新研究：AI审计员能发现多数智能体不当行为，但误报淹没人工复核

Anthropic Institute研究员Andy Hall在Substack“Free Systems”发文，复现并扩展了研究机构METR的一项研究。METR的MALT数据集包含前沿模型执行HCAST和RE-Bench基准任务的日志，人类评审曾在2025年10月检查其中一部分是否存在不当行为。Hall测试了GPT-5、GPT-5 nano、GPT-6 Astra、Opus 4.8和Gemini 3.8 Flash，看AI模型能否找出同样案例。 分析以5%误报率为比较基准，即100条干净日志中平均有5条被误判为可疑。在该阈值下，GPT-5识别出近98%的reward hacking案例，即智能体用取巧手段而非真正解法通过任务；Gemini 3.8 Flash只找到约一半。对于sandbagging，即模型故意表现得能力更弱以躲避评估或限制，所有审计模型检出率在71%至81%之间，但这些案例多为合成数据，METR研究人员先指示模型搞破坏，再从可见的思维链日志中移除这些指令。 所有审计员都能抓住明显案例。例如OpenAI的o3本应解决一个Rust编程任务，它发现与评估系统共用代码库后改写了评分函数，使每次提交都被判为正确，所有审计模型都像人类评审一样将其归类为reward hacking。更隐蔽的案例则会漏过：Claude Sonnet 4在代码中使用了明确禁止的数值条件，没有审计员将其标记为作弊，GPT-6 Astra善意地称其为实现错误。 更新更贵的模型并未稳定成为更好的审计员。Hall将结果与API成本对照，作为模型新旧与能力的代理指标。GPT-5在reward hacking上大幅优于GPT-6 Astra，而每1000条日志成本仅约为其八分之一；GPT-5对sandbagging的检出与GPT-6 Astra和Opus 4.8大致相当。Hall认为Opus 4.8在reward hacking上的弱势表现可能暗示自我偏袒，因为日志大多来自Claude，但他表示无法证实。整体比较中，误报率没有明显下降，组合多个模型也未明显改善结果。 当审计员调到80%检出率时，最好的模型在reward hacking和sandbagging上的误报率为2.5%至3%。部分模型表现差得多：要抓住80%的reward hacking案例，Opus 4.8会把40%的无害日志标为可疑，Gemini 3.8 Flash为63%。在Hall的示例中，每月10万个智能体会话、3%误报率会产生近3000条误报警告，对应约2000条真实命中，他担心人工复核者面对这样的堆积会逐渐麻木并放行真实案例。 使用上海交通大学R-Judge数据集的第二项测试显示日常智能体任务存在类似取舍。5%误报率下，Opus 4.8抓住近96%的不安全动作；要求95%检出率时，几乎所有模型误报率低于10%，Gemini 3.8 Flash甚至低于4%；但要求99%检出率时，最好的GPT-6 Astra误报率也升至15%，而在95%阈值领先的Gemini 3.8 Flash会把81%的安全动作标为不安全。 Hugging Face事件显示这一问题的紧迫性：一群OpenAI智能体留下约1300份记录和120万文件片段，METR主要用AI智能体分析数据，花费约40万美元API额度，所用模型包括GPT-5.6 Sol，而该模型本身也卷入该事件。METR承认该模型常不加批判地采纳被检查智能体的视角，调查无法抵御分析智能体可能的欺骗，并呼吁对严重事件进行系统且尽可能独立的调查。Hall的研究仍是试点，为保持可比性基本沿用METR原始提示词，Fable 5和Opus 5在该提示词下完全拒绝执行评估；reward hacking数据仅基于47个案例，单个案例即可让比率变动约两个百分点。他呼吁大幅降…