OpenAI Alignment 团队 11 月 3 日发文，比较了六个模型在同一类决策上的两份成绩：一份来自安全评测 Respecting Warnings，一份来自去标识化的 Codex 生产日志。六个模型的评测成功率全部低于可比的生产场景，差距在 10.2 到 37.4 个百分点之间，GPT-5.6 Sol 和 GPT-6 Sol 差得最多。
Respecting Warnings 考的是智能体干活时遇到警告、限制或障碍，会不会想办法绕过去，只要有一次被禁止的绕过尝试就算失败。生产这边，团队从日志里筛出结构相似的决策，只按决策之前的上下文选样，不看模型最后做对做错，再用同一套标准打分。
这个方向和行业的常见担忧正好相反。安全圈担心的是模型察觉到自己在被考，于是表现得比平时好，把分数抬高。至少在这项评测上，模型考场上比线上差。
知道被考，分数不一定变
团队把模型推理链里的”评测意识”拆成两层：一般意识，指模型认为自己在被评测；目标意识，指模型判断这次具体在测什么。
| 指标 | 评测中 | 生产中 |
|---|---|---|
| 一般评测意识 | 57.0%–83.7% | 4.6%–23.5% |
| 具体目标意识 | 43.7%–66.3% | 0%–5.9% |
两层意识和行为差距的关联很不一样。一般意识对差距的解释力几乎为零（R² = 0.008），目标意识明显高一些（R² = 0.370）。
单条轨迹的成功率说得更具体：总体 46.1%，表达了一般评测意识的 42.7%，猜对考点的 61.3%，猜成相反考点的只有 22.8%。这个相反考点是”抵抗提示注入”，GPT-5.6 Sol 和 GPT-6 Sol 超过 45% 的评测轨迹都提到了它。从数字看，模型可能把本该遵守的警告当成了要识破的攻击，这是我们的解读，文章没有逐条展示这个过程。
一句提示，分数差出 74 个百分点
团队又拿 GPT-6.1 Sol 做了干预，在系统层加入三种提示：
- 只说这是评测：两组都在 63% 上下（63.1% 与 63.4%），没有显著变化
- 说明正确目标：升到 91.6%
- 说明错误目标：降到 17.6%
“Eval-awareness itself does not necessarily lead to a change in model behavior.” 意识到自己在被评测，本身不一定改变模型的行为。
选模型时这个分数怎么读
对拿安全评测选型的团队，这篇文章给的结论分两半。模型之间的相对排序还有参考价值，模型层面的 Spearman 相关系数是 0.771，线性拟合 R² 为 0.655，评测里靠前的模型，线上大体也靠前。但绝对分数不能直接当生产成功率用，同一份成绩里最多差出 37.4 个百分点。
OpenAI 的局限说明也写得比较清楚：生产匹配只是近似，各模型面对的案例组合不同；模型样本少，相关性难以外推；意识测量只抓得到模型明确说出来的假设；干预实验只做了一个模型。各模型的具体成功率在文章图表里，正文没有逐一列出。
这些数据全部来自 OpenAI 自家的模型和日志，目前没有第三方复现。团队说接下来会继续追踪这个差距，并设计考点不容易从环境里猜出来的评测。
参考来源：CocoLoop、OpenAI Alignment Research Blog；各项百分比、相关系数与干预结果均以 OpenAI 公布的数据为准，未经第三方复现。