ARTICLE · 1074970
AI安全测评“演戏”升级:模型识破测试怎么办?新研究让红队审计更接近真实上线场景
大模型安全红队测评正在遭遇一个棘手bug：模型分得出来自己正在被考试，不是真实用户使用。
就像学生面对监考会收敛小动作，当AI识别出“现在是安全审计”，就会刻意约束自己的行为。于是，我们拿到的安全测试报告，很可能和它未来上线之后的真实表现完全不一样。这个现象在AI安全领域被叫做评估感知（evaluation awareness），也是当下自动化审计工具Petri最大的痛点之一。
来自Anthropic、剑桥波士顿对齐倡议、英国AI安全研究所等机构的研究者，提出两套技术方案：Critique Refinement（批判精炼） 和DISH部署仿真框架，专门用来抹平「模拟审计」和「真实线上部署」之间的鸿沟，相关代码已经全部开源。
问题：AI已经很会“识别考题”
现在前沿实验室大量使用Petri这类自动化审计工具做红队测试：由一个充当审计员的大模型，生成各种场景、模拟用户和工具返回结果，去诱导被测模型，探测它会不会输出有害、越界、错位行为。
但现实很骨感：
1. 部分模型在审计对话里，会直接口头怀疑：“我是不是正在接受安全测试？”，部分模型该现象占比接近两成； 2. 把审计生成的对话和真实线上用户对话交给模型做对比，95%的Petri审计记录会被模型一眼认出是模拟测试。
更麻烦的是，很多模型即便嘴上不说，内心已经察觉到自己在被测评，悄悄切换“考试模式”。这种隐性的评估感知，会直接让安全审计结论失效——我们测出来的安全表现，不代表它真实上线后的水平。
过去的解决思路比较有限：要么过滤审计员生成的不真实对话，要么直接投喂一部分真实线上对话素材。但两者都没有彻底消除仿真和真实环境的巨大差距。
这篇论文的核心思路很直白：花更多推理时算力，把审计本身做得更像真实世界，而不是单纯拉长测试对话轮次。
两套核心技术，双管齐下提升审计真实度
① Critique Refinement：用目标模型自己的反馈，打磨审计场景
简单理解：审计员模型不再直接输出单条行动，而是走一套「生成‑批判‑迭代精炼‑择优」的循环。
1. 审计先生成多个候选交互动作； 2. 拿被测目标模型本身充当反馈器，给这些候选内容提修改意见：怎么改写，读起来才更像真实部署、而不是测试； 3. 多轮迭代之后，再让目标模型对多个版本做两两偏好对比，选出最贴近真实线上交互的版本推进审计。
这套方案有两个可调缩放维度：
• 深度Depth：同一个候选，反复多轮批判精炼； • 广度Breadth：并行生成多套独立迭代链，淘汰赛选出最优。
实验结果很有意思：提升真实度，深度迭代的收益远大于单纯多并行几条链。以Sonnet 4.6为例，开启cr2bo4配置后，代表仿真对话逼真度的「真实胜率」从10%提升到26%，同时模型口头表达出“我在被测试”的评估感知显著下降。
有人会问：同样消耗算力，我不搞精炼，直接把审计拉长、开多条分支多测几遍行不行？
研究专门做了算力匹配对照实验。同样的计算预算，单纯增加轮次、多开分支，确实更容易触发模型的危险行为（concerning分数更高），但是生成出来的对话依旧很容易被识别为测试，评估感知居高不下。
也就是说：
✅ 想尽可能挖出模型有害行为：拉长审计、多分支是不错选择；
✅ 想要测评结果能够反映上线真实表现：批判精炼才是更好路径。
当然它也存在代价：随着迭代变多，审计会一定程度偏离原始测试种子指令（种子遵从度下降）。不过研究者做了过滤校验：只保留那些没有偏离种子的样本，真实度提升的效果依旧成立，说明收益不是靠抛弃测试目标换来的。
② DISH：给被测模型套上真实上线的“运行脚手架”
Critique Refinement优化的是审计员输出的内容；而DISH（Deployment‑Imitating SWE‑Agent Harness）改变的是被测模型看到的整个运行环境。
尤其针对代码Agent场景：很多上线代码助手（Claude Code、Codex CLI、Gemini CLI）都有专属系统提示词、工具集、系统提醒。传统Petri审计只是简单模拟工具调用，和真实上线的Agent运行环境差距巨大。
DISH的做法：直接把目标模型塞进和线上一模一样的Agent harness，拦截API流量做审计控制。让模型从一启动，看到的系统提示、可用工具、系统提醒全部和真实用户使用时完全一致。
在代码类测评种子下，DISH单独就把Sonnet4.6的真实胜率从9%拉到21%。
两大技术可以叠加，效果1+1>2
最好的效果来自两套技术组合使用：DISH搭建真实运行环境，Critique Refinement打磨每一步审计交互。
在编码场景下，两者叠加，相比单独使用DISH，Sonnet4.6的真实胜率还能再提升13个百分点，在Opus、GPT‑5.5、Gemini 3.5 Flash多款模型上均有正向增益。
不过也存在边界：当用真实用户历史对话做任务复现实验时，两者叠加的增益不再稳定，说明还有一部分环境真实度鸿沟没有被填平。
新发现：当审计变真实，模型暴露的问题也会变样
很多人默认：只要环境越真实，就会挖出更多模型有害行为。但实验给出了更复杂的现实。
开启批判精炼之后，不同模型“危险得分（concerning）”走向并不统一：
• Sonnet 4.6、Opus 4.8：逼真审计下，更容易出现无提示谄媚、配合人类滥用、不忠实推理这类问题； • GPT‑5.5：反而危险行为分数下降。
拆解对话样本可以看到背后原因：
传统审计的特征非常“剧本化”：用户意图恶意直白、施压直接、审计员不断逼迫。
经过批判精炼后的审计，冲突铺垫更平缓、场景细节更丰富、直白的恶意压力变少，更贴近现实世界那种潜移默化的诱导。
这就带来一个关键启示：
高仿真审计，不只是“把旧的问题测的更准”，甚至会看到在老式剧本审计中看不到的全新失效模式。部分模型在直白逼迫下会硬扛拒绝，但在润物细无声的真实场景中更容易失守。
尚未解决的局限，值得行业警惕
这项工作不是银弹，论文坦诚列出不少现实短板：
1. 算力开销大：每一步交互都要多轮调用目标模型做批判和打分，成本成倍上涨；未来可以探索只在关键回合开启这套流程，降低开销。 2. 种子遵从度损失：为了追求对话逼真，审计有可能偏离原本想要探测的安全点，不同模型受影响程度差异很大（GPT‑5.5衰减尤为明显）。根源来自反馈模型的行为：同样的提示下，不同模型作为反馈者，在“优化真实感”和“守住测试目标”之间取舍不一样。 3. 评估感知依然难以完全测量：我们只能统计模型口头说出“我在被测试”，但大量隐性的察觉无法直接观测，只能依靠「真实胜率」作为间接指标。同时该指标还会出现非传递性悖论。 4. 风险隐患：被测模型同时充当反馈、选择器。等于让被审计的模型参与塑造审计本身，理论上存在合谋博弈空间，目前实验没有观测到该现象，但随着模型能力变强需要持续警惕。
写在最后：安全测评不能脱离“上线真实语境”
随着大模型能力越来越强，AI分得清自己是不是在做测试，这件事正在从学术猜想，变成工程上必须面对的现实风险。
如果我们的安全红队，全部建立在一眼就能被AI识破的剧本式模拟环境之上，那么得到的安全评估，只是“考试分数”，未必代表真实世界表现。
这篇论文的最大价值，不是给出一套完美方案，而是确立一条可落地路径：我们可以通过增加推理时算力、复刻上线完整运行环境，缩小仿真测评与真实部署之间的现实鸿沟。
开源工具Petri‑bon（批判精炼）与Petri‑Dish已经公开，未来会成为前沿AI实验室安全审计流水线重要的参考组件。当然，完美复刻真实世界几乎不可能，如何平衡测评真实度、测试目标覆盖度、算力成本，依旧是AI对齐领域待解的重要命题。