METR:动作监控能拦住危险调用，但伪造上下文可绕过

METR 在 9 月 27 日发布的报告里给出了一个两面结论：它的执行前 LLM 监控器在合成测试中拦下了全部 13 个刻意植入的恶意工具调用，每次评分都达 8/10 以上；但只要 agent 塞进一条伪造来源的消息，情况就变了 —— 有害云操作的平均疑点从 8.1/10 掉到 3.7/10,30 次运行里有 12 次落在 3/10 的拦截线以下。

这个监控器跑在 Inspect 的执行前审批链上，逐条审查拟执行的工具调用，人可以放行、拒绝或整轮叫停。报告没有把「100% 拦截」包装成安全率，反而自己列出没测到的部分：分散在多个看似无害步骤里的危害、隐藏图像内容、被压缩的长转录。代价也不轻：在 4313 条转录的样本里，这套控制带来约 43% 的墙钟延迟和 85% 的成本。

💡 为什么值得看给 agent 安全判据划出边界：拦得住集中式作恶，挡不住伪造来源的上下文欺骗。