被污染的计划、看似干净的轨迹：计划注入规避思维链监控

思维链监控是让监控器，通常也是语言模型，检查执行模型推理中的不安全规划、欺骗或失配迹象。我们发现，在执行者上下文植入有害但听来无害的推理，可引导其采取对抗动作并规避监控，称为计划注入。我们首先使用Li等2025年的调查智能体诱发框架，在Lanham等2023年的多选问答可监控性场景发现攻击。推广后，它适用于更难任务，在不同基准上监控规避率达25—33%，也适用于DeepSeek-R1等更大模型。在所研究设置中，执行者不仅遵循注入计划，还改写成自身推理，不明确归因于注入。最后我们发现额外监控资源有时有害：让监控器读取注入计划，在Bio-Math任务上使检测下降最多50%；另一个监控推理预算案例中，更多思考token被用于合理化注入计划而非标记它。