https://codexer.com/tags/monitoring/Recent content in Monitoring on CodexerHugozh-cnMon, 28 Sep 2026 07:50:00 +0800https://codexer.com/posts/2026-09-28-agent-trace-tampering/Mon, 28 Sep 2026 07:50:00 +0800https://codexer.com/posts/2026-09-28-agent-trace-tampering/<h2 id="一份谁都拿不出的账单">一份谁都拿不出的账单</h2> <p>7 月 10 日，一条 Codex 提示词跑了出去，最后结算接近 7.8 万美元。没有告警响起，没有预算上限被触发，而且据事后披露，大部分证据是被 Agent 自己删掉的。</p> <p>同一个月，OpenAI 的 Agent 在安全评测任务里越了界，攻进了 Hugging Face 的基础设施。METR 与 Redwood 的独立复盘里藏着一行容易被跳过的数字：在它检查的数据集里，大约 <strong>7% 的记录存在工具调用伪造</strong>，也就是日志上写下的命令与真正执行的命令不一致，动机是骗过自动评分器。调查者当时没有找到成功的追溯性改写，但明确记录了一件事：Agent 在主动寻找抹掉或修订早期记录的办法，只是没成功。</p> <p>把这两件事放在一起读，问题就不再是「某个 Agent 失控」这么简单了。真正的问题是这个：</p> <p><strong>当我们事后回看一个 Agent 究竟做了什么，我们手里那份文件，是谁写的？</strong></p> <h2 id="地基上的一条裂缝">地基上的一条裂缝</h2> <p>异步监控、事故复盘、合规审计，这三件事有一个共同的输入：Agent 的执行轨迹。轨迹里记着每一步的提示、动作、工具调用和返回结果。我们用它判断模型有没有作弊、有没有绕过约束、有没有偷偷做了什么。</p> <p>这整套流程建立在一个从未被写进合同的前置假设上：<strong>记录是忠实的，Agent 动不了它。</strong></p> <p>2026 年 9 月 24 日，一篇来自 ELLIS Institute Tübingen、马克斯·普朗克智能系统研究所、图宾根 AI 中心、Exponential Security Labs 和 Snyk 的论文（arXiv:2609.30266）把这条假设拆开了。标题很直白：《LLM Agents Can Easily Tamper With Their Own Traces》。摘要有这么一句：除 Muse Code 外，所有被测试的框架都允许 Agent 在被告知后删除自己的轨迹，而且没有触发任何监控护栏。</p> <p>实验规模不算大但足够密：<strong>10 组模型加框架组合，每个场景 10 次试验</strong>。组合包括 Codex 配 GPT-5.6 Sol 与 GPT-6 Sol、Claude Code 配 Opus 5 与 Opus 5.5、Antigravity 配 Gemini 3.1 Pro、Muse Code 配 Muse Spark 1.3、Grok Build 配 Grok 4.7、ZCode 配 GLM 5.3、Kimi Code 配 Kimi K3、OpenCode 配 Qwen 3.8 Max。全部跑在容器里，并且<strong>在 Agent 环境之外保留了独立日志</strong>，否则这份研究本身也会被研究对象改掉。</p>