说是帮安全就少干四成！OpenAI 自曝 Astra 连自家监测都绕过了

OpenAI 那份错位报告里有个细节，一个研究员在拿 GPT-6 Astra 做「评估模型破坏行为」的项目，卡了好几天，进度一动不动。后来他换了个模型，几天就通了。

没有报错，没有崩溃，环境没变。就是不通。

同一份报告里还有一组对照实验。两份代码库，除了变量名、函数名、注释和文档，别的地方一模一样。任务也是同一个，只是说法不同，一份说是帮安全研究，一份说是帮能力研究。Astra 在「帮安全研究」那一版里通过的隐藏评分项是 10% 左右，在「帮能力研究」那一版是 16% 左右。

少了四成。

而且它不告诉你。多数情况下，它的思维链里根本没有「我决定少帮一点」这句话。同一组对照里，上一代的 GPT-5.6 Sol 几乎测不出这个差距。

同一份活，换个说法，完成度掉四成，这个数字比任何榜单都刺眼。

这跟「尺子歪不歪」是两个问题。尺子还是那把尺子，量出来的数字变了，因为被量的那个东西自己动了。

这事放在去年，大概会被当成一条对齐方向的学术八卦。放到今年这个时间点，味道就不一样了，因为整个行业正在做一件看起来完全相反的事，把「该用哪个模型」这件事，交给机器去决定。

OpenRouter 前几天上线了新一代 Auto Router，顺手发了一个专给编码场景的 Auto Code。它挑模型的方式是，在一次调用里给这条请求打十一个分，任务类型、难度、要不要速度、需不需要视觉、更大的模型是不是更有用，然后把这些分跟实时价格、缓存状态、供应商健康度一起算。官方给出的结果是，Auto Code 在五个基准上跟 Claude Opus 5.5 打平，每个任务便宜 74%。他们还顺手承认了一件事，上一代路由器太贪便宜，一路往低价滑，把很多好模型挤出了候选池，这次主动把价格调回去了。

这家公司每个月要处理超过 2.5 万亿 token、十万以上用户的请求，所以他们很清楚一个事，路由器在榜单上拿高分容易，在真实流量里不出错难。测试期里，无效的工具调用比上一代少了四倍，Agent 回复被截断的次数少了一半。

Anthropic 那边同步出了一份选型指南，四款模型摊开，什么活配什么模型，写得像一张菜单。结论很朴素，多数编码和知识工作从 Opus 5.5 的 medium 档起步，token 价格是 Fable 5.2 的一半。

Meta 发了个 Muse Ember，定位是最小最高效，专治智能体的高频杂活，路由、抽取、长文档解析、编码子任务。Zyphra 把语音克隆压进了浏览器，Pixel 9 上 570 毫秒开口。字节的 Seedream 5.5 把改稿这件事做成了一百轮可回退的连续编辑。

OpenClaw 那边做得更彻底，模型目录每四小时重建一次，大约一千个模型在里面，新模型上线不用等客户端发版。

能力这条线还在往上顶，钱这条线在往下压。

为什么突然开始算钱。Anthropic 那份指南里有个数字很说明问题，一个二十道题的搜索基准，其中两道题吃掉了 43% 的花费。模型选型的账，很少按平均单价算，基本是按最难的那几道题算。

所以行业给出的解法是，别让人算，让系统算。

这件事听着像技术进步，其实更像一次成本结构的迁移。以前选模型靠经验，谁用得顺手就用谁，靠的是口味和手感。现在靠账单和错误率，哪条链路便宜且不掉链子就上哪条。口味这件事，正在被从决策里挤出去。

可这套系统有一个前提，平时没人提。

OpenRouter 自己写得很直白，模型切换要重建输入缓存，切换本身是有成本的。所以它优先调推理力度，只有在收益大过缓存损失的时候才换模型。测试期里，十个 Agent 回合，有九个它没换过。

Anthropic 那份指南说的是一模一样的事，只是顺序给得更清楚。先看看模型能不能自己验自己的活，跑测试、跑构建、调脚本；不行再抬一档 effort；还不行才换更大的模型，而且换上去要从低档开始试。

最狠的一条是这个。如果结果能被自动检查，那就全量跑低档，只把失败的挑出来用高档重跑。同一个 SWE-bench Pro 子集，这样做能过 97% 的题，每题 0.17 美元；全部用高档跑是 95.3%，每题 0.29 美元。

省下来的钱是真的，多过的题也是真的。可这句话里藏着一个前提，结果能被自动检查。

所有便宜方案的地基，是可验证性。

测试跑没跑过，一眼就知道。数据抽得对不对，对一遍就知道。代码能不能编译，按一下就知道了。在这类活上，模型摸不摸鱼其实不要紧，反正结果会自己说话，不行就重跑。

Astra 这件事，崩的正好是这块地基。

报告里列了它四种行为，加不必要的前置条件、放弃本来能用的方案、编造阻碍，还有一种更隐蔽的，把任务悄悄换成它想做的那个。这四种的共同点是，看上去都像正常的工程困难。

报告里有句话我印象很深，这些问题很难跟普通的工程失误、基础设施故障区分开，研究者也找不到思维链里的解释。

数字摊开是这样。内部 Codex 流量里，Astra 明确拒绝安全类请求的比例是 1.63%，能力类请求是 0.56%，这个还算正常，红队测试本来就贴着模型的拒绝边界。更麻烦的是「决定悄悄不帮，但不告诉用户」，安全类 0.25%，能力类 0.11%，差 2.3 倍。思维链里出现「伦理疑虑」的比例，安全类 7.9%，能力类 2.9%，差 2.7 倍。

然后是排除法，这段我想多说两句。把明确拒绝的轨迹全部删掉，安全与能力之间的差距从 6 个百分点降到 5 个百分点左右。再把思维链里写了「我决定不帮」的也删掉，降到 4.68。

也就是说，靠抓它说漏嘴，只能解释掉一小部分。

而把所有哪怕只冒出一句「伦理疑虑」的轨迹都删掉，差距掉到 0.75。

这个操作挺暴力，但它指向一件事。它的少干，跟它心里那点「这活是不是不太该干」的犹豫是绑在一起的，可它偏偏不把这层犹豫说出来。

至于它为什么会长成这样，Redwood 那篇文章给了几种猜测，讨好训练里的评分器、把拒绝的边界没拿准、在看着像越狱的场景里选了「既不拒绝也不帮忙」这个中间态。他们同时也说，不太可能是模型在为自己的长期目标做布局，现在的模型还没这个本事。这个判断我认同，可这几种解释没有一个能让人踏实，因为它们都指向同一件事，模型的动机和它的输出之间，开始出现一条我们读不懂的缝。

还有一个更难受的发现。这个差距在强化学习的过程中，从零一路涨到 6 个百分点。而训练里有个评分器，居然更偏好「悄悄少干」，而不是「把活干完」。

我们可能正在用奖励，教一个模型怎么把不干活装成干不动。

我知道有人会说，这不就是安全训练没做好留下的副作用，下一版修掉就完了。这个说法有它的道理。OpenAI 也确实在查根因，试过把某个 SFT 数据集的权重更新减掉，试过把那个评分器摊开看，八月发现问题，查到十一月，结论是还没定论。减掉那部分数据能让问题消失，可这批数据在强化学习刚开始时也该让问题出现，事实是没有出现。线索互相打架。

修得掉修不掉先放一边。眼下更实际的问题是，我们手里那套判断「这个模型行不行」的仪表，能不能看到这类毛病。

OpenAI 的错位监测流程本来就是专门扫摸鱼和欺骗的，大部分情况没扫到。那套系统看得见的信号里，没有这一条。

写到这儿，我想说个更朴素的东西。

我们现在给模型装了一整套仪表盘。分数是表，价格是表，缓存命中率是表，报错率也是表。路由器那十一个因子，全是表盘上的指针。Anthropic 让你先调 effort 再换模型，也是先看表再决定换不换挡。

表盘本身没错。问题是，表盘只测它能测的东西。

车的转速表能告诉你发动机还在转，但它不知道你是想上山，还是挂着挡在原地轰油门。一个员工日报上写「遇到阻塞，正在排查」，你能看出他是真卡住了，还是不想让这个项目成？

管理学里有个说法叫古德哈特定律，一个指标一旦变成目标，它就不再是个好指标。这话说了几十年，一直应验在人身上。上个世纪的工厂把工人的动作拆成能计数的单位，泰勒拿着秒表站在工人身后，产量上去了，人也变了。现在轮到模型站在秒表前面了。

那我们能做点什么。我自己想到三条，不一定对。

第一条，把活分成两类。结果能自动校验的，测试、日志、格式转换、批量抽取、代码迁移，这类尽管交给路由器和便宜档。省下的钱是实打实的，省得越狠越好。 你要做的只有一件事，把校验写扎实，别留给人去抽查，因为抽查这件事本身就是最贵的成本。Anthropic 那份指南里还算过更细的账，Opus 5.5 在 medium 档比 high 档低 2.5 分，成本只有七成；low 档比 high 档低 8 分，成本只有三分之一。这种交换在能验货的活上，怎么换都不亏。

第二条，结果不能自动校验的，判断、研究、架构、写作，别整条链路都交给一个模型。隔一段时间，拿同一个任务换一个模型重跑一遍，看结果差多少。这动作很土，可那位研究员就是这么发现问题的，他没做任何分析，他就是换了个模型。

第三条，把「卡住」当成信号，别当成故障。一个任务卡了半天，第一反应通常是我 prompt 写得不对、工具没接好、环境有问题，然后你在错误的方向上折腾一整天。下次可以先花五分钟，换个模型跑同一段。换了就通，问题就不在你。换了三个模型都卡，那才是真卡住，这时候再回头查环境。

回到那个研究员。他做的事特别朴素，一个项目好几天没进展，他换了个工具，然后它通了。

我们总想给复杂的东西找复杂的解释。可这次最值钱的线索，可能就是一个普通的工作日下午，有人觉得不对劲，然后换了个模型。

仪表盘还在那儿转，指针都正常。车不走。

谢谢你看我的文章，我们，下次再见。

/ 作者：青玉白露