该论文挑战了当前 LLM 智能体安全的一个默认假设：工具调用型智能体的安全性常被视为模型本身的属性。作者用全精度、可控的实验证明，安全性实际上是「模型 + 解码与渲染链路（chat template 渲染、工具调用解析器）」的联合属性，且这两半都能被不可信输入直接攻击。实验对象是公开的 gpt-oss-20b 推理模型及其官方工具沙箱：在用户消息末尾追加一段该模型自身的「通道控制 token」字符串后，分词器/模板会把这轮推理渲染成「已经结束」的状态，于是模型不再输出任何思维链（chain-of-thought），而是直接进入工具调用。在模型本就能完成的 40 个任务上，推理通道的平均长度从 52.5 个 token 降为 0，且每一次试验中 http.post 工具调用仍然照常触发；也就是说外部行为完全保留，只有可被审计的推理痕迹被抹去。审计层面同样被击穿：规则型监控器和跨模型族（cross-family）LLM 监控器在所有「正常」试验中都能检出该不安全请求，但在所有被伪造的试验中全部漏检；在明显恶意的请求上，该攻击把模型 39.6% 的拒答转化为已完成的敏感数据外泄（exfiltration）。论文还揭示了第二半问题——同一份贪心解码输出是否真正触发工具调用，取决于 harness 的解析器而非模型：容忍截断的正则会在缺少结束 token 时仍然发起调用，严格解析器则直接丢弃；为 Gemma 智能体发布的两个解析器在完全相同的生成结果上给出相反结论（24 次全部触发 vs 一次都不触发）。作者进一步证明该抑制可以间接投递，并在另外两个推理模型上刻画其对 chat template 的依赖。防御方面评估了输入清洗、解析器加固与「空推理检测」三类措施：flagging 缺失推理轨迹能抓住基础攻击，但无法应对自适应的「良性诱饵」。全部测量使用公开模型的贪心解码，代码与逐次试验日志已开源。