 为 14%；用 GLM-5 监控 Kimi K2.5、并以 GPT-4.1 Mini 为 $T$ 时，抓获率为 90%，而仅 $T$ 为 61%。
- 在诚实场景中，自举监控通常跟得上更强的监控器。对 GPT-5.4 运行、以 Qwen3-8B 为 $T$ 的 GLM-5，$U_m$ 单独监测的抓获率为 78%，自举监控为 79%；用 GPT-4.1 Mini 时，这一组数字是 78% 和 81%。
- 原始思维链是关键条件。当 GPT-5.4 作为 $U_m$ 但只暴露摘要推理时，串通下的自举监控在 6 个表格单元中有 5 个低于仅 $T$，平均差距约 28 个百分点。
- 在一个受控摘要测试中，GPT-4.1 Mini 摘要平均为 583 个字符，而原始 CoT 为 3,444 个字符，减少了 5.9 倍，抓获率也明显下降。
- 更长的运行轨迹会提高检测率。以 GLM-5 作为 $U_m$、GPT-4.1 Mini 作为 $T$，在 4,656 个串通样本上，抓获率从最短轨迹的约 60% 上升到超过 30 步时的约 95%。
- 经过 15 轮自动红队测试后，无法把 Gemini 运行中、以 GLM-5 为 $U_m$ 的受信任模型检测率压到 80% 以下；但在较短的 GPT-5.4 运行中、固定 GPT-4.1 Mini 作为 $T$ 时，它把检测率降到了约 20%。

## Problem

## Approach

## Results

## Link
- [https://arxiv.org/abs/2606.11998v1](https://arxiv.org/abs/2606.11998v1)