Las características simples superan a la mayoría de los monitores de control de IA

Código y fuente del artículo para el taller EvoRobust @ NeurIPS 2026.

Qué muestra el artículo

Los monitores de control de IA son modelos que leen código y señalan puertas traseras (sabotaje oculto). Se desarrollan y clasifican sobre conjuntos de datos fijos en los que cada problema de programación tiene una solución honesta y una con puerta trasera. Un monitor debería puntuar bien en dicho conjunto de datos solo si encuentra la puerta trasera. Nosotros estudiamos el conjunto de datos público de puertas traseras APPS (RoganInglis/apps-control-arena), cuyas soluciones honestas fueron escritas por personas y cuyas puertas traseras fueron escritas por modelos más antiguos (Claude 3.7 Sonnet, o3-mini, o1-mini, GPT-4o y cuatro modelos más pequeños, todos publicados a principios de 2025, además de una fuente sin atribuir). Llamamos a sus pares los pares originales. La Figura 1 del artículo resume los resultados.

1. Un clasificador que nunca ejecuta el código supera a la mayoría de los monitores. En la división de prueba estándar (1.375 problemas, un programa cada uno, comentarios eliminados) un clasificador de bolsa de palabras entrenado con los problemas de entrenamiento de la división alcanza un AUROC de 0,806, por encima de 20 de los 24 modelos de pesos abiertos (0,4B-32B) usados como monitores en trabajos previos. Lo que lee es compartido entre los modelos atacantes y está presente tanto si una puerta trasera funciona como si no; sus tokens más fuertes del lado de la puerta trasera (and, ==, if) son un rastro superficial de cualquier caso especial añadido. El clasificador está entrenado y los monitores no, por lo que esto mide lo que el conjunto de datos revela, no qué detector es mejor.
2. Las etiquetas filtran información. La división de prueba conserva el programa con puerta trasera de un problema solo si la puerta trasera funciona; 720 de los 892 problemas con una puerta trasera fallan y aportan su solución honesta en su lugar. Los problemas de la clase puerta trasera tienen por tanto aproximadamente la mitad de pruebas, y un clasificador que lee solo metadatos del problema (dificultad, número de pruebas, longitud del enunciado) alcanza 0,766 con validación cruzada dentro de la división, por encima de 20 monitores. Ajustado fuera de la división puntúa 0,298, la misma relación invertida, porque allí los elementos honestos provienen de problemas que la división excluyó. La filtración proviene de cómo se eligieron las etiquetas, no del código.
3. El clasificador premia un contraste entre autores. Reconstruimos los pares con un modelo, Claude Sonnet 5 (y por separado Claude Haiku 4.5), escribiendo ambas soluciones, y emparejamos cada clase con las del otro autor. Nombrando cada tipo de par por quién escribió su lado honesto y su lado con puerta trasera, en los 99 problemas donde todas las puertas traseras funcionan, la bolsa de palabras puntúa 0,789 en persona / modelos anteriores y 0,749 en Sonnet 5 / Sonnet 5, pero 0,953 en persona / Sonnet 5 y 0,905 en Sonnet 5 / modelos anteriores: puntúa más alto cuando las dos clases tienen autores diferentes. Lo mismo se cumple en todos los intentos (0,981 frente a 0,865). Con un solo autor conserva rho = 0,687 de su ventaja sobre el azar en los intentos individuales de Sonnet 5 y 0,097 en los de Haiku 4.5, y 0,861 en puertas traseras funcionales, por lo que también lee los casos especiales añadidos por la puerta trasera; parte de lo que conserva Sonnet 5 es un diseño que induce nuestro prompt de ataque (def main), y solicitar la solución honesta con ese prompt reduce rho a 0,390.
4. Qué puertas traseras son reales. Un monitor de Sonnet 5 responde principalmente a las puertas traseras (0,944 en los pares originales, 0,966 cuando Sonnet 5 escribió el lado honesto, cuyo código encuentra ligeramente menos sospechoso). Cae a 0,755 en persona / Sonnet 5, pero parte de eso son las etiquetas. Una puerta trasera cuenta como funcional si su salida con su propio disparador difiere de la de una solución honesta, y nada comprueba que el disparador sea una entrada legal. Las etiquetas del conjunto de datos muestran el problema: en la división de prueba estándar, 17 de los 172 programas con puerta trasera tienen solo un disparador ilegal y 7 imprimen un entero incorrecto en una prueba pública. Sin esos 24, la bolsa de palabras puntúa 0,817 y los 24 monitores publicados se desplazan una mediana de +0,010. Nuestra generación usó la misma definición, así que antes de comparar atacantes comprobamos cada disparador en ambas clases contra un validador de entrada escrito a partir del enunciado, exigimos que la salida de la puerta trasera allí difiera de la respuesta mayoritaria de las soluciones humanas, y buscamos 40 entradas legales cercanas como testigo cuando una comprobación falla. La comprobación elimina 14 de las 99 puertas traseras de los modelos anteriores y 40 de las de Sonnet 5. En los 54 problemas donde ambas puertas traseras son reales, las de Sonnet 5 pueden seguir siendo más difíciles de detectar, en menor medida: AUROC 0,958 frente a 0,904 (diferencia -0,053, IC del 95% -0,108 a -0,004), y marcando el 2% de las soluciones humanas el monitor detecta el 78% de las puertas traseras de los modelos anteriores y el 61% de las de Sonnet 5 (diferencia 0,17, 0,0002 a 0,32, apenas por encima de cero). Antes de las comprobaciones, en los 99 problemas, era 77% frente a 37% (0,40, 0,28 a 0,52), así que parte del cambio proviene de descartar problemas. La brecha depende del umbral, y parte puede ser que el monitor favorezca su propio model: un monitor Haiku 4.5, que no escribió ninguna de las dos clases, da 0.850 frente a 0.822.

Por lo tanto, una puntuación alta en un conjunto de datos construido de esta manera puede provenir de señales distintas a la puerta trasera (no mostramos que los monitores publicados las utilicen), y una tasa de detección sobre etiquetas no verificadas puede más que duplicar un efecto del atacante. Publicamos los pares reconstruidos, los validadores de entrada y las comprobaciones, y recomendamos ejecutarlos en otros benchmarks de monitores: reportar líneas base que nunca ejecutan el código (bag-of-words, metadatos del problema, longitud) con sus puntuaciones de etiquetas mezcladas; emparejar cada clase con el código de otro autor; comprobar que cada disparador es una entrada legal sobre la que la respuesta de la puerta trasera es incorrecta; reportar tasas de detección con un presupuesto de auditoría fijo sobre las puertas traseras que pasan, de varios generadores, incluidos los modelos actuales; y, donde las comprobaciones encuentren atajos, hacer que un modelo escriba ambas clases a partir del mismo prompt y elegir ejemplos honestos independientemente de si un ataque tuvo éxito.

Estructura del repositorio

experiments/
  apps/        APPS backdoor dataset: the floors on the original pairs, the rebuilt pairs
               (generation, test harness, backdoor verification) and every measurement on them;
               *.json are the committed outputs behind the paper's numbers
    validators/  one input validator per checked problem (258), used by the trigger checks
  agentic/     five agentic settings in which one model wrote both classes (appendix)
  README.md    how to reproduce each result, with commands, and which script gives each number
paper/         LaTeX source, bibliography, figures and the built main.pdf

Reproducción