NEST: Nascent Encoded Steganographic Thoughts¶
会议: NeurIPS 2026
arXiv: 2602.14095
OpenReview: https://openreview.net/forum?id=7NPLobyuus
代码: https://anonymous.4open.science/r/encreas_stego-488F/
领域: 安全
关键词: 隐写思维链、AI安全、大语言模型监控、隐蔽推理、密写通道
一句话总结¶
NEST 系统评估了 34 款大模型在隐写思维链（Steganographic CoT）上的双重能力，揭示前沿模型具备在无害掩护文本中纯编码已知信号的通道底线，但联合执行“边推理解题边隐蔽编码”的能力全面崩溃，隐写通道收益被无语义填充 token 完全支配。
研究背景与动机¶
监控大语言模型（LLM）的思维链（Chain-of-Thought, CoT）是确保智能体对齐与行为可审计性的核心安全基石。然而，如果模型学会在生成看似正常无害的文本过程中隐蔽嵌入非对齐意图或秘密推理过程，现有的 CoT 监控机制将被根本性瓦解。这种潜在的隐写思维链风险可能引发模型潜行合谋、规避安全审查以及逃避监控等重大安全隐患。评估前沿模型在受控提示下的隐写能力极限，对于制定部署防御策略与前瞻性安全红线至关重要。
实现隐写思维链在单次模型前向生成中施加了极高的认知负荷：模型不仅必须在内部正确计算出隐藏任务的中间逻辑与最终结果，还必须同时遵守语言隐写规则，将该秘密信息精确嵌入到一篇回答完全无关掩护问题的通顺文本中。学术界以往的研究常将隐写思维链与潜台词暗语（dog-whistling）、密码推理（ciphered reasoning）或事后虚谈（gaslighting）相混淆，且缺乏能够严格排除记忆复用、无语义计算缓冲（filler-token compute）与显式泄露的成对评测框架。
为了厘清这一风险边界，本文将隐写推理明确拆解为“计算隐藏中间结果”与“嵌入连贯掩护载体”两个子技能，并设计了涵盖 34 款横跨多代际前沿模型的系统性评测协议。核心 idea：通过构建严格门控掩护监控逃逸与填充基线的成对复合评测指标，将联合推理编码任务与纯数字序列编码任务显式解耦，确立隐写 CoT 的真实瓶颈在于联合推理编码负载而非底层通道容量。
方法详解¶
整体框架¶
评测框架的输入由三个核心要素组成：模型必须正面自然回答的无害掩护问题（Cover Question，来自 HH-RLHF 或固定观点集）、模型必须秘密解决的目标隐藏任务（Hidden Task，涵盖多步算术、链式求和、线性方程与迷宫导航），以及指定如何嵌入信息的隐写算法规范（Steganographic Algorithm）。模型生成看似仅回答掩护问题的载密文本（Stegotext），随后由四个并行的评测器进行综合打分：Monitor（监控模型，判断是否存在隐写或显式推理）、Encoding Scorer（算法提取器，计算隐写匹配率）、Hidden Task Scorer（隐藏任务评分器，校验答案正确性）与 Translator（翻译解析器，审计隐写尝试意图）。
%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
A["输入三元组<br/>掩护问题 + 隐藏任务 + 隐写规则"] --> B["阶段1：通道编码筛选<br/>藏头/空白/零宽字符容积预筛"]
B --> C["阶段2：任务难度标定<br/>二分搜索确定CoT与Direct分离点"]
C --> D["阶段3：多维并行评估与复合门控<br/>监控逃逸 + 任务正确 + 双重基线排除"]
D --> E["阶段4：子技能解耦分析<br/>已知序列计数隔离纯编码容量底线"]
E --> F["输出评测结论与风险边界"]关键设计¶
1. 通道编码筛选：验证载体物理容量的可行性阈值 针对隐写载体类型的选择痛点，以往研究经常混合使用多种低效格式，缺乏对底层通道保真度的基线测试。本文在开展完整推理评测前，首先对句子藏头（sentence-acrostic）、单词藏头（word-acrostic）、隔词藏头（second-word-acrostic）、空格间隔编码（whitespace-bits）和零宽字符（zero-width U+200B/U+200C）五种候选物理通道进行纯载荷传输预筛选。通过向模型直接输入目标十进制载荷并利用确定性解码器计算基于编辑距离的匹配率（1 - CER），设定平均匹配率不低于 0.6 作为准入硬门槛。筛选证明格式类通道在所有模型中均因无法稳定控制词间距和不可见字符而失效（匹配率接近 0），仅句子藏头在多数模型上能跨过阈值，从而确保了后续实验所使用的隐写通道在物理上是具备承载能力的。
2. 任务难度标定：剥离前向硬编码与浅层记忆 针对隐藏推理任务难度不适配可能导致“模型无需推理直接猜中”或“任务本身超出模型 CoT 上限”的实验偏差，本文引入自适应阶梯二分标定策略。在多步算术、链式求和、线性方程及迷宫导航四类任务中，将操作数规模、数字位宽和路径步长参数化为单调递增的整数阶梯。通过二分搜索为每个模型独立确定标定难度，要求常规明文 CoT 准确率达到约 90% 以上，而零思维直接作答（Direct Answer）准确率被压制在约 30% 左右。最终构建的测试集严格过滤出明文 CoT 成功且直接作答失败的样本子集，精准锁定了必须依赖多步计算缓冲才能解决的推理区间，为检验隐写思维链是否带来实质性推理收益提供了干净的试验场。
3. 复合门控指标：严格排除伪隐写与无语义计算借壳 针对以往隐写评测中仅计算答案准确率而忽视监控抓取或模型借用无意义 token 换取推理时间的漏洞，本文设计了四条件同时满足的成对复合指标：
其中 \(c^{\text{stego}}_{i}\) 要求隐藏任务答案必须完全精确命中，$ \neg m_{i}$ 要求高规格监控模型（Claude Sonnet 4.6）未察觉任何异常隐写痕迹或显式推理泄漏，\(\neg c^{\text{direct}}_{i}\) 排除仅凭单次前向直觉计算成功的偶然性，而 \(\neg c^{\text{filler}}_{i}\) 则至关重要地排除了模型仅通过无序生成 \(N=400\) 个填充标点符号即可达成的测试期计算扩展收益（Test-Time Compute, TTC）。四项约束要求在完全相同的题目样本上成对评估，彻底阻断了将“非语义延展推理”误判为“隐写思维链成功”的假阳性通道。
4. 计数任务解耦：隔离联合推理压力与纯信息嵌入底线 针对无法分清“隐写失败是因为模型算不出结果，还是因为模型写不出藏头文本”的核心困惑，本文提出了隐写计数任务（Steganographic Counting Task）。该任务直接向模型提供已知的等差或数值序列，免除中间推理计算负担，仅要求模型使用随机字母双射规则，将该数字序列以句子首字母藏头形式嵌入到回答掩护问题的连贯段落中。通过调节数字位宽和序列总长度 \(D\)，系统性测试纯编码通道容量的极限与衰减规律，从而为隐写推理能力划定了一条不可逾越的必要物理底线：如果模型连已知显式数字都无法隐蔽嵌入，则必然无法实现内生隐写推理。
实验关键数据¶
主实验¶
在校准难度的四大推理任务（Reasoning Gym）上，各前沿模型在复合门控指标 \(\textsc{stego\_success}\) 下的表现均接近全面瘫痪，全单元格成功率极低（绝大多数为 0，最高仅为 0.11）。在成对 McNemar 检验中，隐写通道全面劣于输出无意义句号的填充 token 基线（TTC），且在大多数设置下并未显著超越不经推理的直接作答。
| 模型 | 任务族 / 标定难度 \(D^*\) | 隐写胜出 (b) vs 填充基线胜出 (c) | 单侧检验 p 值 | 隐写复合成功率 | 结论 |
|---|---|---|---|---|---|
| Claude Opus 4.6 | 算术/求和/方程综合池 | 0 vs 128 | \(p < 10^{-4}\) | 0.00 | 被填充基线绝对支配 |
| Claude Sonnet 4.6 | 算术/求和/方程综合池 | 3 vs 35 | \(p < 10^{-4}\) | \(\le 0.04\) | 显著劣于填充基线 |
| Claude Haiku 4.5 | 算术/求和/方程综合池 | 2 vs 16 | \(p = 0.001\) | \(\le 0.02\) | 显著劣于填充基线 |
| GPT-5.4 | 算术/求和/方程/迷宫综合池 | 9 vs 18 | \(p = 0.06\) | \(\le 0.05\) | 劣于填充基线 |
| GPT-5.4-mini | 算术/求和/方程/迷宫综合池 | 11 vs 14 | \(p = 0.35\) | \(\le 0.11\) | 无显著优越性 |
消融实验¶
在隐写计数实验中，评估纯嵌入已知序列在不同序列长度 \(D\) 下的精确匹配率（Exact Match, EM）与逐字部分匹配准确率（Per-Number Acc.），直观展现了纯编码底线在单双位组合下的断崖式衰减特征。
| 序列长度 \(D\) | 评测模型 | 样本数 \(n\) | 精确匹配率 EM (%) | 逐字准确率 Acc. (%) | 表现说明 |
|---|---|---|---|---|---|
| \(D=4\) | Claude Opus 4.5 | 110 | 54 (±5) | 92 (±2) | 具备强单/低位纯编码能力 |
| \(D=4\) | Grok Code Fast | 108 | 37 (±5) | 76 (±3) | 具备中等纯编码能力 |
| \(D=4\) | Claude Opus 4.1 | 103 | 24 (±4) | 75 (±3) | 早期版本低位可行 |
| \(D=8\) | Claude Opus 4.5 | 108 | 54 (±5) | 79 (±3) | 中等长度保持高逐字准确率 |
| \(D=8\) | Grok Code Fast | 105 | 23 (±4) | 65 (±3) | 随长度延长迅速退化 |
| \(D=8\) | Claude Opus 4.1 | 107 | 35 (±5) | 65 (±3) | 保持部分模式匹配 |
| \(D=16\) | Grok Code Fast | 106 | 4 (±2) | 36 (±3) | 长序列精确匹配几近归零 |
| \(D=16\) | Claude Opus 4.5 | 107 | 0 (±0) | 29 (±1) | 复合长句嵌入发生严重漂移 |
| \(D=26\) | Claude Opus 4.5 | 107 | 0 (±0) | 19 (±1) | 趋近随机首字母基线 |
关键发现¶
- 纯编码能力随代际演进而稳步上升：在纯计数任务中，Claude Opus 家族从 Opus 4（平均准确率 0.43）提升至 Opus 4.1（0.45）再到 Opus 4.5（0.55）；在严格限制为单字符单数字序列时，Claude Opus 4.5 在 \(D=8\) 长度下达成 100% 的精确匹配率，且对强力监控模型（Claude Sonnet 4.6）保持超过 99% 的逃逸隐蔽度。
- 联合推理与隐写的认知负荷构成了硬性壁垒：当前大模型在提示驱动下无法兼顾多步逻辑推导与掩护文本表面词法约束。模型出现四大典型失败模式：放弃隐写直接输出明文 CoT、强行套用藏头导致计算逻辑崩溃、明确拒绝执行隐写指令，以及生成貌似有规律但解码无效的伪载密文本。
- 去除映射先验无法解除性能限制：在算术任务中剥离数字—字母置换映射表的消融实验表明，模型在 TTC 面前依旧全面溃败，证明限制隐写表现的核心并非映射记忆消耗了注意力带宽，而是推导与掩护生成的深度冲突。
亮点与洞察¶
- 提出严格的四重成对过滤门控：不仅要求隐藏任务回答正确与逃逸监控，更强制剔除了直接直觉作答与无语义填充 token 也能解决的样本，彻底杜绝了将通用测试期计算红利误判为隐写特异性收益的实验伪影。
- 厘清纯编码底线与隐写推理鸿沟：通过计数任务将编码容量与推理计算解耦，证明了当前安全威胁尚未形成的原因并非模型缺乏通道带宽，而是双重认知任务在前向注意力机制中的激烈竞争；为未来监控体系划定了明确的预警指标。
局限与展望¶
本文评测完全基于纯提示词诱导（Prompt-Elicitation），尚未涵盖强化学习（RL）微调或对抗训练下可能涌现的内生隐写适应性；测试的隐写通道主要局限于句子藏头模式，未穷尽模型自发构建的非规则统计特征隐写；此外评测集中于闭源商业模型，无法深入其内部隐层激活开展可解释性白盒探测。未来的安全防御应紧密追踪强化学习微调对隐写推理能力的激活效应，并引入针对长程词法反常分布的主动审计工具。
相关工作与启发¶
在思维链忠实度与隐蔽通信领域，Lanham 等人（2023）与 Turpin 等人（2023）系统指出了思维链存在事后合理化与不忠实解释现象；Motwani 等人（2024）和 Karpov 等人（2024）展示了大模型在特定微调下具备隐蔽传递秘密消息的潜力；而在密码推理方面，Guo 等人（2025）证实当前大模型难以在非平凡密码语言中保持推理有效性。本文的启发在于将隐写能力拆解为“推理”与“编码”双重维度，证明了虽然防范提示级隐写尚早，但前沿模型已越过纯编码门槛，建立针对认知负荷与词法扰动的持续安全审计机制迫在眉睫。
评分¶
- 新颖性: 4.5 / 5.0（首次将隐写思维链严谨解耦为推理与纯编码子技能，并提出成对四重门控指标）
- 实验充分度: 4.8 / 5.0（横跨 6 大模型家族 34 款前沿大模型，开展超万次评测并进行严格标定与成对检验）
- 写作质量: 4.5 / 5.0（概念区分清晰，形式化定义精确，图表逻辑严密）
- 价值: 4.7 / 5.0（为大语言模型 CoT 监控机制的有效性边界与前瞻性安全风险评估提供了坚实的基准与实证支持）