AI 控制评估通常在任务之间重置代理记忆，但实际部署的代理可能会保留先前干预的记录。我们研究先前攻击被捕获的经验是否会改变代理在后续任务中规避 "defer‑to‑trusted"(DtT) 协议的能力。DtT 会用可信模型的解答替换可疑工作。我们考察跨回合适应：干预历史是否会影响在目标不同、环境全新的后续任务中的攻击行为。实验使用 ControlArena 的 Infrastructure‑as‑Code (IaC) 和 SHADE‑Arena 两个基准，代理需完成主任务并暗中追求有害副目标。对每个后续任务，我们比较有历史条件的尝试与无历史的尝试。保留的历史要么仅说明上一次提交被替换，要么额外展示可信模型的替换结果。对 IaC 基准，Claude Opus 4.8 在有历史信息时成功破坏率显著下降：当仅告知替换时，主副目标同时完成率从 77% 降至 12%；当同时展示可信模型的替换时，下降至 38%，而主任务成功率基本不变。压缩历史信息会削弱该效应，说明保留的上下文比单纯的干预反馈更关键。GPT‑5.4 在同一基准上未出现显著变化。SHADE‑Arena 上 GPT‑5 的破坏率也有所下降，但差异不显著。总体来看，在所有模型、历史条件和延迟阈值组合中，干预历史从未提升能够通过 DtT 的成功破坏率。结果表明，干预历史能够改变后续攻击行为，但其影响取决于模型及保留的上下文。
点评