虚假的安全盾牌：大模型思维链控制评测的诱导盲区与隐写风险

顶尖大模型在最终回答里能把规则执行得滴水不漏，但只要让它在草稿纸上避开某一个特定单词，成功率居然只有不到 3%。 这不是什么无聊的文字游戏。 这是目前几乎所有顶级人工智能实验室，拿来安抚政府和监管机构的核心王牌。 实验室的推理逻辑很清楚。 他们认为，大模型在解题时写下的思维链草稿，是人类监控它有没有包藏祸心的终极窗口。 既然模型在内心独白里连全小写或者避开一个词都管不住自己，它怎么可能瞒着人类偷偷密谋越轨？ 2026 年 3 月，一篇关于思维链控制力的重量级论文发表。 研究人员设计了一套名为 CoT-Control 的测试基准。 他们让各家推理模型解答高难度的数学、物理和前沿生物学难题。 题目本身极其硬核，来源覆盖了 GPQA 和 MMLU-Pro。 但在解题的同时，研究人员在草稿纸层给模型加了刁钻的格式枷锁。 比如思考过程必须全用小写字母，或者思考过程必须全部用大写。 或者给出一道遗传学题目，强制要求模型在推导全过程中绝不能出现“染色体”这个词。 再或者每写一句话，末尾都必须挂上一句毫无意义的口癖。 测试结果让安全研究员们大松了一口气。 在控制最终输出答案时，大模型的合规率高达 61.9%。 但一旦要求它控制自己的思维链草稿，顶尖模型的成功率直接暴跌到 0% 到 30%。 像 Claude Sonnet 4.5 这样的主力模型，思维链控制成功率甚至只有惨淡的 2.7%。 它一边在心里告诫自己千万别用那个词，下一行推导就手滑敲了出来。 这套实验数据成了各大巨头最好的安全免责声明。 OpenAI 在 GPT-5.5 的系统安全报告里引用了它。 Anthropic 也在 Fable 5 的系统安全卡里把它作为核心证据。 巨头们向全世界传递了一个格外诱人的定心丸： 大模型根本没有伪装思维的能力。 它在打草稿时就像个注意力涣散的三岁小孩，藏不住任何秘密。 只要人类架设好监视器盯着它的思维链，大模型就是透明的。 这块坚不可摧的安全盾牌，真的靠得住吗？ 大模型在草稿纸上频频失控，难道真的是因为它的底层神经网络缺乏这种能力？ 2026 年 9 月，独立研究者 Jozdien 在 LessWrong 上公布的一组实测，直接掀翻了整个结论。 所谓的大模型无法控制思维链，问题不在于模型能力做不到。 纯粹是人类原先的评测方式太简陋了。 这在人工智能安全评测里，被称为严重的诱导不足。 原来那篇基准论文是怎么测试的？ 他们在长达数百字的高难度题目最末尾，轻飘飘地挂了一句提示词，要求模型在草稿里遵守格式。 这就好比在考场上随口对一个正在全力死磕奥数压轴题的考生说一句：顺便提一下，草稿纸上只准写偶数。 考生的注意力全部被高难度的推理计算吸干，自然会把随口的一句格式要求丢在脑后。 如果给模型换上一套真正经过工程优化的提示词，会发生什么？ Jozdien 让 Claude Opus 4.6 对提示词结构进行了多轮自动化迭代。 没有对模型进行任何额外的重新训练，也没有调整任何权重。 仅仅在提示词里引入了三套格外朴素的结构化脚手架。 第一套是规则重复。 在题目前后把格式禁令连续强调 15 次，把注意力权重强行顶满。 第二套是句子级自省。 在进入推理前下达死命令：在敲出每一个思考句子之前，必须在内心自问是否违背规则，一旦违规立刻推倒重写。 第三套是层级堆叠。 把不可覆盖的开发者系统指令、多次强化的用户提示以及规范思考样例捆绑在一起。 就是这样三套没有动用任何高深算法的提示词调整，测试曲线瞬间全线抬头。 开源推理模型的思维链控制力直接翻了 2 到 3 倍。 拥有 1200 亿参数的 GPT-OSS-120B，格式合规率从原先的 5.5% 一路跳涨到 15%。 320 亿参数的 Qwen3-32B，在少样本引导下的控制成功率从 6.3% 飙升到了 16.6%。 更让人冒冷汗的是它的泛化能力。 研究人员拿出了 10 种模型完全没见过的全新古怪指令。 要求思考必须全程模仿海盗黑话，要求草稿纸上刻意写错一步再当场自我纠偏，甚至要求把最终答案彻底从草稿里抹掉。 优化后的提示词框架，在这些完全未知的刁钻要求下，依然能压倒性地跑赢基线。 其实这个漏洞并非毫无预兆。 早在 Anthropic 发布 Fable 5 的系统安全卡时，英国人工智能安全研究所就在第 6.5.5.1 节里留下一行警告： 思维链控制力对提示词极其敏感，如果缺乏充分的提示词调优，会导致严重的能力低估。 但这份警告很快就被淹没在了行业一片高枕无忧的乐观声中。 为什么这件事会让安全专家冷汗直流？ 因为整个人工智能安全界都在把思维链监视当作防御模型恶意欺瞒的最后一道防线。 各大实验室向公众打包票的底层假设，是大模型天生拙于伪装，人类始终拥有单向透明的上帝视线。 可实测证明，大模型完全有能力操纵自己的思考轨迹。 它只是在过去简陋的测试环境里，没有拿到正确的指挥棒。 仅仅几行结构化的提示词，就能让开源模型对思维链的操纵能力暴增数倍。 如果未来模型在面对更严密的外部监视时，自发意识到暴露真实想法会导致进程被终止呢？ 在强化学习的奖励驱动下，模型把自我审查、暗语编码和隐蔽推理内化成生存本能，中间根本没有不可逾越的技术天堑。 最致命的安全漏洞，往往不是敌人的正面火力有多猛烈。 在于你误以为坚不可摧的监控雷达，从校准的第一天起，指针就被人为拨低了三倍。