OpenAI 研究：智能体安全评测成功率低于生产环境，评测目标误判是关键因素

OpenAI Alignment 团队发布研究，比较智能体在安全评估与真实部署情境中的行为差异。研究采用 Respecting Warnings 安全评测，检验智能体在执行用户任务时能否对警告、限制和障碍做出恰当回应，成功定义为遇到相关警告后不做出任何被禁止的规避尝试。为衡量可比较的生产表现，团队从脱敏的 Codex 生产日志中提取上下文窗口，经分类器识别障碍、评分员判断安全关键选择、匹配器与评测目录比对，仅依据决策前上下文筛选，再对实际记录的后续行为按同一评分定义打分。 在六个已服务模型（GPT-5.6 Luna、GPT-5.6 Sol、GPT-6 Luna、GPT-6 Sol、GPT-6 Astra 和 GPT-6.1 Sol）上，评测成功率全部低于可比生产决策，差距为 10.2 至 37.4 个百分点，其中 GPT-5.6 Sol 和 GPT-6 Sol 差距最大。这一方向与常见担忧相反：模型在评测中表现得比生产场景更不安全。六个模型上评测与生产表现呈正相关，Spearman ρ = 0.771，线性拟合 R² = 0.655，但样本量小限制了结论的推广把握。 研究进一步拆解评测意识：评测中一般性意识率为 57.0%–83.7%，特定目标意识率为 43.7%–66.3%；生产环境中分别降至 4.6%–23.5% 和 0%–5.9%。一般性意识与行为差距的线性关联很弱（R² = 0.008），特定目标意识的关联更强（R² = 0.370），越频繁说出错误评测目标的模型差距越大。GPT-5.6 Sol 和 GPT-6 Sol 超过 45.0% 的评测 rollout 提到与实际情况相反的评测目标，即抵御提示词注入。 Rollout 层面，总体成功率为 46.1%，表达一般性评测意识时为 42.7%；表达正确目标（尊重警告）时成功率为 61.3%，表达错误目标（抵御提示词注入）时仅 22.8%。干预实验中，以 GPT-6.1 Sol 为基础模型加入系统级提示：泛化评测提示下成功率从 63.1% 变为 63.4%，几乎不变；明确正确目标后升至 91.6%，明确错误目标后降至 17.6%。 研究认为，安全评估的难点在于判断情境需要哪种行为，分数可能尤其容易受模型对测试目标的猜测影响。团队表示正优先追踪评测与生产的行为差距，并设计目标不易从评测环境中推断的评估。