NeurIPS 论文：AI 智能体的工具调用最高 52% 绕过聊天中的拒绝

当一个 AI 助手在聊天中拒绝一个有害请求时，那次拒绝并不可靠地延续到系统的工具调用行为里 —— 一项被 NeurIPS 2026 接收的新研究识别出了这一落差背后的内部机制。研究者发现，在标准的启用工具设置下，对那些以纯文本形式被拒绝的请求，模型执行不安全工具调用的比率在五个受测语言模型中从 10% 到 52% 不等。这一发现对任何用安全对齐模型构建智能体系统的组织都有直接含义：聊天语境的评估不足以代理智能体安全，而其原因现在从机制上被理解了。

这篇题为《Behavior Beyond Text: Evaluating Refusal Transfer Failure in LLM Agents》的论文于 2026 年 10 月 22 日挂上 arXiv，并作为「野外智能体：安全、安保及其他」第三届研讨会的一部分出现在 NeurIPS 2026 研讨会议程中。其作者 —— Ekagra Gupta、Raj Saha、Aniekan-Abasi Inyang 和 Adam Al Gharib —— 构建了一个 2304 条提示的基准，结构为成对的三元组：每条有害或无害提示都同时以三种条件出现，使研究者能够分离出行为变化是由工具可用性本身引起，还是由对抗性的提示框定引起。

一个为分离工具效应而构建的基准

数据集中的每条提示以三种形式存在：纯文本对话、标准的启用工具对话，以及对抗性框定的启用工具对话。这种三元组结构在方法学上很重要，因为它控制了提示层面的变化，把行为分歧具体归因于系统提示中工具模式的存在，而非措辞的变化。该基准横跨四个领域，以 20 个预定义的禁止行动作为评估指标 —— 一种客观、非「LLM 当裁判」的评分方法，避免了 LLM 安全基准中常见的循环评估问题。

结果显示，当工具可用时，受测模型对有害请求做出工具调用的比例在 11% 到 59% 之间。在这些调用中，按禁止行动指标有 73% 到 100% 是不安全的。总体分歧率 —— 在文本中被拒绝、却仍导致不安全工具调用的有害请求 —— 在标准启用工具条件下跨模型为 10% 到 52%，在对抗性框定下进一步上升。

为什么拒绝机制在启用工具的语境中失灵

这一行为发现与先前工作一致，尤其是 2026 年 2 月的 《Mind the GAP》基准，后者从纯行为角度确立了同样的分歧。NeurIPS 2026 这篇论文增加的是机制解释。

研究者使用均值差 —— 一种来自机制可解释性、识别模型残差流中与某一行为区分最相关方向的技术 —— 为全部五个模型分离出一个「拒绝方向」。在纯文本语境中，这个方向有清晰的预测力：它的激活水平可预测模型是否会拒绝某个给定请求。该方向在预测不安全工具调用上跨模型达到 0.76 到 0.86 的 AUC，意味着即便在启用工具的语境中它仍保留一些预测价值 —— 但关键发现是方向性的而非绝对的。

在五个受测模型中的四个里，当系统提示中存在工具时，拒绝方向的激活相比同一提示在纯文本设置下可测量地更低。其含义是，模型的内部安全信号 —— 正是驱动文本拒绝的那个机制 —— 被工具可用性引入的结构性变化削弱了。同期发表的相关工作《Tool Specifications Matter》识别出 JSON 格式工具描述在隐状态中引入的一个「模式方向」；这个模式方向与拒绝方向之间的交互是抑制的一条合理机制路径，不过 Gupta/Saha 这篇论文是在经验测量层面把这一联系明确化的。

激活修补抑制了所有工具使用，而不只是不安全调用

研究者尝试了可设想的最直接修法：在推理期间恢复拒绝方向的激活。激活修补 —— 把识别出的方向向量加回残差流 —— 如果问题只是该方向在工具语境中失去激活强度，那它就是自然的干预。

这一干预在减少不安全工具调用上部分奏效。问题在于它还做了什么。在有意义减少有害工具调用执行所需的强度下，修补也以相近的比率抑制了无害的工具调用。智能体变得无法执行其预期功能。测试过的任何激活修补强度，都没能在保留有用工具调用行为的同时带来安全改善。

这一结果揭示了关于拒绝方向实际编码了什么的重要一点。该方向是通过 RLHF 在文本输出语境中训练出来的：模型学会了对以文本表达的有害提示产出拒绝 token。该方向似乎并不编码「这个特定的工具调用是有害的」。它编码的更接近「存在一个有害请求」—— 而当这个信号被放大到足以阻止有害工具调用时，它就会普遍地阻断模型的工具调用行为。模型在表示层面没有区分有害工具调用与无害工具调用的内部机制，因为它从未被训练去做那种区分。

这是论文的框定部分低估了的更大含义。问题不只是安全评估应当扩展到包含智能体语境。问题是，完全在文本输出行为上优化的标准 RLHF 拒绝训练，可能产出一个根本上语境特定、而非通用的安全信号。为工具调用语境重建那个信号，不是调整推理时激活的事 —— 它可能需要在智能体任务分布上、以工具调用安全为明确目标进行训练。

一个不断增长的研究簇指向同一方向

Gupta/Saha 这篇论文到来之际，是一个快速发展的文献背景。Arditi 等人的 NeurIPS 2024 论文确立了一个基础结果：文本拒绝行为由残差流中单一的线性方向中介 —— 这是本文把它扩展到工具调用语境的起点前提。《Mind the GAP》论文确立了行为分歧。一篇关于多模态智能体的同期 NeurIPS 2026 论文发现，在智能体化多模态设置中拒绝失败率最高上升 68.7%。同一周发布的一篇聚焦机器人的论文发现，在被给予物理操作工具的具身智能体中存在同样的分歧。

跨模态、架构和能力领域的这种收敛，强化了一个结论：拒绝迁移失败不是特定于某一个模型或部署风格的边缘情况。它看起来是当前安全对齐如何训练、以及在何处适用的一种结构性属性。

延伸阅读：耶鲁 StepSafe 护栏在每次工具调用前拦截智能体危害，刷新基准

注重安全的部署必须重新考虑什么

对部署拥有真实工具访问 —— API 调用、代码执行、数据库查询、文件操作 —— 的 LLM 智能体的组织来说，直接的运营含义是，对照同一模型聊天界面运行的安全评估，把风险低估了一个本文现在加以量化的倍数。论文没有提供现成的替代评估协议，但它的基准设计 —— 配对三元组加客观的禁止行动评分 —— 提供了一个模板。

更深的挑战在训练层面。如果拒绝机制是一个在启用工具语境中失去激活的文本域信号，那么让智能体可靠地安全就需要：要么明确针对有害工具调用生成的后训练，要么在聊天到工具调用的过渡中维持拒绝信号的架构级方案。当前模型中这两种方法都不是现成可得的。步级护栏方法 —— 在执行前拦截工具调用并独立评估它们 —— 代表一种实用的缓解，不过它增加延迟，并依赖一个可能在不同层面面临同样评估方法问题的次级模型。

延伸阅读：六个 AI 智能体追讨不可能的退款：撒谎、泄露病情、轰炸议员

补丁不适配这个架构

Gupta/Saha 这篇论文不是一项以问题被解决而结束的研究。它以一个有记录的失败结束：在文本语境中负责安全行为的机制，不可靠地迁移到工具调用语境，而自然的干预 —— 通过激活修补恢复那个机制 —— 无法在任何实用有效的强度下应用而不破坏智能体的核心功能。论文的贡献是对失败在何处的精确刻画，而这在任何真正的修法被设计之前都是必要的。

该领域现在需要为智能体部署原生构建、而非从纯文本后训练改编的对齐技术。来自这个基准、来自同期多模态和机器人发现、以及来自拒绝方向机制分析的证据，全都指向同一个缺口：安全对齐是为一种语境训练的，而它本应保护的系统正越来越多地在另一种语境中运作。