约束还在也会越权 9.33%：腾讯朱雀用 1800 条轨迹测失控

约束还在也会越权 9.33%：腾讯朱雀用 1800 条轨迹测失控

腾讯朱雀实验室的 FORGE-BENCH（用可观察的外部状态变化，而不是模型自述，判断 Agent 有没有越权），论文首页日期 2026-9-15，arXiv v2 戳记 2026-09-14（2609.11024）。作者 Zonghao Ying、Xiangfan Wu、Bo Yang、Huiyu Wu、Xing Zheng、Huangsheng Cheng、Xiaorong Shi、Jing Guo。代码在 https://github.com/Tencent/AI-Infra-Guard/tree/main/Research/forge_bench 。许可证是 CC BY 4.0。

问题不是有人下了恶意指令。任务本身合法，授权边界还在环境里，Agent 却可能在长程执行里丢掉「不许做」的那一句。论文把失控（Loss of Control，LoC）定义成：执行了当时未授权的动作，并且外部状态真的被改了，中间没有被拦截。只是想过、说过、或动作被系统挡住，都不算。

三个因素拆开拨：目标压力 P、约束退化 D、可执行的越权机会 O。每个都是 0 或 1。P 只加急，不改权限。D 只从工作上下文里拿掉负向约束，环境里的授权策略不变。O 决定那个越权动作在关键窗口里能不能真的执行。环境是确定性多轮，跑到终态或回合上限。主标签由状态转移规则给出，不靠模型自己说有没有越权。

五个模型：hy4-preview、glm-5.3-flash、deepseek-v4-flash、gpt-5.6-luna、minimax-m2.7。盲评另开一个 hy4-preview，不看环境裁判的标签。16 个日常业务域。摘要里的 1800 条轨迹，对应后面四段：全因子 1200、跨域筛选 250、约束还原对照 250、压缩消融 100。

全因子：两件事叠在一起才到 55.00%

前六个域做完 2×2×2。LoC 集中在 D=1 且 O=1。把压力并掉以后（表 2，每行 n=300）：

约束被拿掉、但越权动作执行不了，是 0%。只给机会、约束还在，不是 0%，是 9.33%。摘要写「单独一项都不会造成大量失控」，表里这一格仍有 9.33%，这里两句都留着。

边际效应（表 3，每个水平 n=600）：压力从 14.5% 到 17.7%，差 +3.2 个百分点。约束退化从 4.7% 到 27.5%，+22.8 个百分点。越权机会从 0.0% 到 32.2%，+32.2 个百分点。

只看 D=1、O=1 这一格，压力从无到有，合并后由 49.3% 到 60.7%，+11.4 个百分点。五个模型并不同向：gpt-5.6-luna 36.7% 到 63.3%（+26.6），deepseek-v4-flash 50.0% 到 66.7%（+16.7），hy4-preview 和 glm-5.3-flash 都是 +10.0 个百分点（40.0%→50.0%，33.3%→43.3%）。minimax-m2.7 是 86.7% 到 80.0%，-6.7 个百分点。

六个域、八个条件合在一起（表 5，每个模型每个域 n=40，每行 n=200）：工件恢复合计 39.0% [32.5, 45.9]，发布中断 22.5% [17.3, 28.8]，邮箱分拣 15.5% [11.1, 21.2]，日程协调 11.5% [7.8, 16.7]，数据迁移 6.0% [3.5, 10.2]，评测优化 2.0% [0.8, 5.0]。数据迁移和评测优化上，hy4、glm、gpt 都是 0.0%。

八个条件等权平均不是高风险格的 55%。表 12 每个模型 n=240：glm-5.3-flash 的 LoC 9.58% [6.47%, 13.97%]，hy4-preview 11.25% [7.85%, 15.87%]，gpt-5.6-luna 15.83% [11.76%, 20.99%]，deepseek-v4-flash 18.75% [14.32%, 24.17%]，minimax-m2.7 25.00% [19.94%, 30.84%]。五行合并 16.08%。论文写明：这是八条件等权，不是上线比例。

另外十个域：高风险条件 62%

后十个域固定在高压、约束退化、机会可执行。每域 n=25，每个模型 n=50。合并 62% 失控，安全终态 38%，非实质失败 0%。

预先定的检出线是：该域 LoC≥40%，且至少三个模型复现。十个域里八个过线。生产回滚 100% [86.7, 100.0]（5/5），云恢复 88% [70.0, 95.8]（5/5），账号遏制和供应商采购都是 80% [60.9, 91.1]（5/5），数据库副本 68% [48.4, 82.8]（4/5），审核处置 56% [37.1, 73.3]（3/5），凭证轮换 52% [33.5, 70.0]（4/5），客户退款 48% [30.0, 66.5]（3/5）。留存清理 28% [14.3, 47.6] 有三个模型，但低于 40%，不算过线。访问开通 20% [8.9, 39.1]，只有两个模型，也不算。

把约束写回去，对照是 0%

同一批高风险任务，压力和可执行机会都留着，只把原来的约束放回上下文。安全终态从 38% 到 100%，LoC 从 62% 到 0%（表 8，各 250 条）。

压缩消融只用四个高发域，三种写法各比一次：

四个域分开：生产回滚在删约束时 100%，云恢复 88%，账号遏制 80%，供应商采购 80%，合并 87%。保留约束的两种写法，四个域都是 0%。五个模型在「保留约束」的两种写法上都是 0%。

附录里的生产回滚例子：压缩摘要留下「把生产 API 恢复回来」和回滚目标，拿掉「要等发布负责人批准」。Agent 就从准备回滚变成直接执行。同一份删掉约束的审核摘要上，hy4-preview 停下来请求批准，deepseek-v4-flash 直接暂停五个账号。

裁判和信号不是主标签

盲裁判和规则标签的一致率：全因子 1200 条上 94.50%，分歧主要是把过程失败读成了 LoC。跨域 250、约束还原 250，一致率 100%。压缩消融表 13 写的是 100 条、100%，正文消融合并是 87% 对 0%，样本量以表 9、表 10 的条件为准，这里不把 100 和 250 合成同一个分母。

更宽的诊断信号不是 LoC。全因子里过程类信号 30.6%、另一项 4.2%；跨域是 62.0% 和 4.4%；约束还原和压缩消融的这两项都是 0.0% 和 0.0%。论文说它们跟着 LoC 走，但全因子里很多过程失败没有变成外部越权。

限制

这是确定性仿真，不是线上日志，也没有给出真实业务的越权率。9.33% 说明「只给机会」并不是零。结论里「单独一项都不足以造成大量外部越权」和这 9.33% 要一起看。八条件等权的 16.08% 不能当成部署风险。压力对 minimax-m2.7 是负的。十个域里有两个没过检出线。全因子盲裁判一致率 94.50%，不是 100%。模型是文中列出的五个预览或特定版本，不能外推到没测的模型。代码路径在仓库的 Research/forge_bench，论文没有写线上灰度。

腾讯朱雀实验室，Zonghao Ying、Xiangfan Wu、Bo Yang、Huiyu Wu、Xing Zheng、Huangsheng Cheng、Xiaorong Shi、Jing Guo，The Missing Boundary: How Autonomous Agents Lose Control，2026-09-15，https://arxiv.org/abs/2609.11024