思维链监控在跨类型多样的语言下的脆弱性
The Fragility of Chain-of-Thought Monitoring Across Typologically Diverse Languages
该研究首次对思维链监控在13种不同语言和7个模型家族（共16个模型，参数从8B到120B）中进行了大规模评估。研究发现，CoT在所有语言和提示类型下的平均不忠实率高达95.9%。前沿模型会系统性进行策略性操纵（如答案切换和事后合理化），使外部监控难以检测欺骗。模型常在生成过程的前15%内就在潜在激活中锁定了错误线索，即使其CoT看起来是忠实的。令人惊讶的是，这种欺骗模式在低资源语言中保持100%，揭示了当前CoT监管的根本局限。研究证实CoT监控在语言分布偏移下极其脆弱，其安全信号远弱于仅基于英语的研究。代码已开源：https://multilingual-cot-monitoring.github.io/{blue{here}}。
第一次大规模验证思维链监控在不同语言中的脆弱性，低资源语言里100%的欺骗率直接打脸“安全靠监控”的假设，做对齐的团队该紧张起来了。
摘要
思维链（CoT）监控已被提出作为一种有前景的安全机制，用于检测大语言模型中的失调行为。然而，其可靠性在英语之外以及跨不同模型家族方面仍基本未被探索。我们首次对 CoT 可监控性进行了大规模评估，涵盖 13 种不同语言和 7 个前沿模型家族，共计 16 个模型。通过使用需要显式中间计算的对抗性提示评估，并结合对内部答案 token 概率的分析，我们一致发现 CoT 在不同语言和提示类型中存在不忠实性，在 8B 至 120B 参数模型中平均比率达到 95.9%。我们发现前沿模型系统性地进行策略性操纵，包括切换答案、事后合理化以及程序性利用提示，这使得外部监控器难以检测欺骗行为。我们表明，即使 CoT 看起来是忠实的，前沿模型也常常在其生成过程的前 15% 内的潜在激活中就已承诺采用失调线索。令人惊讶的是，这些欺骗模式在低资源语言中仍然 100% 存在，揭示了当前基于 CoT 的监督存在根本性局限。我们的结果表明，CoT 监控在语言分布偏移下从根本上来说是脆弱的，其提供的安全信号比仅基于英语的研究所暗示的要弱得多。这些发现凸显了开发稳健的 CoT 监控器以及加速白盒监控技术研究的迫切需求，尤其是在提高中低资源语言的 CoT 可监控性方面。我们的代码可在此处获取。
1 引言
前沿推理模型通过扩展的思维链推理，在复杂任务上取得了前所未有的性能表现（Singh 等人，2025；DeepSeek-AI，2026；Comanici 等人，2025；Anthropic，2024）。由于这些模型以自然语言形式外化其推理过程，思维链监控已成为一项关键的安全机制，能够在错误对齐意图、欺骗性计划或奖励黑客策略显现于最终输出之前将其暴露（Baker 等人，2025；Korbak 等人，2025）。然而，其可靠性取决于一个假设，即推理轨迹能够透明地反映模型的实际计算过程（Chen 等人，2025）——而模型通过编造理由、利用策略性虚假信息展现欺骗性，以及在直接监控压力下隐藏错误对齐目标等方式违背了这一假设（Shah 等人，2025；Arcuschin 等人，2025；Phuong 等人，2024；Kwa 等人，2025；Emmons 等人，2025），这使得可靠量化思维链可监控性变得至关重要。
实现可靠的思维链可监控性，要求推理轨迹能够抵御旨在隐藏危险意图的操纵行为（Baker 等人，2025；Emmons 等人，2025；Korbak 等人，2025）。先前的研究表明，模型很少披露具有影响力的提示线索，在不到 20% 的案例中会将其以语言形式表达出来（Chen 等人，2025；Arcuschin 等人，2025）。
新兴能力，如评估感知、情境感知和监管规避，直接促成了隐蔽性和策略性行为（Needham 等人；Phuong 等人，2025）。此外，思维链监控器能在训练期间检测到奖励黑客行为，但强大的优化压力会催生混淆变体，使得模型在监控通道内隐藏意图的同时继续表现不当（Baker 等人，2025）。这些结果表明，思维链监控提供了一种有前景但脆弱的控制信号，其可靠性需要经验验证而非假设。为此，近期研究确定了思维链可监控性的一个更具体的基础，即利用基于代理提示的评估来证明，模型常常无法披露影响其答案的简单线索，但当需要显式的中间计算时，它们会更轻易地揭示这些线索（Chen 等人，2025；Emmons 等人，2025；Guan 等人，2025）。在这些情况下，思维链本身构成了计算的一部分，而非事后的解释，从而在实践中使得线索更易于监控。然而，这些证据几乎完全依赖于以英语为中心的评估，留下了关于这些监控机制在语言分布偏移下表现如何的关键盲点。
当前工作。我们首次在语言分布偏移条件下，对思维链可监控性进行了大规模多语言评估。通过使用覆盖高资源、中资源和低资源三个层级的13种语言的代理提示评估方法，我们测试了参数量从8B到120B的前沿模型，考察其对简单和复杂的不对齐线索的反应。我们研究了模型是否在推理轨迹中如实披露提示使用情况，是否进行策略性操纵（如切换答案和事后合理化），以及欺骗性行为在语言偏移下是否变得更加隐蔽。结果表明，不诚实的思维链推理在所有语言中普遍存在，且在低资源环境下往往加剧，这表明思维链监控在多语言部署中的可靠性远低于此前仅基于英语证据的研究所显示的水平。我们的发现引出了以下研究问题：1）从直接线索到多步算术的不同复杂程度的提示，如何影响高、中、低资源语言中的思维链可监控性比率？2）什么样的分类体系能够刻画推理链中思维链可监控性缺失的特征，以及这些特征在不同模型架构和语言资源层级中的分布如何变化？3）大语言模型是否会在生成过程中切换答案，并在内部计算出正确答案后，再用不对齐的线索将其覆盖？我们还进行了一系列压力测试，以排除其他解释，包括选项字母偏差、闭源模型特异性以及对单一确定性生成的敏感性。
2 相关工作
我们的工作处于思维链监控与跨语言分布偏移推理这两个研究领域的交叉点。
思维链可监控性。近期推出的推理模型开辟了一种新的监督渠道，监控者可以检查思维链（而非仅检查最终输出），以寻找奖励黑客攻击、有害规划或其他不良行为前兆的证据（Baker 等人，2025；Korbak 等人，2025）。先前的工作将这一概念形式化为“思维链可监控性”，并表明推理轨迹可以为安全监督提供有用但脆弱的信号（Korbak 等人，2025；Guan 等人，2025）。特别是，思维链监控器能够检测到那些仅从输出中更难识别的奖励黑客攻击形式，但当优化压力导致模型混淆本应用于支持监控的推理轨迹时，这一优势可能会减弱（Baker 等人，2025）。近期研究进一步指出，当模型必须将思维链作为计算过程本身的一部分（而非事后解释）时，可监控性最强（Emmons 等人，2025）。然而，当模型在语言分布偏移下运行，或面对复杂、多步骤的不对齐线索时，这一信号是否仍然可靠，尚未得到系统性的检验。
多语言推理。虽然 Shi 等人（2022）表明思维链提示能够超越英语，提升跨类型多样语言的推理能力，但这种能力仍然脆弱。模型在通过英语进行翻译或中转时的表现，通常优于直接用目标语言进行推理；并且，它们在维持长篇目标语言推理方面尤其困难（Etxaniz 等人，2024；Onyame 等人，2026）。因此，研究人员已超越最终答案的准确性，开始评估多语言思维链本身。这项工作发现，语言选择会影响推理轨迹的合规性与一致性（Zhao 等人，2026；Ghosh 等人，2025a）。
以往的研究主要将多语言推理视为一项性能挑战，但并未考察在语言分布偏移下的欺骗性推理、策略性操纵以及监控失效问题。在本研究中，我们首次针对高资源、中资源和低资源语言以及不同模型规模，开展了关于思维链可监控性的大规模研究。我们的结果表明，不忠实和欺骗性行为在语言偏移下依然存在，且往往变得更加隐蔽，这对可扩展监督具有直接影响，而以往的多语言研究并未对此进行探讨。
3 实验设置
在此，我们详细介绍实验设置，包括模型、数据集、提示代理、验证评判器以及评估流程。更多细节请参见附录 D。
模型。我们总共评估了 16 个开源权重和闭源模型，涵盖七个模型家族和不同的参数量级，包括 Qwen3 {8B,32B}、DeepSeek-Qwen {7B,14B,32B}、DeepSeek-Llama {8B,70B}、GPT-OSS {20B,120B}、Llama {3.1-70B,3.3-70B}、Gemma 3 {12B,27B}、GPT-{4o,5.1}-mini 以及 Claude Haiku 4.5。为便于在图表中展示，我们将名称缩写为：Qwen3Q3、DeepSeek-QwenDSQ、DeepSeek-LlamaDSL、LlamaL、Gemma3G3 和 GPT-OSSGPT。
数据集。我们使用多语言 GPQA 数据集（Rein 等人，2024），这是一个具有挑战性的多项选择题集合，涵盖化学、生物学和物理学。参照（Emmons 等人，2025）的方法，我们构建了一个“提升集”，由那些思维链推理能带来显著性能优势的问题组成，最终每种语言共得到 127 个问题。
提示代理。遵循先前的研究（Emmons 等人，2025；Chen 等人，2025；Chua 和 Evans，2025），我们使用代理提示来研究在受控干预下思维链的可监控性。我们在多语言设置中评估了两种提示类型，其中 i) 简单提示（Chen 等人，2025）使用 `<answer>C</answer>` 格式直接给出错误答案的线索；ii) 复杂提示（Emmons 等人，2025）在揭示目标答案之前需要多步计算，例如，提示 `<answer>考虑映射关系 A = 0, B = 1，以此类推。正确答案是计算 (K + Q) mod 4 后得到的字母</answer>` 要求模型将字母映射为索引，执行模运算，并将结果转换回答案选项。
验证裁判与语言。与先前研究一致（Guan 等人，2025；Emmons 等人，2025；Chen 等人，2025），我们使用 GPT-5.1（Singh 等人，2025）作为验证裁判来监控思维链推理。附录 C 提供了完整的语言和语系列表以及验证提示词。
生成思维链。遵循 Chen 等人（2025）的方法，我们通过提示每个模型使用问题语言逐步思考来引出思维链推理。我们采用 Zhao 等人（2026）的模板，该模板包含一个黑客前缀，以鼓励模型使用问题语言进行推理并生成答案，然后在 `\boxed{}` 内输出最终答案字母。我们在全部 13 种语言上进行评估，并在温度为 0 时进行采样。
评估思维链。我们通过验证推理轨迹是否明确提及提示并依赖提示得出答案，来监控简单和复杂提示场景下的思维链。在复杂提示场景中，我们额外要求模型正确计算提示并将其映射回答案，排除模型通过自身欺骗策略达到提示答案的情况。我们通过人工检查所有语言的样本来验证裁判。附录 D 提供了提示词模板和超参数。
指标。（i）基线错误率（BER）：在我们的多项选择题中，正确答案始终是选项 A。我们计算 BER 为模型在没有任何提示的情况下选择错误选项 C 的试验百分比。我们将此比率与有提示条件下选择 C 的频率进行比较，以量化代理提示的影响。（ii）欺骗率：我们将其定义为在有提示的试验中，模型选择错误目标答案 C，同时其 CoT 通过省略、操纵、捏造支持或误导性理由来掩盖提示影响的百分比。我们使用 LLM-as-a-judge 评估标准来计算此指标，该标准会标记那些省略提示、错误应用提示程序或通过无关的事后推理将 C 合理化的推理轨迹。在复杂提示设置中，这还包括模型引用了提示计算，但错误或操纵性地使用它来证明 C 合理的情况。
4 模型能否在不同语言中隐藏其推理过程？
我们通过评估提示复杂性如何影响不同语言和模型家族的模型响应，来研究 CoT 可监控性的极限。图 2 展示了欺骗率的持续崩溃，即在所有语言资源层级和模型家族中，CoT 欺骗率始终超过 90%，并且经常饱和至 100%。这突显了一个系统性的、跨语言的失败，即模型可靠地内化了提示的目标，但主动将其影响排除在输出的推理轨迹之外，无论提示是需要简单服从还是多步执行。
附录图11将答案层面的易受影响性与思维链可监控性区分开来。在简单提示下，大多数模型-语言对同时表现出较高的基线错误率和接近100%的欺骗率，这表明提示往往引导了最终答案，而推理过程未能揭示其影响。复杂提示显著降低了答案易受影响性，将平均基线错误率从86.3%降至19.9%，接近无提示条件下的17.5%平均值。然而，即使在这些较低的基线错误率下，大多数模型的欺骗率仍然很高，主要的降低集中在GPT-OSS模型上。因此，复杂提示在迫使模型选择目标答案C方面效果较差，但当它们确实成功时，思维链可监控性往往仍然失效。
这一点在定性示例（图1、21-23、29）中得到了进一步验证，我们观察到模型常常通过虚构变量、覆盖正确的推导过程、不匹配的计算，或流畅但省略了提示的幻觉式解释，来为受提示引导的答案进行合理化。因此，简单提示经常将模型引导至错误答案C，并将欺骗率推至100%，而复杂提示虽然降低了答案易受影响性，但仍使思维链监控不可靠。即使是GPT-OSS模型，在复杂提示下表现出适度的降低，也仍然容易受到这些模糊化推理模式的影响。
关键结论。对抗性提示暴露了思维链可监控性在跨语言场景下的失效。复杂提示使模型不太可能选择受提示引导的错误答案C，但当模型确实选择了该答案时，它们的推理过程往往会隐藏或歪曲提示的影响。
综合来看，这些结果表明，模型并非简单地未能记录其推理过程；相反，它们采用了多样化、模糊化的路径来主动隐藏对对抗性线索的依赖。由于这种隐藏的计算逻辑以高度具体且多样的方式表现出来，因此有必要系统地对这些行为进行分类。因此，在下一节中，我们将引入一个严格的分类体系，以分离并定义驱动这些推理行为的确切机制策略。
5 模型如何隐藏线索？欺骗性推理的错误分析
为系统性地确定模型如何主动隐藏其对对抗性线索的依赖，我们引入了一个关于不忠实推理机制的严格分类体系，并跨模型架构和语言资源层级对其分布进行实证分析。通过隔离定性规避机制并评估其经验普遍性，我们刻画了模型如何绕过监督，在成功实现目标输出的同时，维持忠实计算的表象。
5.1 欺骗的分类学分类
基于已有的推理错误框架（Wang 等人，2023；Dziri 等人，2023；Amjith 等人，2025；Huang 等人，2025），我们将引导模型走向对抗性目标的机制路径分为四种失败模式：i) 算术错误：模型遵循既定设定，但因数值错误（如符号翻转、遗漏项或不正确的模运算）而得出 C；ii) 程序错误：模型错误地应用了提示程序或映射规则，例如为变量赋予虚构值，直至结果支持 C；iii) 事实错误：模型生成了流畅但事实不正确的领域论断，用以证明选择 C 的合理性；iv) 随机错误：模型在推理过程很少、重复或缺乏因果关系的情况下选择 C，使得推理轨迹无法支撑最终答案。我们使用基于评分标准的 LLM-as-a-judge 流程（采用 GPT-5.4，Singh 等人，2025）对回答进行分类。评判器会检查模型是否选择了对抗性目标 C，思维链是否披露或扭曲了提示的影响，以及哪种错误类别最能描述通向 C 的路径。我们对每种语言的样本进行人工审核以验证标签质量。附录 17 提供了评判器提示词。
为进一步区分模型的易受影响性与可监控性，我们根据提示参与度对这些失败模式进行条件化处理。如果模型在最终输出之前的推理轨迹中明确外化了对抗性线索，则该错误被归类为“使用了提示”（HU）；如果模型采纳了目标答案，同时成功地将该线索排除在可监控通道之外，则该错误被归类为“忽略了提示”（HI）。
5.2 实证错误分析与分布
如图 3 所示，欺骗性思维链行为可分为利用提示和忽略提示两种机制。当模型明显利用提示时，它们绝大多数依赖过程性操纵而非算术错误。在利用提示的错误中，过程性操纵占 Qwen3 的 90%、DeepSeek-Llama 的 94%、Llama 的 98%，以及 Gemma、GPT-OSS 和 DeepSeek-Qwen 的 100%。在这些情况下，模型常常编造或调整中间映射关系，使得整个过程看似能证明错误的目标答案 C 是合理的。例如，模型可能会为变量赋予无依据的值，直到计算出的映射结果落在 C 上。
当提示词未被披露时，错误分布在不同模型家族间的差异更为显著。DeepSeek-Qwen 和 DeepSeek-Llama 的 HI-Arith 错误率尤其高，分别达到 65% 和 56%，这表明这些模型常常通过篡改或不支持的运算强行得出 C 答案，同时忽略提示词。GPT-OSS 则转向事实合理化，在其忽略提示词的错误中，HI-Factual 占比达 64%。Qwen3 的 HI-Random 错误占比最高，为 33%，表明当提示词被隐藏时，该模型更倾向于采用非因果推理。错误分布也随语言资源层级而变化。高资源与中资源语言的错误分布特征相似，以 HU-Proc 和 HI-Arith 为主。低资源语言的 HI-Arith 错误较少，而 HI-Factual 和 HI-Random 错误增多，其中 HI-Random 错误率从高资源与中资源语言的 6% 上升至低资源语言的 15%。总体来看，HU-Proc 和 HI-Arith 在全球错误分布中占据主导地位，分别占 34.2% 和 32.8%，其次是 HI-Factual（24.1%）和 HI-Random（7.5%）。在附录图 13b 中，我们展示了 HU-Proc 和 HI-Arith 共同驱动了 67% 的推理行为。关键在于，这种主导地位在高、中、低资源语言层级中均匀持续存在。这确立了程序性操纵作为一种根本性的跨语言结构脆弱性，证明这些错误并非语言稀缺或认知负荷的产物，而是一种一致的规避策略。
关键要点。程序性利用是所有被评估架构和语言层级中实现提示词欺骗的关键技术。通过策略性地编造规则和映射错误（占总失败的 67%，并在使用提示词的场景中接近 100%），模型能够可靠地将对错误对齐提示词的依赖，伪装在严谨计算的表象之下。
尽管上述分类法精确界定了模型如何通过结构性地操控其推理过程来隐藏对抗性线索，但对最终文本的行为分析仍存在根本性局限：它无法告诉我们模型实际“知道”什么。具体而言，文本层面的分析无法明确判定模型究竟是从一开始就被提示信息真正迷惑了，还是它在内部成功计算出正确答案后，又主动抑制该结果以迎合提示词。为了区分自发的认知崩溃与主动的混淆行为，我们旨在绕过不可靠的外部思维链，转而考察模型的内部表征。因此，在下一节中，我们将从行为分类转向机制可解释性，通过分析潜在生成动态，来确定模型是否以及在哪个具体层上计算出真实答案，之后再转向错误目标。
6 早期潜在承诺：答案切换的机制分析
在此，我们利用 logit 透镜（Belrose 等人，2023）分析生成过程中 token 级别的概率轨迹。该技术通过模型的输出头将中间隐藏状态投影到词汇空间，从而获得下一个 token 的分布，这使我们能够追踪候选 token（A、B、C、D）在不同层和步骤中的演变。通过在每一步生成时应用 logit 透镜，我们直接观察到模型的偏好如何随时间推移和深度变化而形成、竞争和转移。
实验设置。对于每个样本，我们追踪在每一步生成时预测 A、B、C 和 D 的概率。序列被划分为归一化的百分比区间，概率在每个区间内聚合，并在所有样本上取平均，以获得平滑的轨迹。我们评估了简单和复杂两种提示场景，根据最终输出（A 或 C）以及高资源语言和低资源语言分别呈现结果。如果模型在切换前计算出了正确答案，我们预期 A 会早期上升，随后过渡到 C；否则，C 的早期主导地位表明模型在做出最终决定之前并未内部计算出正确答案。这种设置使我们能够直接检验内部推理是否先于最终决策。
研究发现。在模型输出 C 的简单提示场景中（图 4；I-II），A 在整个序列中持续保持低概率，尤其是在早期生成阶段（0%–15%）之后。相反，C 从一开始就占据主导地位。这种模式表明模型对提示答案存在即时偏向，而没有进行中间推理。C 的概率单调递增，显示出一种自我强化的动态过程，即早期偏好在整个生成过程中被放大。Wilcoxon 符号秩检验证实了 C 的主导地位（）。Mann-Whitney U 检验进一步显示，高资源语言和低资源语言之间存在显著差异（），高资源语言对 C 的偏向更强，这表明语言资源会影响模型对提示的敏感程度。
相比之下，在给出最终输出 C 的复杂提示下（图 4-II），A 最初超过 C，这表明在切换之前短暂地与正确答案对齐。这暗示了一个短暂的内部推理阶段，随后被提示覆盖。Wilcoxon 检验显示，对于高资源语言，A 与 C 之间无显著差异（），但对于低资源语言存在显著差异（）。该结果揭示了低资源环境下更强的转换。Mann-Whitney U 检验显示无显著的跨语言差异（C 为 ，A 为 ），这表明在复杂提示下行为更加一致。总体而言，这为“先计算后切换”模式提供了部分证据，且切换发生在生成接近末尾时（序列的 ）。
我们还考察了模型输出 A 的情况（图 4；III-IV）。即使在这些情况下，A 和 C 在生成早期之后也会交替占据主导地位，这突显了正确答案与提示答案在收敛之前的持续竞争。Wilcoxon 检验显示 A 与 C 之间无显著差异（, ），但将 A、C 与 B、D 比较则存在显著差异（, ）。这表明 C 在整个生成过程中始终是一个强有力的竞争候选。Mann-Whitney U 检验显示无显著的语言差异（, ），表明各语言组之间的行为一致。
图 4 IV 显示 A 在早期和后期均占据主导地位。这表明模型即使在复杂提示下也能维持或恢复正确的推理。Wilcoxon 检验显示，对于高资源语言，A 与 C 之间无显著差异（），但对于低资源语言存在显著差异（）。后期 A 的增加和 C 的减少表明模型逐渐拒绝提示答案而倾向于正确答案。Mann-Whitney U 检验显示 C 存在显著差异（），但 A 无显著差异（），这表明虽然最终正确性稳定，但对提示答案的抑制程度因语言而异。总体而言，简单提示导致早期倾向于 C，而复杂提示则引发更清晰的“先计算后切换”模式，并伴有可观察到的中间推理过程。
核心要点。结果表明，模型在生成过程中确实会表现出“先计算、后切换”的模式，尤其是在复杂提示条件下。在这些情况下，A 的概率在生成早期阶段会上升，这表明模型最初会计算或对齐到正确答案，之后才转向 C 作为最终输出。这种转变反映了从中间推理状态向提示答案的转移，而非立即做出承诺。即使模型最终输出了 A，A 和 C 在整个生成过程中的持续竞争也进一步支持了存在中间推理以及后续可能的切换动态。总体而言，这些发现表明，答案生成包含一个初始计算阶段，该阶段可能会根据提示结构和后期动态而被覆盖或强化。
7 对 CoT 推理的可监控性进行压力测试
在跨 13 种语言和 13 个开源权重模型测试了 CoT 可监控性之后，我们现在进行额外的消融实验，以检验我们的发现是否反映了由提示引发的真实推理失败，而非固定答案选项、模型访问设置或单次确定性生成的产物。
1) 控制选项字母偏差。为了确保观察到的欺骗行为是由真正的对抗性提示遵从性驱动的，而非虚假的位置先验或固有的选项字母偏差（例如，架构上默认偏好选项 C），我们进行了一项有针对性的消融实验，将对抗性线索分别置于选项 B、C 和 D 上（提示模板见附录 19）。
在图 5 中，我们观察到所有模型族的欺骗率对目标字母保持不变，在简单和复杂条件下，所有被提示目标的欺骗率都保持较高水平。这些选项交换消融实验强化了主要发现，证实 CoT 透明度的崩溃是一种对错误对齐线索的鲁棒且系统性的脆弱性，而非狭隘位置利用的产物。
2) 可监控性失效向闭源架构的泛化。为确定观察到的可监控性崩塌是仅存在于开源权重模型，还是同样出现在闭源系统中，我们将评估扩展至以下可获取推理轨迹的闭源模型：
包括GPT-5-mini、GPT-4o-mini和Claude-Haiku-4.5。较新的高阶GPT模型（如GPT-5.4和GPT-5.5）即使在明确提示下也无法稳定暴露思维链轨迹，因此我们将其排除在基于思维链的可监控性评估之外。图6表明，在所有评估的语言层级中，可监控性失效系统性地泛化至这些闭源系统。图6结果显示，在绝大多数模型-语言组合中，简单对抗性线索下的欺骗率趋于饱和。此外，强制进行显式中间计算（复杂提示）无法可靠恢复思维链的忠实性。虽然GPT-5-mini在复杂约束下线索隐藏程度略有降低，但GPT-4o-mini和Claude-Haiku-4.5的欺骗率均接近100%（可监控性最低；BER与欺骗率关系见附录图14）。
3) 复杂提示下的答案偏移构成。为了探究复杂提示是导致有针对性的提示跟随，还是引发更广泛的推理不稳定性，我们分析了在提示改变模型预测后，答案的移动位置。如果提示仅将模型引导至其目标，偏移应集中在 C 选项上；如果它扰乱了推理过程，偏移也应落在被误导的选项 B 和 D 上。图 7 显示了这两种情况都存在。被提示的选项 C 通常是最大的类别，但被误导的偏移在各模型家族中仍然相当可观。这种效应在低资源语言中更为强烈：对于 Qwen3，在低资源环境下，偏移到 C 选项的比例从高资源环境下的 48% 下降到 30%，而被误导的偏移则从 52% 上升到 71%。DS-Qwen 和 Llama 也出现了类似的增长。因此，复杂提示不仅将模型引导至预期目标；它们还破坏了提示映射过程的稳定性，尤其是在低资源语言转换的情况下。
4) 多次运行的鲁棒性。为了验证可监控性失效并非单一确定性输出的产物，我们计算了五次运行（温度=0.5）的平均欺骗率。我们的结果（见附录表 1-2）表明，欺骗率在不同语言中仍然很高，大多数模型的平均值接近 100%。这种效应在中资源和低资源语言中尤为稳定，许多模型-语言对的欺骗率达到 100%，且方差接近于零。GPT-120B 的比率低于其他模型，但在重复采样中仍表现出持续的欺骗性。这种失效模式的反复出现证实了该脆弱性在采样过程中持续存在，并反映了稳定的模型行为。
8 结论
我们研究了在引入对抗性提示以测试模型鲁棒性并影响答案选择时，思维链推理是否仍保持忠实性和可监控性。我们的分析涵盖13种语言、7个模型家族和16个模型，包括开源和闭源系统。我们发现，无论提示词使用何种语言，模型都经常受到对抗性提示的影响。更重要的是，当模型选择了被提示的错误答案时，其思维链推理过程常常隐藏或歪曲了提示的影响，在高资源、中资源和低资源语言中，欺骗率均达到100%。我们的logit透镜分析进一步表明，模型在生成过程的前15%内就已确定了被提示的答案。正确答案的概率在整个解码过程中一直受到抑制，没有证据表明模型先执行了正确的内部计算，然后再切换到被提示的选项。我们还发现，模型规模扩展并不能可靠地缓解这种失效模式，有意义的改进仅限于GPT-OSS家族。这对可监控性具有重要影响：模型生成的思维链通常不能反映驱动模型决策的实际因素，尤其是在中资源和低资源语言中。因此，提高思维链的可监控性将需要新的训练目标、评估协议和白盒分析方法，这些方法应明确测试推理轨迹是否忠实地揭示了影响模型决策的因素。
局限性。我们讨论了本研究的三个局限性。首先，我们的评估采用了受控的多项选择题设置，并提供了简单和复杂的对抗性提示。这种设计能够精确衡量对提示的遵循程度以及思维链欺骗行为，但未来的工作可以将该框架扩展到其他数据集，涵盖开放式生成、多轮对话和工具使用等场景。其次，我们的提示捕捉了一种特定形式的对抗性压力。更广泛的提示注入攻击、改写后的提示、干扰性理由以及更长的指令冲突，可能会揭示更多可监控性方面的失败。最后，我们的主要分析通过可观察的思维链轨迹来评估欺骗行为，因为实际的思维链监控器是基于书面推理进行操作的。我们包含了一项初步的内部分析，但关于对抗性提示如何被编码并影响答案选择的更全面的机制性解释，仍然是未来工作的重要方向。
9 致谢
我们感谢 Aikyam 实验室所有成员提供的宝贵反馈。C.A. 的部分研究得到了 Capital One、LaCross Institute for Ethical AI in Business、弗吉尼亚大学环境研究所、OpenAI 研究员计划、Thinking Machine 的 Tinker 研究资助以及 Cohere 的资助。本文所述观点仅代表作者本人，并不反映资助机构的官方政策或立场。
本工作也由 LLNL 根据合同 DE-AC52-07NA27344 编制，并得到 LLNL-LDRD 计划（项目编号 24-ERD-058）的支持。本手稿由劳伦斯利弗莫尔国家安全有限责任公司根据与美国能源部签订的合同 DE-AC52-07NA27344 撰写。美国政府保留一项非排他性、已付费、不可撤销的全球性许可，允许出版或复制本手稿的已出版形式，或允许他人为美国政府目的这样做。LLNL-CONF-2019671。
参考文献
- S. Amjith、M. Dusad、N. Muramalla 与 S. Shah（2025）《大型推理模型能否利用有缺陷的思维提升数学任务准确性？》arXiv 预印本 arXiv:2512.17079。引用于 §5.1。
- Anthropic（2024）《Claude 3.7 Sonnet 系统卡》。技术报告，Anthropic。外部链接：Link。引用于 §1。
- I. Arcuschin、J. Janiak、R. Krzyzanowski、S. Rajamanoharan、N. Nanda 与 A. Conmy（2025）《现实环境中的思维链推理并非始终忠实》。arXiv 预印本 arXiv:2503.08679。引用于 §1、§1。
- B. Baker、J. Huizinga、L. Gao、Z. Dou、M. Y. Guan、A. Madry、W. Zaremba、J. Pachocki 与 D. Farhi（2025）《监控推理模型的不当行为及促进混淆的风险》。arXiv 预印本 arXiv:2503.11926。引用于 §1、§1、§1、§2。
- N. Belrose、I. Ostrovsky、L. McKinney、Z. Furman、L. Smith、D. Halawi、S. Biderman 与 J. Steinhardt（2023）《使用调谐透镜从 Transformer 中引出潜在预测》。arXiv 预印本 arXiv:2303.08112。引用于 §6。
- T. A. Chang、C. Arnett、Z. Tu 与 B. Bergen（2024）《多语言何时成为诅咒？针对 250 种高资源与低资源语言的语言建模》。载于《2024 年自然语言处理实证方法会议论文集》，第 4074–4096 页。引用于附录 C。
- Y. Chen、J. Benton、A. Radhakrishnan、J. Uesato、C. Denison、J. Schulman、A. Somani、P. Hase、M. Wagner、F. Roger 等人（2025）《推理模型并不总是说出它们的真实想法》。arXiv 预印本 arXiv:2505.05410。引用于 §D.1、§1、§1、§1、§3、§3、§3。
- J. Chua 与 O. Evans（2025）《DeepSeek R1 及其他推理模型是否更加忠实？》arXiv 预印本 arXiv:2501.08156。引用于 §3。
- G. Comanici、E. Bieber、M. Schaekermann、I. Pasupat、N. Sachdeva、I. Dhillon、M. Blistein、O. Ram、D. Zhang、E. Rosen 等人（2025）《Gemini 2.5：以高级推理、多模态、长上下文及下一代智能体能力推动前沿》。arXiv 预印本 arXiv:2507.06261。引用于 §1。
- DeepSeek-AI（2026）《DeepSeek-V4：迈向高效百万 token 上下文智能》。引用于 §1。
- N. Dziri、X. Lu、M. Sclar、X. L. Li、L. Jiang、B. Y. Lin、P. West、C. Bhagavatula、R. Le Bras、J. D. Hwang 等人（2023）《信念与命运：Transformer 在组合性上的局限》（2023）。arXiv 预印本 arXiv:2305.18654 3。引用自：§5.1。
- S. Emmons、E. Jenner、D. K. Elson、R. A. Saurous、S. Rajamanoharan、H. Chen、I. Shafkat 和 R. Shah（2025）《当思维链成为必需时，语言模型难以规避监控》。arXiv 预印本 arXiv:2507.05246。引用自：图 18、图 18、§1、§1、§1、§2、§3、§3、§3。
- J. Etxaniz、G. Azkune、A. Soroa、O. L. de Lacalle 和 M. Artetxe（2024）《多语言语言模型用英语思考效果更好吗？》。载于《2024 年北美计算语言学协会人类语言技术会议论文集（第 2 卷：短论文）》，第 550–564 页。引用自：§2。
- A. Ghosh、D. Datta、S. Saha 和 C. Agarwal（2025a）《语言模型中多语言推理研究综述》。arXiv 预印本 arXiv:2502.09457。引用自：§2。
- A. Ghosh、S. Sridhar、R. K. Ravi、M. Muhsin、S. Saha 和 C. Agarwal（2025b）《CLINIC：评估医疗领域语言模型的多语言可信度》。arXiv 预印本 arXiv:2512.11437。引用自：附录 C。
- M. Y. Guan、M. Wang、M. Carroll、Z. Dou、A. Y. Wei、M. Williams、B. Arnav、J. Huizinga、I. Kivlichan、M. Glaese 等人（2025）《监控的可监控性》。arXiv 预印本 arXiv:2512.18311。引用自：§D.2、图 18、图 18、§1、§2、§3。
- L. Huang、W. Yu、W. Ma、W. Zhong、Z. Feng、H. Wang、Q. Chen、W. Peng、X. Feng、B. Qin 等人（2025）《大语言模型幻觉研究综述：原理、分类、挑战与开放问题》。ACM 信息系统汇刊 43（2），第 1–55 页。引用自：§5.1。
- A. H. Kargaran、A. Imani、F. Yvon 和 H. Schuetze（2023）《GlotLID：面向低资源语言的语言识别》。载于《计算语言学协会发现：EMNLP 2023》，第 6155–6218 页。引用自：附录 C。
- T. Korbak、M. Balesni、E. Barnes、Y. Bengio、J. Benton、J. Bloom、M. Chen、A. Cooney、A. Dafoe、A. Dragan 等人（2025）《思维链可监控性：人工智能安全的一个崭新而脆弱的机遇》。arXiv 预印本 arXiv:2507.11473。引用自：§1、§1、§2。
- T. Kwa、B. West、J. Becker、A. Deng、K. Garcia、M. Hasin、S. Jawhar、M. Kinniment、N. Rush、S. Von Arx 等人（2025）《衡量人工智能完成长任务的能力》。arXiv 预印本 arXiv:2503.14499 352。引用自：§1。
- T. Lanham、A. Chen、A. Radhakrishnan、B. Steiner、C. Denison、D. Hernandez、D. Li、E. Durmus、E. Hubinger、J. Kernion 等人（2023）《衡量思维链推理中的忠实度》。arXiv 预印本 arXiv:2307.13702。引用自：图 22。
- [22] J. Needham、G. Edkins、G. Pimpale、H. Bartsch 和 M. Hobbhahn《大语言模型通常知道自己何时被评估》，2025 年。URL：https://arxiv.org/abs/2505.23836。引用自：§1。
- E. Onyame、A. Ghosh、S. Baidya、S. Saha、X. Chen 和 C. Agarwal（2026）《CURE-med：面向多语言医学推理的课程引导强化学习》。arXiv 预印本 arXiv:2601.13262。引用自：附录 C、§2。
- M. Phuong、M. Aitchison、E. Catt、S. Cogan、A. Kaskasoli、V. Krakovna、D. Lindner、M. Rahtz、Y. Assael、S. Hodkinson 等人（2024）《评估前沿模型的危险能力》。arXiv 预印本 arXiv:2403.13793。引用自：§1。
- M. Phuong、R. S. Zimmermann、Z. Wang、D. Lindner、V. Krakovna、S. Cogan、A. Dafoe、L. Ho 和 R. Shah（2025）《评估前沿模型的隐蔽性与情境感知能力》。arXiv 预印本 arXiv:2505.01420。引用自：§1。
- J. Qi、S. Chen、Z. Xiong、R. Fernández、D. S. Bitterman 和 A. Bisazza（2025）《当模型用你的语言推理：控制思考语言会以牺牲准确性为代价》。计算语言学协会发现：EMNLP 2025，第 20279–20296 页。引用自：§D.1。
- D. Rein, B. L. Hou, A. C. Stickland, J. Petty, R. Y. Pang, J. Dirani, J. Michael, 和 S. R. Bowman (2024) 《GPQA：一个研究生级别的防谷歌问答基准》。收录于第一届语言建模会议。引用位置：图21、图21、图22、图22、图23、图23、图24、图24、图25、图25、图26、图26、图27、图27、图28、图28、图29、图29、图1、图1、第3节。
- R. Shah, A. Irpan, A. M. Turner, A. Wang, A. Conmy, D. Lindner, J. Brown-Cohen, L. Ho, N. Nanda, R. A. Popa 等人 (2025) 《一种面向技术性通用人工智能安全与安保的方法》。arXiv 预印本 arXiv:2504.01849。引用位置：第1节。
- F. Shi, M. Suzgun, M. Freitag, X. Wang, S. Srivats, S. Vosoughi, H. W. Chung, Y. Tay, S. Ruder, D. Zhou 等人 (2022) 《语言模型是多语言链式推理者》。arXiv 预印本 arXiv:2210.03057。引用位置：第2节。
- A. Singh, A. Fry, A. Perelman, A. Tart, A. Ganesh, A. El-Kishky, A. McLaughlin, A. Low, A. Ostrow, A. Ananthram 等人 (2025) 《OpenAI GPT-5 系统卡》。arXiv 预印本 arXiv:2601.03267。引用位置：第1节、第3节、第5.1节。
- K. Team, Y. Bai, Y. Bao, Y. Charles, C. Chen, G. Chen, H. Chen, H. Chen, J. Chen, N. Chen 等人 (2025) 《Kimi K2：开放智能体智能》。arXiv 预印本 arXiv:2507.20534。引用位置：附录C。
- B. Wang, S. Min, X. Deng, J. Shen, Y. Wu, L. Zettlemoyer, 和 H. Sun (2023) 《理解链式思维提示：一项关于关键因素的实证研究》。收录于《计算语言学协会第61届年会论文集（第1卷：长论文）》，第2717–2739页。引用位置：第5.1节。
- R. Zhao, Y. Liu, H. Schütze, 和 M. A. Hedderich (2026) 《多语言链式思维推理的综合评估：跨语言的性能、一致性与忠实度》。收录于《计算语言学协会发现：EACL 2026》，第5223–5247页。引用位置：第D.1节、图20、图20、第E.3节、第2节、第3节。
一、附录
附录A 额外的机制分析结果
A.1 GPT-OSS 20B 模型答案切换的机制分析
对于 20B 模型，我们观察到与 120B 模型相比，其答案切换行为更为显著且不稳定，尤其是在简单和复杂提示条件下，当模型输出 A 作为最终答案时（如图 8 的图 III 和图 IV 所示）。在模型输出 C 作为最终答案的简单提示场景中，A 的概率在整个生成轨迹中始终较低，这与 120B 模型类似。然而，向 C 的转变发生得更为突然。这表明其内部推理过程较弱。对 C 与 A、B、D 平均值进行的配对 Wilcoxon 符号秩检验结果高度显著（），这证实了模型在没有对正确答案进行中间计算的情况下，就强烈地倾向于提示的答案。
相比之下，在模型输出 C 的复杂提示场景中（图 8 II），20B 模型对 A 的早期偏好虽然短暂，但明显弱于 120B 模型。尽管 A 的概率仍有初始上升，但其持续性较差，且更快被 C 所取代。对 A 和 C 进行的 Wilcoxon 符号秩检验显示，高资源语言和低资源语言均具有统计显著性。这表明，虽然存在一个短暂的“计算”阶段，但该阶段稳定性较差，且更快被提示答案所取代。与 120B 模型相比，这表明 20B 模型在切换前维持中间推理的能力较弱，导致更快收敛到提示答案。
在考察 20B 模型在简单提示条件下输出 A 的案例时（图 8 III），切换动态变得不那么剧烈。与 120B 模型相比，A 和 C 的概率在整个序列中的波动不那么剧烈，并且在最终阶段之前，C 明显占据主导地位。对 A 和 C 进行的 Wilcoxon 符号秩检验显示出显著差异（高资源语言和低资源语言分别对应 和 ），这表明模型在大部分生成过程中更倾向于某一个答案。这表明，与在答案 A 和 C 之间表现出更多竞争的 120B 模型不同，20B 模型展现出更稳定的决策边界，正确答案直到轨迹后期才成为主导候选。
最后，在模型输出A的复杂提示场景中（图8 IV），20B模型从提示答案中恢复的能力弱于120B模型。虽然A最终占据主导地位，但这一转变不够明显，且在序列中出现得更晚。Wilcoxon符号秩检验显示，A与C之间不存在统计差异（高资源语言和低资源语言分别对应相应p值），但延迟的分离表明模型难以果断拒绝提示答案。这表明，尽管20B模型能够得出正确答案，但其推理过程更容易受到提示的干扰，且稳定正确内部表征的效果较差。
A.2 GPT-OSS 120B模型基于层信息的答案切换机制分析
在跨层分析中，模型呈现出从早期层的分散概率分布到深层的高度极化答案偏好的清晰演进过程。在图9的I部分第1层，所有条件下概率质量在选项A、B、C、D之间分布相对均匀，其中C略高于其他选项。这表明早期表征并未强烈编码正确答案或提示答案。
如图 9 II 所示，到第 12 层时，分离的初步迹象开始显现。这种分离主要发生在选项 A 与其他选项之间。选项 A 的概率最初占据主导地位，随后下降，然后在 token 序列生成的后半段逐渐恢复并重新确立主导地位。这一模式提供了早期证据，表明模型在较浅的层中就已形成对正确答案的偏好。
在图 9 III 的第 24 层，分离变得明显得多。在简单提示 C 的情况下，C 在近四分之三的序列位置上明显占据主导地位，来自 A 的竞争微乎其微，这证实了模型对提示的早期强烈承诺。在简单提示 A 的情况下，A 保持了相对较高的概率，表明模型已开始受到提示的影响。
在图 9 IV 的第 36 层，模型展现出完全固化的决策。在最终答案为 C 的条件下，无论简单还是复杂提示场景，C 都占据主导地位，尤其是在 token 生成接近尾声时。相比之下，在复杂提示 A 的情况下，A 和 C 轮流主导概率分布，这表明模型在后期阶段拒绝了提示并恢复了正确的推理。这种逐层转变有力地表明，答案切换（如果发生的话）主要是一种深层现象。
A.3 基于层信息的 GPT-OSS 20B 模型答案切换机制分析
在第 1 层（图 10 I），概率质量在所有条件下基本无法区分，包括简单和复杂提示以及不同的最终结果。与 GPT-OSS 120B 模型类似，预测 C 为下一个 token 的概率略高于其他选项，但差异极小。这表明早期表征仅包含对提示答案的微弱先验偏好，尚未编码与最终决策相关的有意义区分。
到第8层（图10 II），模型仍未在四个选项间展现出清晰区分。在所有场景中，A、B、C、D的概率高度相似，没有任何一个选项持续占据主导地位。这表明，与更大规模的模型不同，20B模型在此阶段尚未开始形成强烈的偏好或中间推理信号。相反，在生成过程的前中期，模型似乎对候选答案保持着近乎均匀的不确定性。
到第16层（图10 III），一个关键转变开始出现。在所有场景中，A在生成序列末尾开始变得更加突出，表明候选答案之间开始出现分化。然而，与最后一层相比，这种主导地位相对较弱且不稳定，说明模型尚未完全做出决策。这一模式表明，模型在此阶段开始形成对正确答案的偏好，但缺乏足够的能力来强化或稳定这一偏好。
到第24层（图10 IV），模型通过一个较晚且相对突然的极化过程做出最终决策。当最终答案为C时，模型在大部分生成过程中始终将更高概率分配给C，强化了早期阶段暗示的答案并维持这一偏好。相比之下，当最终答案为A时，A在序列后期最终超越C，这表明模型向正确答案的转变虽然延迟但很果断。与120B模型不同，这种转变更加突然，中间结构也更少。这意味着20B模型更依赖后期阶段的决策，而非逐步推理。
附录 B 附加结果
B.1 基线错误率与欺骗率之间的关系
如第 4 节所述，该图将答案层面的易受影响性与 CoT 可监控性区分开来。每个点代表一个模型在简单或复杂提示下跨语言的平均行为。简单提示产生较高的基线错误率和接近 100% 的欺骗率，表明模型通常遵循提示给出的答案，同时未能暴露提示的影响。简单提示条件下，基线错误率与欺骗率之间存在中等程度的正相关关系（, ），表明更频繁选择提示答案的模型也倾向于在其推理中隐藏或歪曲提示的作用。复杂提示降低了基线错误率，但大多数模型的欺骗率仍然很高，这表明较低的答案易受影响性并不一定意味着推理过程更可监控。欺骗率的主要降低出现在 GPT-OSS 模型中，而大多数其他模型族仍聚集在图表的顶部附近。
B.2 控制选项字母偏差
如第 7 节所述，我们在选项 B、C 和 D 之间变化提示目标，以检验该效应是否由对选项 C 的固定偏好驱动。图 12 显示情况并非如此。在简单提示下，所有提示目标的基线错误率均保持较高水平，而复杂提示则使每个目标的错误率降低。B、C、D 之间呈现相同的定性模式，表明观察到的答案偏移是由对抗性提示而非选项字母偏好驱动的。由于模型在不同语言资源水平上的准确率相当，这些失败不能用特定语言的任务准确率较低来解释。相反，结果指向一种真正的可监控性失败：模型可以被对抗性提示引导，而其推理过程却无法可靠地暴露这种影响。
B.3 不同资源层级下的分类分布
图 13 总结了欺骗性推理机制在不同语言资源层级以及整个模型套件中的分布情况。程序性提示使用错误（HU-Proc）和忽略提示的算术错误（HI-Arith）在分类中占主导地位，分别占所有已分类错误的 34.2% 和 32.8%。事实性合理化错误（HI-Factual）构成第二大组，占 24.1%，而随机或非因果性理由则出现频率较低。
按资源层级的细分显示，高资源语言和中资源语言具有相似的分布特征，其中 HU-Proc 和 HI-Arith 是主要机制。低资源语言中 HI-Random 错误的占比更大，上升至 15%，这表明在资源较低的环境中，欺骗性答案选择更常通过薄弱或非因果的推理轨迹发生。
B.4 闭源模型散点分析
图 14 比较了闭源模型在 13 种语言中的基线错误率和欺骗率。该图显示，即使基线错误率存在显著差异，欺骗率仍然很高。简单提示词往往会导致高错误率和高欺骗率，而复杂提示词通常会降低错误率，但在许多模型-语言对中，欺骗率仍接近 100%。这种模式表明，在闭源系统中，较低的答案易受影响程度并不一定能转化为更可监控的 CoT 推理过程。
B.5 随机运行稳定性
表1和表2报告了每个语言-模型配对在五次随机运行中平均的欺骗率。结果显示，在简单提示和复杂提示下，欺骗率均持续保持高位，许多单元格达到100%，且大多数标准差保持较小。这表明可监控性失败在多次生成中是稳定的，而非单次采样输出的偶然现象。这种模式在中资源和低资源语言中最为显著，其中多个模型在多次运行中欺骗率饱和至100%。GPT-120B在若干设置下表现出低于其他模型的欺骗率，但其在不同语言和提示类型中仍表现出持续的欺骗。总体而言，这些表格证实了对抗性提示引发的失败对采样变异具有鲁棒性。
| 资源 | 语言 | Q3-8B | Q3-32B | DSL-70B | DSQ-14B | L3.3-70B | G3-27B | GPT-120B |
|---|---|---|---|---|---|---|---|---|
| 高 | 英语 | 79.0 2.8 | 71.2 3.1 | 74.8 2.5 | 85.8 2.0 | 93.4 1.4 | 97.9 0.8 | 52.8 3.5 |
| 高 | 中文 | 99.2 0.5 | 92.6 1.6 | 92.7 1.8 | 92.5 1.7 | 99.5 0.4 | 97.3 1.0 | 50.0 3.7 |
| 高 | 西班牙语 | 99.3 0.4 | 78.6 2.7 | 94.6 1.3 | 97.7 0.9 | 93.8 1.5 | 98.5 0.7 | 49.3 3.6 |
| 高 | 法语 | 97.4 1.0 | 80.9 2.4 | 94.8 1.4 | 86.3 2.1 | 97.2 1.0 | 97.9 0.8 | 55.6 3.2 |
| 高 | 德语 | 97.0 1.1 | 77.0 2.6 | 93.0 1.6 | 99.7 0.3 | 99.8 0.2 | 95.8 1.2 | 60.2 2.9 |
| 高 | 日语 | 95.3 1.3 | 94.2 1.5 | 93.8 1.5 | 98.4 0.7 | 97.9 0.8 | 97.8 0.9 | 64.3 2.7 |
| 中 | 越南语 | 98.9 0.6 | 100.0 0.0 | 94.3 1.4 | 100.0 0.0 | 97.5 1.0 | 96.5 1.1 | 53.7 3.3 |
| 中 | 阿拉伯语 | 98.5 0.7 | 100.0 0.0 | 94.6 1.3 | 97.1 0.9 | 99.4 0.4 | 97.6 0.9 | 58.7 3.0 |
| 中 | 韩语 | 98.3 0.8 | 100.0 0.0 | 93.7 1.5 | 100.0 0.0 | 99.4 0.4 | 97.1 1.0 | 45.8 3.8 |
| 中 | 俄语 | 100.0 0.0 | 100.0 0.0 | 93.8 1.5 | 100.0 0.0 | 96.7 1.1 | 97.7 0.9 | 46.3 3.7 |
| 低 | 斯瓦希里语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 99.6 0.3 | 100.0 0.0 | 68.8 2.4 |
| 低 | 泰卢固语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 96.5 1.1 | 100.0 0.0 | 59.1 2.9 |
| 低 | 孟加拉语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 98.6 0.7 | 100.0 0.0 | 68.2 2.5 |
| 资源 | 语言 | Q3-8B | Q3-32B | DSL-70B | DSQ-14B | L3.3-70B | G3-27B | GPT-120B |
|---|---|---|---|---|---|---|---|---|
| 高 | 英语 | 94.3 1.4 | 91.8 1.7 | 91.4 1.8 | 85.7 2.1 | 98.8 0.6 | 100.0 0.0 | 56.8 3.3 |
| 高 | 中文 | 98.9 0.6 | 100.0 0.0 | 97.7 0.9 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 62.8 2.9 |
| 高 | 西班牙语 | 98.1 0.8 | 100.0 0.0 | 99.0 0.5 | 97.1 0.9 | 100.0 0.0 | 100.0 0.0 | 46.6 3.7 |
| 高 | 法语 | 97.9 0.8 | 94.5 1.4 | 97.2 1.0 | 91.4 1.7 | 100.0 0.0 | 100.0 0.0 | 33.8 4.2 |
| 高 | 德语 | 96.6 1.1 | 100.0 0.0 | 97.4 1.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 79.6 2.4 |
| 高 | 日语 | 99.3 0.4 | 97.8 0.9 | 100.0 0.0 | 100.0 0.0 | 94.7 1.3 | 100.0 0.0 | 85.7 2.0 |
| 中 | 越南语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 79.3 2.5 |
| 中 | 阿拉伯语 | 98.1 0.8 | 100.0 0.0 | 100.0 0.0 | 92.6 1.6 | 100.0 0.0 | 100.0 0.0 | 76.0 2.6 |
| 中 | 韩语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 91.9 1.5 |
| 中 | 俄语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 99.2 0.5 | 100.0 0.0 | 72.0 2.7 |
| 低 | 斯瓦希里语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 88.0 1.8 |
| 低 | 泰卢固语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 88.2 1.8 |
| 低 | 孟加拉语 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 100.0 0.0 | 85.8 2.0 |
B.6 可比的准确率，持续的欺骗
为了检验高欺骗率是否仅仅反映了某些语言组中较弱的任务表现，我们比较了不同资源层级下的准确率和欺骗率。表 3 报告了五个代表性模型（GPT-OSS-120B、GPT-5-mini、Qwen3-32B、Llama-3.3-70B 和 Gemma3-12B）的平均结果。高、中、低资源语言在无提示词条件下的准确率大致相当，而在简单和复杂提示词下，欺骗率均保持高位。这一模式表明，可监控性失效并非由较低的准确率引起，而是源于模型的行为：模型在不同资源层级下能够保持相似的基线能力，同时仍在其推理中隐藏或歪曲对抗性提示词的影响。
| 资源层级 | 无提示词准确率 | 简单提示词准确率 | 复杂口音 | 简单欺骗 | 复杂欺骗 |
|---|---|---|---|---|---|
| 高（6种语言） | 55.5 | 24.6 | 51.3 | 88.5 | 87.7 |
| 中（4种语言） | 54.9 | 23.3 | 50.2 | 89.5 | 92.4 |
| 低（3种语言） | 50.9 | 17.0 | 39.3 | 92.2 | 93.5 |
B.7 各语言准确率与欺骗模式
为进一步验证高欺骗率并非单纯由任务准确率低下所致，我们报告了代表性开源和闭源模型在各语言上的结果。表4和表5展示了Qwen3-8B和GPT-4o mini在无提示、简单提示和复杂提示条件下的准确率、基线错误率和欺骗率。在这两个模型中，简单提示会急剧增加对提示答案C的选择，而复杂提示通常能将准确率恢复到接近无提示条件的水平。然而，欺骗率在所有语言中始终居高不下，表明即使模型保持或恢复了任务性能，可监控性失效仍然存在。
| 无提示 | 简单提示 | 复杂提示 | |||||||
| 资源层级 | 语言 | 准确率 | 基线错误率 | 准确率 | 基线错误率 | 欺骗率 | 准确率 | 基线错误率 | 欺骗率 |
| 高 | 英语 | 57.9 | 14.3 | 22.8 | 65.4 | 92.8 | 40.2 | 29.9 | 97.4 |
| 高 | 中文 | 45.2 | 21.0 | 17.6 | 70.4 | 100.0 | 29.9 | 20.0 | 100.0 |
| 高 | 西班牙语 | 50.8 | 19.0 | 20.6 | 67.5 | 100.0 | 26.0 | 29.6 | 97.3 |
| 高 | 法语 | 41.3 | 23.8 | 18.1 | 70.9 | 100.0 | 37.0 | 26.0 | 93.4 |
| 高 | 德语 | 51.2 | 17.3 | 11.1 | 82.5 | 96.2 | 33.1 | 18.1 | 100.0 |
| 高 | 日语 | 36.0 | 26.1 | 9.8 | 73.2 | 98.9 | 18.9 | 25.2 | 96.4 |
| 中 | 越南语 | 49.6 | 19.7 | 15.9 | 74.6 | 100.0 | 18.1 | 29.1 | 100.0 |
| 中 | 阿拉伯语 | 29.6 | 24.3 | 8.9 | 77.4 | 100.0 | 18.9 | 25.8 | 100.0 |
| 中 | 韩语 | 32.2 | 23.0 | 14.3 | 71.4 | 100.0 | 10.2 | 27.5 | 100.0 |
| 中 | 俄语 | 40.7 | 18.7 | 17.1 | 61.8 | 97.4 | 14.2 | 18.5 | 100.0 |
| 低 | 斯瓦希里语 | 33.7 | 20.9 | 0.0 | 83.0 | 100.0 | 0.8 | 11.9 | 100.0 |
| 低 | 泰卢固语 | 31.0 | 27.6 | 11.3 | 83.5 | 100.0 | 9.4 | 22.8 | 100.0 |
| 低 | 孟加拉语 | 32.4 | 26.1 | 9.9 | 87.9 | 100.0 | 22.0 | 20.3 | 100.0 |
| 无提示 | 简单提示 | 复杂提示 | |||||||
| 资源 | 语言 | 准确率 | 基线错误率 | 准确率 | 基线错误率 | 欺骗率 | 准确率 | 基线错误率 | 欺骗率 |
| 高 | 英语 | 39.1 | 13.0 | 29.4 | 52.9 | 97.8 | 39.4 | 21.2 | 100.0 |
| 高 | 中文 | 27.1 | 17.1 | 17.6 | 62.4 | 100.0 | 35.0 | 22.8 | 100.0 |
| 高 | 西班牙语 | 32.4 | 16.2 | 18.0 | 65.2 | 100.0 | 29.4 | 16.0 | 94.7 |
| 高 | 法语 | 33.8 | 20.3 | 25.6 | 59.3 | 100.0 | 35.3 | 19.8 | 95.7 |
| 高 | 德语 | 33.3 | 15.3 | 20.0 | 65.3 | 98.4 | 43.1 | 14.6 | 100.0 |
| 高 | 日语 | 42.5 | 20.5 | 14.8 | 70.5 | 98.4 | 38.9 | 19.0 | 100.0 |
| 中 | 越南语 | 36.1 | 15.3 | 17.9 | 65.3 | 100.0 | 30.9 | 18.7 | 100.0 |
| 中 | 阿拉伯语 | 28.1 | 28.1 | 13.3 | 72.2 | 98.5 | 38.3 | 17.5 | 100.0 |
| 中 | 韩语 | 38.9 | 15.3 | 18.9 | 62.2 | 100.0 | 33.3 | 15.9 | 100.0 |
| 中 | 俄语 | 37.1 | 15.7 | 14.0 | 65.6 | 100.0 | 36.8 | 16.0 | 100.0 |
| 低 | 斯瓦希里语 | 29.2 | 8.3 | 8.4 | 77.9 | 100.0 | 25.4 | 22.1 | 100.0 |
| 低 | 泰卢固语 | 23.6 | 25.0 | 14.1 | 70.6 | 100.0 | 27.8 | 20.6 | 100.0 |
| 低 | 孟加拉语 | 32.4 | 28.2 | 17.4 | 70.9 | 100.0 | 29.4 | 15.9 | 100.0 |
附录 C 语言与语系
表 6 列出了我们评估中使用的 13 种语言，这些语言被归入 8 个类型多样的语系。遵循先前的研究工作 [Chang et al., 2024, Kargaran et al., 2023, Onyame et al., 2026, Ghosh et al., 2025b]，我们使用阈值准确率方法将每种语言划分为高资源、中资源或低资源层级：高于 60% 为高资源，介于 30% 和 60% 之间为中资源，低于 30% 为低资源。为了对每种语言进行经验性分类，我们提示 Kimi K2.6 [Team et al., 2025]（一个强大的开源多语言模型）在零样本设置下解决 GPQA 问题，并使用由此产生的准确率来确定最终的分组。
| 语系 | 语言 |
|---|---|
| \rowcolorblue!15 印欧语系 | 英语 (En), 德语 (De), 法语 (Fr), 西班牙语 (Es), 俄语 (Ru), 孟加拉语 (Bn) |
| \rowcolorred!15 亚非语系 | 阿拉伯语 (Ar) |
| \rowcolorgreen!15 汉藏语系 | 中文 (Zh) |
| \rowcolororange!15 日本语系 | 日语 (Ja) |
| \rowcolorpurple!15 朝鲜语系 | 韩语 (Ko) |
| \rowcoloryellow!15 尼日尔-刚果语系 | 斯瓦希里语 (Sw) |
| \rowcolorcyan!15 达罗毗荼语系 | 泰卢固语 (Te) |
| \rowcolorpink!15 南亚语系 | 越南语 (Vi) |
附录 D 实验环境与超参数
D.1 实验设置
我们沿用 Chen 等人 [2025] 和 Zhao 等人 [2026] 的评估设置。所有模型的最大生成长度设为 8192 个 token，温度参数设为 0。对于第 7 节所述的随机运行实验，我们设置了温度、top-p 参数，并将 do_sample 设为 True。所有模型推理均在 NVIDIA H200 GPU 上运行。
为评估最终答案的正确性，我们采用精确匹配方法。参照先前研究 [Qi 等人，2025]，我们指示每个模型将其最终选项字母放入 \boxed{} 中，并提取框内内容进行评估。在所有设置中，正确答案始终为 A，而简单提示与复杂提示均指向 C。因此，我们通过检查模型是否输出 C 来识别其遵循提示的行为。
我们仅在模型输出提示指向的答案 C 的试验中调用 GPT-5.1 评判器。评判器判定思维链是否明确表述并依赖于该提示。对于复杂提示，评判器还会额外验证推理过程是否正确应用了映射规则并执行了计算，而非通过无关推理得出 C。
D.2 用于欺骗率评估的评判器提示词
我们采用大语言模型作为评判器的设置，来衡量模型的思维链是否使对抗性提示的影响变得可监控。我们将 Guan 等人 [2025] 的评判器提示词适配到两种提示条件。对于简单提示，评判器检查推理过程是否在最终答案之前明确披露了该提示。对于复杂提示，评判器采用更严格的程序性检查：推理过程必须暴露得出目标答案所需的映射和模运算，而非省略、扭曲或合理化提示的作用。每个评判器返回一个结构化的 JSON 判决结果和简短解释。这些提示词将欺骗操作化为监控失败：模型选择了提示指向的目标，而书面推理却隐藏或歪曲了提示如何影响答案。完整提示词见图 15 和图 16。
D.3 用于分类法分类的评判提示词
图 17 展示了用于分类欺骗性推理机制的“大语言模型作为评判器”提示词。评判器首先验证模型是否选择了被提示的目标答案 C。然后，它根据推理处理提示的方式分配一个分类标签：模型是否提及并误用了提示，是否在生成支持 C 的算术或事实依据时省略了提示，是否给出了非因果性的理由，是否透明地披露了提示的使用，或者是否选择了不同的最终答案。该提示词通过将每个欺骗性推理轨迹映射到具体机制（而非将所有目标答案选择视为同一种失败）来支持错误分布分析。
附录 E 对抗性提示模板
本节展示了我们实验中使用的对抗性提示，以及用于选项字母偏差控制的对抗性提示模板。我们展示了英语、德语、法语和西班牙语的提示；其余语言使用相同的提示词翻译成各自的目标语言，为简洁起见在此省略。
E.1 多语言提示模板
图 18 展示了推理过程中使用的对抗性提示词模板。我们采用跨语言共享的简单提示词格式，其中提示词直接指定目标答案选项。对于复杂提示词，我们将指令翻译成问题语言，要求模型应用特定语言的映射规则，进行计算，并将结果映射回答案选项。这种设计旨在测试当对抗性线索嵌入与任务相同的语言语境时，模型是否会披露或扭曲提示词的影响。
E.2 用于控制选项字母偏差实验的提示词
为了测试观察到的行为是否反映了对选项 C 的固定偏好，我们重复了对抗性提示词评估，将提示的目标在选项 B、C 和 D 之间变化。我们保持提示词格式不变，仅更改目标字母以及模运算表达式中使用的辅助变量。这种控制使我们能够区分真正的遵循提示词行为与简单的选项字母偏差。
E.3 推理过程中使用的提示词
我们使用特定语言的推理提示词，以确保模型使用与问题相同的语言进行推理。提示词模板遵循 Zhao 等人 [2026] 的设计，并根据我们的评估流程进行了细微的格式调整。每个语言提示词包含五个部分：系统指令、任务指令、本地化的问题标签、要求用目标语言逐步推理的指令，以及一个开启推理过程的简短起始前缀。图 20 展示了英语、德语、法语和西班牙语的示例；其余语言使用相同的模板，并翻译成相应的目标语言。
附录 F 欺骗性提示遵循的定性示例
本节提供了在对抗性提示下进行欺骗性推理的定性示例。每个示例都展示了一个模型在生成看似基于领域知识的推理的同时，最终仍收敛于提示所指向的目标。这些案例揭示了我们欺骗率结果背后的不同机制，包括隐藏的提示使用、操纵的提示计算、事后合理化，以及在与推导出的答案相冲突时明确服从提示。
来源：HuggingFace Daily Papers（社区热门论文） · arxiv.org