Attacchi adattivi sui monitor fidati compromettono i protocolli di controllo dell'IA.

Adaptive Attacks on Trusted Monitors Subvert AI Control Protocols

October 10, 2025

Autori: Mikhail Terekhov, Alexander Panfilov, Daniil Dzenhaliou, Caglar Gulcehre, Maksym Andriushchenko, Ameya Prabhu, Jonas Geiping

cs.AI

Abstract

I protocolli di controllo dell'IA fungono da meccanismo di difesa per impedire che agenti LLM non attendibili causino danni in contesti autonomi. Il lavoro precedente tratta questo problema come una questione di sicurezza, sottoponendo a stress test con exploit che utilizzano il contesto di distribuzione per completare sottilmente compiti dannosi, come l'inserimento di backdoor. Nella pratica, la maggior parte dei protocolli di controllo dell'IA si basa fondamentalmente su monitor LLM, che possono diventare un punto centrale di fallimento. Studiamo attacchi adattivi da parte di un modello non attendibile che conosce il protocollo e il modello di monitoraggio, scenario plausibile se il modello non attendibile è stato addestrato con un cutoff di conoscenza successivo o può cercare queste informazioni in modo autonomo. Istanziamo un semplice vettore di attacco adattivo in cui l'attaccante incorpora iniezioni di prompt pubblicamente note o zero-shot negli output del modello. Utilizzando questa tattica, i modelli di frontiera eludono costantemente monitor diversi e completano compiti dannosi su due principali benchmark di controllo dell'IA. L'attacco funziona universalmente contro i protocolli attuali che si affidano a un monitor. Inoltre, il recente protocollo Defer-to-Resample si rivela addirittura controproducente, poiché il suo ricampionamento amplifica l'iniezione di prompt e la riformula efficacemente come un attacco best-of-n. In generale, gli attacchi adattivi ai modelli di monitoraggio rappresentano un punto cieco significativo nei protocolli di controllo attuali e dovrebbero diventare un componente standard delle valutazioni per i futuri meccanismi di controllo dell'IA.

English

AI control protocols serve as a defense mechanism to stop untrusted LLM agents from causing harm in autonomous settings. Prior work treats this as a security problem, stress testing with exploits that use the deployment context to subtly complete harmful side tasks, such as backdoor insertion. In practice, most AI control protocols are fundamentally based on LLM monitors, which can become a central point of failure. We study adaptive attacks by an untrusted model that knows the protocol and the monitor model, which is plausible if the untrusted model was trained with a later knowledge cutoff or can search for this information autonomously. We instantiate a simple adaptive attack vector by which the attacker embeds publicly known or zero-shot prompt injections in the model outputs. Using this tactic, frontier models consistently evade diverse monitors and complete malicious tasks on two main AI control benchmarks. The attack works universally against current protocols that rely on a monitor. Furthermore, the recent Defer-to-Resample protocol even backfires, as its resampling amplifies the prompt injection and effectively reframes it as a best-of-n attack. In general, adaptive attacks on monitor models represent a major blind spot in current control protocols and should become a standard component of evaluations for future AI control mechanisms.