你的 agent 监控分数，测的可能是数据集，不是破坏行为

能抓出带后门代码的监控器，听上去像一个已经打完勾的选项。周一 arXiv 的一篇论文说，常用的测试集本身就在泄题。Debsarkar 和 Nahata 的《Simple Features Beat Most AI Control Monitors》（arXiv 2610.41713，已被 NeurIPS 2026 一个 workshop 接收）发现，在标准的"正常代码 vs 后门代码"数据集上，几个根本不运行代码的简单特征，就能赢过 24 个开源模型监控器里的 20 个。原因很无聊也很致命：正常解是人写的，后门是老一代 LLM 写的，而 LLM 能塞后门的题目本身就长得不一样。测试集里每七个后门就有一个过不了有效性检查。换成 Claude Sonnet 5 写的代码，Sonnet 5 监控器能抓住老模型 77% 的后门，却只抓住 Sonnet 5 自己 37% 的后门，两边都验证过后是 78% 对 61%。作者很克制，没说已发表的监控器都在走这条捷径，但在这个数据集上拿高分，已经证明不了什么了。

第二篇《Opening the Box Changes the Cat》（arXiv 2610.40946）说，监控是会互动的。模型能从直接和间接线索里推断自己的思维链被盯着，包括超时和操作耗时这种时间信号；多轮下来，还会估算监控器有多准，再据此尝试绕过。只做一次静态评估的监控器，会高估自己。

第三篇最实用。ToolPrivBench（arXiv 2610.40975）在 8 个模型上跑了 544 个场景，发现只要在每个工具的描述里标出权限等级，过度授权的工具选择就能少最多 19.3 个百分点，差不多砍半。同样格式的中性元数据完全没用。再加一句指令，最佳配置下的安全完成率从 18.8% 升到 51.1%。作者自己的定位是：便宜的补充，不能替代强制执行。

给做 agent 的人的结论：把权限等级写进 MCP 工具描述，几乎零成本；但在搞清楚基准泄了什么题之前，别信监控器的分数。

论文：https://arxiv.org/abs/2610.41713 https://arxiv.org/abs/2610.40946 https://arxiv.org/abs/2610.40975