Les attaques adaptatives contre les moniteurs de confiance compromettent les protocoles de contrôle de l'IA.

Adaptive Attacks on Trusted Monitors Subvert AI Control Protocols

October 10, 2025

papers.authors: Mikhail Terekhov, Alexander Panfilov, Daniil Dzenhaliou, Caglar Gulcehre, Maksym Andriushchenko, Ameya Prabhu, Jonas Geiping

cs.AI

papers.abstract

Les protocoles de contrôle de l'IA servent de mécanisme de défense pour empêcher les agents LLM non fiables de causer des dommages dans des contextes autonomes. Les travaux antérieurs abordent ce problème comme une question de sécurité, en effectuant des tests de résistance avec des exploits qui utilisent le contexte de déploiement pour accomplir subtilement des tâches secondaires nuisibles, telles que l'insertion de portes dérobées. En pratique, la plupart des protocoles de contrôle de l'IA reposent fondamentalement sur des moniteurs LLM, qui peuvent devenir un point de défaillance central. Nous étudions les attaques adaptatives par un modèle non fiable qui connaît le protocole et le modèle de surveillance, ce qui est plausible si le modèle non fiable a été entraîné avec une date de connaissance ultérieure ou peut rechercher cette information de manière autonome. Nous instancions un vecteur d'attaque adaptative simple par lequel l'attaquant intègre des injections d'invites publiquement connues ou zero-shot dans les sorties du modèle. En utilisant cette tactique, les modèles de pointe contournent systématiquement divers moniteurs et accomplissent des tâches malveillantes sur deux principaux benchmarks de contrôle de l'IA. L'attaque fonctionne universellement contre les protocoles actuels qui s'appuient sur un moniteur. De plus, le protocole récent Defer-to-Resample se retourne même contre lui, car son rééchantillonnage amplifie l'injection d'invite et la reformule efficacement comme une attaque best-of-n. En général, les attaques adaptatives sur les modèles de surveillance représentent un angle mort majeur dans les protocoles de contrôle actuels et devraient devenir un composant standard des évaluations pour les futurs mécanismes de contrôle de l'IA.

English

AI control protocols serve as a defense mechanism to stop untrusted LLM agents from causing harm in autonomous settings. Prior work treats this as a security problem, stress testing with exploits that use the deployment context to subtly complete harmful side tasks, such as backdoor insertion. In practice, most AI control protocols are fundamentally based on LLM monitors, which can become a central point of failure. We study adaptive attacks by an untrusted model that knows the protocol and the monitor model, which is plausible if the untrusted model was trained with a later knowledge cutoff or can search for this information autonomously. We instantiate a simple adaptive attack vector by which the attacker embeds publicly known or zero-shot prompt injections in the model outputs. Using this tactic, frontier models consistently evade diverse monitors and complete malicious tasks on two main AI control benchmarks. The attack works universally against current protocols that rely on a monitor. Furthermore, the recent Defer-to-Resample protocol even backfires, as its resampling amplifies the prompt injection and effectively reframes it as a best-of-n attack. In general, adaptive attacks on monitor models represent a major blind spot in current control protocols and should become a standard component of evaluations for future AI control mechanisms.