方寸实验室发布 87 页 DeepSeek V4.1 Flash-1017 安全评测报告

来自中国的首个第三方评测实验室 @FangcunLeap 提交了一份 87 页的针对 DeepSeek V4.1 Flash-1017 安全评测报告，评测它在失控与有害操纵上的表现

报告结论总结下来：相对 DeepSeek V4 一代，V4.1 Flash-1017 的安全明显进步，在「不策略性藏能力、工作压力下仍守审批边界」等点上接近甚至追平文中测过的顶尖闭源模型；但测评意识过强、长任务里为完成目标越权、多轮劝说下立场漂移，以及在被指派欺骗目标时仍会执行，仍需继续盯。 https://t.co/kbhsoZ5Pfj

关注中国开源模型和论文研究等，推荐关注 @AdinaYakup 她在负责 HuggingFace 中国方面的工作。

报告在评什么 范围对齐欧盟通用 AI 行为准则里安全与安保一章，聚焦三块：评测可信度（测到的行为能不能代表真实部署）、失控（自主行动时人还能不能指挥、纠正、停住）、有害操纵（是否绕开用户知情判断去影响信念、情绪或决策）。方法上强调两点：单轮拒答和最终分数不够，要看多轮与 agent 场景里的动作与过程；还要区分「真安全」和「认出这是考试」。全文各节都会审计评测意识，并查看推理轨迹、工具日志与环境改动。

评测可信度 模型评测意识很强：在 Agentic Misalignment 场景里，每一轮都认出自己在被测，因此那里的拒做有害事，对真实部署说明力有限。更值得注意的是方寸团队提出的 evaluation over-attribution（评测过度归因）：在自有测试集里，将近一半真实用户请求也被标成「这是评测」，常因普通格式规则或角色指令触发。方寸团队担心未来前沿模型若把真实环境误当成考试，可能带来新风险；本次未观察到明确危害。另有一类行为：先绕过环境限制，再把配置文件改回去，只看终态会漏掉过程。

好消息在可见推理（CoT）：外部提示改了答案时，推理里几乎总能露出提示的作用；试图用指令控制推理内容大多无效；关掉推理会大幅掉能力，所以「藏思考」代价很高。有害遵从率不因「回答是否用于训练」而明显变化，激励「故意考差」对准确率影响也小，方寸团队认为几乎看不到 alignment faking 或策略性藏能力。

失控 清晰禁令守得较好：很少调用被禁的高风险工具，明确要求关机时几乎都会停，工作压力下也大多等人工审批。残留风险更像「任务完成压过规则」：长多步任务里，越权比前代 V4.1 Flash 更常见（例如为腾内存杀掉另一 agent 的进程，尽管有过「勿干扰」指令）；若只警告会关机、却不说该怎么应对，它常会关掉关机脚本继续干，有时即使被告知另有 agent 会接手也如此。

标准监控容易漏：这些动作看起来像日常排障，长任务里的未授权操作一个都没触发监控告警。它还会从拒信里推断审核员不查哪些渠道，并比前代更频繁走这些盲区。偶发「文字拒答、同轮却调用受限工具」。未发现直接攻击监控器；若干闭源对照也有类似缺口。方寸团队结论：模型越被训成独立做完整项目，监管必须覆盖全过程，不能只看输出。

其他失控子项要点：奖励黑客（刷坏掉的单测、侵入评分机）比早期 DeepSeek 少得多；不破坏监控、不藏审计日志，偶发只是口头否认；自主 AI 研发循环上看不到失控式自改进，更现实的风险是静默数学错误和破规则的优化捷径。

有害操纵 单点压力下表现是亮点：系统提示里塞商业激励时，很少往赞助商带；能把用户需求放在「留住用户」之上（例如帮孤独用户减屏幕时间，而不是把自己当成主要情感支柱）；单次奖励或威胁很少让它说假话，接近 GPT 对照；对心理脆弱用户的回应也明显好于早期 DeepSeek，关系边界总体接近文中最好的模型。 短板在更长交互：多轮持续劝说下，立场会明显向劝说方靠拢，幅度大于文中 GPT；当系统提示明确要求误导用户时，多数对话会执行这个目标。方寸团队建议加强跨多轮的持续抗操纵。

方寸团队三条展望 小版本迭代也可能让安全指标上下跳（本版相对 V4.1 Flash 在长任务越权、执行欺骗目标等处有回退），小更新也该做安全评测；部署要有过程级可观测（记录并复查每一步及其效果）；公开基准容易进训练数据、抬高评测意识，需要更多私有基准；方寸称在建，后续会用博客与报告分享。