AI 审批监控器会出现相关性失效，论文建议按证据源计数而非投票

arXiv 论文研究了多个 AI 监控器在审批智能体操作时的相关性失效问题，借用了分布式计算中 fail-prone systems 的概念。作者按两套预注册协议测试了 12 个小型开源权重监控器在支付审批上的表现，还额外测试了 Claude Opus 5.5、GPT-6 Astra、Gemini 4 Argon 和 DeepSeek-V3.2。结果显示，所有成功的欺诈性放行都通过某个证据源传播且只影响读该源的监控器；小型模型和 DeepSeek 会服从注入指令，而三个闭源模型基本无视。在等安全条件下，按证据源计数而非按票数计数的规则把正确支付误拦率从 7.4% 降到 0.9%。加入不可被说服的规则引擎后，可在测得的攻击下恢复安全且存活的规则条件。