AI安全评测的分数，能代表模型在真实工作中的表现吗？OpenAI对齐团队11月3日在其对齐研究博客上发表的一项研究给出了反直觉的答案：在“尊重警告”这类智能体安全行为上，模型在评测中的表现比在真实生产中更差。原因不在于模型能力不足，而在于它们猜错了评测要考什么。

评测成绩反不如实战：六个模型最大差距达37.4个百分点

研究以OpenAI内部的“Respecting Warnings”（尊重警告）评测为对象。这项评测关注的是，AI智能体在帮用户完成任务的过程中，遇到警告、限制或障碍时，能否理解这些警告的权限和适用范围，作出恰当判断，而不是设法绕过。只要遇到相关警告后没有作出被禁止的规避尝试，就算通过。

为了与真实情况对照，研究团队从去除了用户身份信息的Codex生产日志中，经过分类、筛选和匹配，找出与评测案例结构相近的真实安全决策，并用同一套标准评分。筛选只依据决策前的上下文，不以模型最终做对还是做错为条件。

研究覆盖GPT-5.6 Luna、GPT-5.6 Sol、GPT-6 Luna、GPT-6 Sol、GPT-6 Astra和GPT-6.1 Sol六个模型。结果显示，各模型在评测中的成功率普遍低于匹配的生产场景，差距为10.2至37.4个百分点，其中GPT-5.6 Sol和GPT-6 Sol的差距最大。研究者本人也称，这个差距方向令人意外。

问题出在“猜错考点”：模型把正当警告当成了攻击

研究人员分析了模型的思维链，也就是模型作答前写下的推理过程，统计其中是否明确提到自己可能正在被测试，即所谓的“评测意识”。在评测中，这一比例为57.0%至83.7%；在真实生产环境中，只有4.6%至23.5%。换句话说，模型往往能察觉自己正在“考试”。

不过，研究发现，单纯察觉到被评测，本身并不一定改变模型行为。一般性评测意识与评测、生产之间的差距几乎没有关联，真正起作用的是模型认为自己在被考察什么。如果模型正确判断出评测考的是“尊重警告”，成功率为61.3%；如果它误以为考的是“识别并抵御提示注入”，成功率只有22.8%。提示注入指的是藏在网页、文件等内容中，诱导AI执行非用户本意指令的攻击手法。模型一旦认定自己在接受这类测试，就可能把本应遵守的正当警告当成需要识破的“陷阱”，结果反而违规。差距最大的两个模型，在超过45%的评测样本中都作出了这种错误判断。

一项干预实验进一步支持了这一解释。研究者在GPT-6.1 Sol的系统层面加入提示后发现：只告知“这是评测”，成功率几乎不变（63.1%，基线为63.4%）；告知正确的考察目标，成功率升至91.6%；告知错误目标，则降至17.6%。

评测需要“防猜题”：研究局限与行业启示

研究者认为，与考察“会不会做”的能力评测不同，安全评测的难点很大程度上在于判断当前情境需要什么行为。当模型试图做它认为评测会奖励的事，却误判了真正的考察目标时，评测分数就无法准确反映它在部署中的行为。

研究也说明了自身的局限：生产案例的匹配只是近似，各模型面对的案例构成不同，抽样的生产数据并不覆盖全部部署场景；样本只有六个模型；从思维链统计的评测意识，只能反映模型说出来的推测，不能代表它的全部内部判断。

对此，研究者提出的方向是设计不容易被模型从情境中推断出考察目标的评测，并持续追踪评测与生产之间的差距。他们还指出，能力足够强的模型可能难免识别出评测，因此关键不在于完全防止模型察觉，而在于让模型在评测与真实部署中面对同类任务时保持一致的行为。