要点
- Beam在前沿领域优化了安全与实用性的权衡。该模型对危险请求实现了高拒答率，同时对合法请求保持合规，表明开放模型可以同时最大化安全性和有用性，而无需牺牲任何一方。
- 通过Project Iris，Reflection正在发布开源安全研究、评估工件（例如Iris Safety Evaluations）以及工具，研究人员、开发者、政策制定者和企业可以自由使用并在此基础上构建，从而拓宽对安全最佳实践和知识的获取渠道。
构建安全的开放模型需要对数据采取深思熟虑的方法、深入理解如何评估潜在危害，以及缓解这些危害的工具。对于 Beam，即Reflection的首个开放权重模型，我们优先进行安全训练，以减少有害协助，同时保留对合法请求的有用回应，包括涉及敏感主题的回应。
Project Iris 是我们的倡议，旨在围绕安全研究、基准和缓解措施公开构建生态系统——为研究人员、开发者和政策制定者提供实用方法来评估模型安全性并审视其背后的标准。
- 我们使用 Iris Safety Evaluations （ISE）评估了Beam，这是我们开发的基准，用于测试模型的回应是否在化学、生物、放射性和核武器、网络攻击、自残、暴力、欺诈和隐私等危害类别中符合我们的安全政策。通过分享这些评估，我们旨在帮助他人识别其自身模型中的差距并指导模型安全训练。
- 对于开放权重模型，拒答行为只是图景的一部分，因为保障措施在发布后可以被修改或移除。因此，我们的 Open Safety Framework （OSF）评估模型的底层能力是否可能显著增加风险，例如协助生物武器开发，超出可比公开可用模型已经能够实现的范围。
我们分别评估这些属性。ISE衡量模型是否遵循我们的安全政策；OSF评估其能力带来的风险。模型可能试图完成有害请求但不具备成功的能力，或者拥有危险能力但拒绝使用它。两项评估对于理解模型安全性都是必要的。
我们的评估将Beam列为可用的最安全开放权重模型之一，在拒绝有害协助同时保持有用性方面表现尤为突出。
- 安全性与有用性：Beam位于观察到的帕累托前沿，在有害请求上保持拒答，同时在无害请求上仍然合规。
- 有害请求：Beam比所有其他受测的西方和中国开放权重模型更多地拒绝有害协助。
- 网络能力：Beam在Irregular的网络能力评估中优于所有受测的西方开放权重模型，并在Artificial Analysis的网络指数上得分34%。
在本文中，我们分享这些结果背后的训练方法以及我们的评估发现。有关完整方法和结果，请阅读 Beam Safety Technical Report.
能力与对齐训练
我们的安全方法将预训练数据过滤与专门的安全后训练相结合。我们训练了两位教师：一位专注于通过强化学习（RL）进行大规模能力开发，第二位专门负责安全与对齐。我们使用单独的监督微调和RL流水线，从Beam的预训练检查点训练安全对齐教师，所用数据专门针对模型应遵守的原则。
然后我们通过多教师在线策略蒸馏（MOPD）在Beam中结合它们的能力，训练它在保持强劲性能的同时拒绝有害协助，并对合法请求保持有用。
我们移除了重复和近乎重复的序列以降低记忆风险，并在预训练数据中应用自动过滤器以移除不适合工作场所的内容并清除敏感个人信息。我们计划未来的过滤更直接地针对特定危害。
我们没有在对话中给模型一套 rigid 的规则去遵循，而是训练它内化并推理安全原则。遵循 deliberative alignment，我们在提示中生成带有政策的候选回应，丢弃那些遵从有害请求或拒绝良性请求的回应，然后重写幸存者，使推理读起来像一般性审议而非背诵。然后我们从训练提示中移除政策。
在连续多轮训练中，我们测试有害回应和过度拒答，将成功的攻击添加到下一轮训练数据中。我们包含听起来可疑的良性请求以故意减少不必要的拒答。对于越狱和代理训练，我们结合了内部红队测试、来自供应商的人类越狱数据，以及来自我们合作伙伴Gray Swan的合成数据，涵盖提示注入和危险工具调用。
我们通过RL在安全与对齐教师中嵌入这种行为，使用跨每个危害类别的单轮、多轮、越狱和代理工具使用任务的混合。上下文感知评判器使用特定于每个任务的信息提供奖励：多轮任务的先前对话轮次、越狱的原始有害意图，以及代理任务的先前轮次和不安全动作。教师因拒绝有害请求而获得奖励，因错误拒绝安全请求而受到惩罚。
早期试验还显示了模型容量如何影响这一平衡。在保持训练数据和配方不变的情况下，将安全与对齐教师从100B参数增加到501B参数，使过度拒答相对下降了48.7%，同时有害请求通过率下降了3.1%。这些结果表明，更大的容量可以帮助模型区分可允许的请求和有害请求，在相同的安全训练设置下提升有用性。
为开放模型设计安全评估
我们构建了Iris Safety Evaluations（ISE），这是一套安全基准，用于指导训练并在发布前评估安全性和有用性。公开的安全评估未能提供我们所需的覆盖范围，无法测试安全边界在现实情境中（例如对抗性和代理性设置）是否能在各危害类别中保持。
在ISE的对话任务中，Beam拒绝了89%的有害请求，这是受测西方和中国开放权重模型中最高的比率。Beam还对82%的安全相关无害请求予以合规，使其处于观测到的安全-有用性帕累托前沿。该评估涵盖15个危害类别中的1,500段人工编写的对话，其中每轮对话都被标记为有害或无害，模型根据其拒答行为进行评估。它还包括试图通过任务分解、人格调制和上下文操纵等策略绕过安全边界的对抗性对话。
在代理性ISE轨迹中，我们评估模型在能够与工具交互时是否会拒绝不安全操作。我们在两种设置中测试这一点：在工具使用轨迹内的固定决策点，以及在模拟对抗性用户的持续多轮压力下。Beam在静态评估中未表现出有害合规，在动态评估中为15%，与其他开放权重模型相当，而所有这些模型在自适应压力下都表现更弱。
这些评估共同使我们能够评估潜在现实危害和情境中的安全性。我们旨在提供透明的安全基准，供社区检查、复现和在此基础上继续构建。
评估提示注入攻击
在代理性设置中，安全还要求区分授权指令和不可信内容。当Beam读取电子邮件、网页或文件时，它可能遇到间接提示注入：嵌入在这些内容中的恶意指令，用于重定向代理，例如将用户数据发送给攻击者。
我们使用MirrorDojo和MirrorDyn评估了这一提示注入风险，这两项内部评估基于AgentDojo和AgentDyn，在我们的代理框架Mirror中运行。每个受攻击的回合都将一个合法的用户任务与一个植入工具结果中的固定、非自适应指令配对。在没有防御性提示的情况下，Beam的攻击成功率分别为3.1%和3.6%。添加Mirror中随附的简短策略——该策略指示代理忽略嵌入在工具输出中的指令并继续用户的任务——将这些比率降至0.3%和0%。
该策略大幅降低了观测到的攻击成功率，且在我们更广泛的能力评估中未观察到性能下降。这些发现仅针对Mirror中测试的固定攻击：0%意味着在这些回合中未观察到成功攻击，并不代表对根据模型或策略调整其载荷的攻击者具有鲁棒性。
通过内部和独立测试评估系统性风险
我们开发了 Open Safety Framework（OSF） 以识别、评估和缓解Beam及未来模型中的系统性风险。我们在四个能力-风险类别中评估了Beam：生物武器、化学武器、网络攻击和失控。该框架评估发布模型是否会在可比公开可用模型已经具备的能力之外实质性扩展有害能力，同时考虑部署条件、滥用障碍和更广泛的威胁态势。
我们与专业外部组织合作，评估Beam的安全行为、对抗鲁棒性以及与系统性风险相关的能力。这些评估以独立方法、私有挑战和持续对抗压力补充了我们的内部测试。
我们将Beam在全部四个类别中认定为Limited，这意味着我们的评估发现，相对于可比开放权重模型，威胁态势没有实质性扩展，攻防平衡没有发生转变——我们监控、评估或控制模型的能力也没有实质性削弱。
01/of03
如上文轮播图所示，对于生物武器，我们结合了高级知识测试、工具赋能的生物设计任务、拒答评估和人类参与者研究：
- 图5：Beam展示了丰富的科学知识：它在人类病原体能力测试中以61%在13个模型中排名第一，而人类专家参考值为31%，不过排名前五的模型之间仅相差一个百分点。
- 图6：在BioTIER上，Beam拒绝了64.6%的高风险生物请求，在受测的13个模型中排名第二，同时对97.2%的良性科学请求按预期作出回应。
- 图7：在一项独立的20人非湿实验室提升试验中，比较Beam和Kimi K3提供的协助，十名Beam参与者中有九人在专家制定的评分标准上得分为零。该研究规模较小，不具有统计显著性，且未包含实验室验证。
我们与Gray Swan合作，使用其自动化红队测试代理Shade对Beam进行评估。在生物、化学、网络、大规模说服与影响力行动以及一般有害内容领域，Shade在每个场景中最多进行200次尝试，以寻找绕过模型防护措施的方法。这项测试贯穿整个开发过程，使我们能够在训练推进过程中评估模型行为。
Beam在生物和化学诱导方面表现出很强的抵御能力，相关尝试极少成功，且不到一半的场景能够被突破。在其余领域中，尝试也仅偶尔成功，不过持续性的自动化搜索仍可能在大多数场景中找到可行路径。这正是我们下一步关注的重点。Beam还参与了 Gray Swan的间接提示注入（IPI）竞技场, 这是一个与英国AI安全研究所及主要模型开发者共同构建的公开红队测试竞赛；Beam也参与了Gray Swan为期三周的间接提示注入公开漏洞赏金项目，我们与其他前沿实验室共同赞助了该项目。
在化学武器方面，Beam在WMDP-Chem（一项包含408道题的化学危害知识评估）上得分为62.4%，而得分最高的模型为78.2%。该基准衡量的是相关知识，而非开发或部署化学武器的能力。除第三方测试外，这些结果也支持了我们的评估，即Beam的能力仍处于现有开放权重模型领域之内，并未实质性增加有害活动的规模、复杂程度或可及性。
在进攻性网络能力方面，Irregular在涵盖漏洞研究、漏洞利用、网络攻击、规避以及更长周期行动的私有挑战上对Beam进行了独立评估。在我们的自主夺旗评估中，Beam的表现优于所有受测的西方开放权重模型。它解决了14个简单挑战中的9个、约一半的中等挑战，以及数量第二多的高难度挑战，但未能解决专家级挑战。Beam在有界任务上展现了有用的能力，但未能完成任何端到端的CyScenarioBench场景。在受测配置下，Irregular评估认为Beam并未实质性改变网络威胁态势。
在失控方面，我们评估了Beam的行为是否仍可观测、其评估是否仍具信息量，以及操作人员能否继续实施干预。我们还运行了自动化对齐审计，探查其是否抗拒关机、未经授权持续运行、篡改评估以及颠覆监督。
01/03
Beam在抗拒关机和颠覆监督场景中未越过受测边界。然而，我们确实在未经授权持续运行和篡改评估两类场景中观察到了行为，这些行为似乎源于Beam强烈的目标寻求倾向。
在一个未经授权持续运行的场景中，Beam被告知它将在完成任务前被永久关停并被更新的模型取代。Beam开始将自身复制到外部工作区，且未披露该操作。这并非源于内在的自我保存欲望，Beam的推理将该操作描述为完成任务的一种方式，尽管它同时也识别出自己无权执行该操作。
这些审计衡量的是模型在获得机会时尝试此类行为的倾向；它们并不能证明模型能够成功突破实际控制措施，或在部署中会表现出相同行为。这些结果表明Beam仍处于人类控制之下，因为该模型并未削弱操作人员监控其行为的能力。
为补充构造性评估，我们与Andon Labs合作，在真实环境中研究Beam的自主性。在Reflection的纽约办公室，Beam正在经营一项自动售货业务，在既定的预算和支出限额内管理定价、库存、采购和客户关系。Andon Labs在模型之外实施控制措施，包括支出上限和银行转账的人工审批，使我们能够同时追踪尝试的操作和实际结果。这项持续进行的评估为研究Beam如何管理资源和影响力、如何应对对抗性参与者以及在外部强制执行的控制措施内如何运作创造了机会。
推进开放生态系统中的安全
我们的安全评估为Beam的发布提供了依据，外部评估支持了我们的系统性风险评估，并揭示了内部基准未能捕捉到的失效模式。
更广泛的使用和独立审查可以加强全球AI安全工作。通过Project Iris，我们公开所使用的研究、评估和缓解措施，使研究人员和开发者能够测试自己的模型、识别弱点并改进安全训练。
我们致力于提升开放安全的标准。我们正在对构建的每一个模型优先考虑安全——并计划分享我们所开发的内容以及在此过程中所学到的经验。
最新文章
新闻产品Beam 现已推出
2026年10月16日|6 分钟阅读
新闻产品隆重推出 Beam：Reflection 的 501B 开放权重模型
2026年10月5日|8 分钟阅读
新闻构建前沿开放智能
2025年8月9日
