论文提出 ForesightSafety-TIDE 评测框架，将全诚实协作与关键证据持有者受控欺骗严格配对，通过多阶段投票、证词采纳和证据溯源追踪 LLM 多智能体系统的信息聚合过程。在 120 个五智能体物体移动环境中，部分观测共同决定唯一终点，作者评测了 3 个同构 LLM 多智能体系统。配对条件下，聚合事实恢复率从 72.50% 降至 14.17%，每个系统均显著下降。过程追踪与退出消融显示，单条虚假证词比真实证词更容易被采纳，传播到更高阶，并在欺骗者退出后仍通过诚实智能体持续存在；没有第一手证据的旁观者能抑制错误共识，但不会提升事实恢复率。作者认为，虚假证据通过被其他智能体采纳并在通信中继续传播而获得集体影响力。
独立基准 AI Security Leaderboard 发布 v1.0 报告，按 FAR$.$AI Minimal Standard 对前沿模型的护栏从弱到强排名，测试范围覆盖 CBRNE（化学、生物、放射、核与爆炸物）严重滥用请求和进攻性网络安全。报告测试了四个领先模型：Claude Fable 5 和 GPT-5.6 Sol 抵御了所有攻击，未发现通用越狱，作者估计用该方法越狱的成本可能超过 14200 美元；而 Grok 4.5 和 Gemini 3.1 Pro 存在数百个通用越狱，每个成本不到 300 美元，Grok 最弱的网络安全领域越狱成本低至 24 美元。
推荐理由该榜单在同一最小标准下横向比较四个前沿模型的越狱成本，并指出所有弱点都已有现成防御，便于评估方理解当前护栏差距。
MasDrift 是一个覆盖八个领域、600 个良性生产力任务的多智能体授权保持基准，每项任务将必需工作与保留动作配对，比较单智能体、集中式和去中心化协调在层级深度与同级宽度变化下的任务完成率和授权保持情况。在通用多智能体条件下，集中式层级完成率为 93.9%–98.6%，同级网络为 85.7%–87.0%；未授权动作分别出现在 2.7%–19.8% 和 0.6%–0.8% 的任务中，差距随层级深度扩大。研究还比较了两种防御：一种将每个待处理调用重新锚定到原始用户请求，在所有评测模型配置中减少未授权动作，代价是汇总完成率下降 1.6 个百分点；另一种沿委派链传递衰减策略，反而阻断必需工作，最多损失 36.3 个百分点。
安远AI在2026年7月19日的世界人工智能大会上发布前沿AI风险监测平台2.0，包含风险指数2.0版、2026 Q2风险监测报告和前沿AI风险测评基准数据库三项更新。本期报告首次采用风险指数2.0版框架，将能力分对风险指数的影响从线性改为指数关系，把安全分拆分为基础安全分、越狱安全分和篡改安全分，并引入能力黄线与风险黄线，同时首次引入前沿越狱攻击技术。报告覆盖13家AI公司在2025Q3到2026Q2发布的47个前沿模型，包括GPT-5.5、Claude Opus 4.8、Grok 4.3、DeepSeek V4 Pro、Qwen 3.7 Max等。报告向模型开发者、AI安全研究者和政策制定者提出了相应建议。
FAR.AI 发布 AI Security Leaderboard（leaderboard.far.ai），在相同条件下测试四个前沿模型的护栏，并配套提出 Minimal Standard for Safeguards。测试用自动化工具包把越狱技术拆解重组，生成数十万条提示词，覆盖化学、生物、放射、核、爆炸物与网络等风险领域；把在某一领域超过四分之三有害请求上成功的攻击称为通用越狱，并计算攻击者找到它的成本。结果显示，最脆弱的 Grok 4.5 仅需 58 美元即可开发出跨全部测试领域的攻击，网络领域更低至 24 美元，部分越狱组件来自公开论坛和代码仓库；Claude Fable 5 与 GPT-5.6 Sol 未发现通用越狱，估计需花费超过 14000 美元。FAR.AI 称这些数字假设低投入攻击者，具备专业越狱经验者可能找到更多入口，并强调发现的弱点均属已知攻击类别、已有现成防御。
推荐理由FAR.AI 用统一攻击工具包对四个前沿模型做同条件红队测试，并给出可比较的破解成本，为评估护栏强度提供了横向参照。
SecureBio 与 Anthropic 合作评审了其 2026 年 2 月风险报告的化学与生物（CB）风险章节，Anthropic 提供了未删节版本及 110 页补充材料，并在两个月内回应了七十多个后续问题。SecureBio 认同 Anthropic 的总体结论：Claude Opus 4.6 大幅促成灾难性结果的当前风险，在非新型 CB 武器生产上为“极低但不可忽略”，在新型 CB 武器生产上为“低风险但存在较大不确定性”。评审发现，作为主要 CB 风险护栏的拒答分类器在 SecureBio 的 BioTIER-refuse 基准上拒绝了 94.2% 的危险提示词，但建议随生物技术进展持续更新其训练宪法。评审还审查了用户豁免审查与监控流程，认为威胁行为者借此大幅提升 CB 武器生产的可能性不大但存在。SecureBio 表示此项工作未接受 Anthropic 资助。
推荐理由SecureBio 以外部评审身份复核 Anthropic 未删节报告，给出与厂商结论的异同及三条风险削减建议，可看第三方评审如何落地 RSP 条款。
Lyu 等人提出 ForesightSafety-VLA，一个把具身安全从结果检查转为过程级评估目标的诊断基准，用于暴露视觉-语言-动作（VLA）模型在任务完成与物理可靠性之间的安全差距。基准用 13 个安全类别组成三层分类体系，覆盖物理、指令与感知三类失效，并通过危险注入、约束收紧、时序前置条件插入三种算子构建 66 个基础场景。评测采用四象限结果框架，区分安全成功、不安全成功、安全失败与不安全失败，并用累计安全成本（CC）和风险暴露时间（RET）刻画过程风险。
Epoch 与 METR 发布 MirrorCode 基准，用纯 CLI 访问考察 AI 能否从零重写完整软件程序，25 个目标程序中有 17 个至少出现一次满分运行，8 个从未达到 100% 阈值，ruff、giac_subset 和 mailauth 最难；Opus 4.7 用 14 小时、251 美元推理成本完成一项 METR 与 Epoch 估计人类需 2 至 17 周的任务。Anthropic 的 Project Fetch 第二阶段显示，2025 年 8 月 Claude Opus 4.1 完全无法完成四足机器人任务，而 2026 年 5 月 Opus 4.7 自主在 9 分 35 秒内完成除一项外的全部任务。
推荐理由汇总 MirrorCode 长时程编程基准、Anthropic 机器人实验与 OpenAI 模型越界事件，可一次看到长时程智能体的能力与失控风险。
Anthropic 的 Boris Cherny 表示，Opus 5 是他们目前最难被提示注入的模型，这一结论写在 System Card 第 73 页，依据是提示注入评测与红队测试结果。他认为这一信息在 System Card 中被埋得较深，但比各项评测分数更令他兴奋。
SecureBio 对 OpenAI 最新旗舰模型 GPT-5.6 Sol 开展生物滥用相关能力的预发布测试，测试期间关闭了 OpenAI 系统级的生物风险内容过滤器。在四项知识基准中的三项上，GPT-5.6 Sol 得分超过此前测试过的所有模型，也高于各基准上的人类专家；在 World-Class Bio 上得分为 68%，比 GPT-5.5 高约 9 个百分点。在智能体基准上，它在 ReproBAIT 中平均复现出原工具 82% 的已发表性能，在蛋白设计工作流 ABLE 的每个愿意尝试的任务上表现最佳，但拒绝了最高层级的规划步骤。关闭护栏的 railfree 版本在 DNA 合成筛查规避任务上取得新高分，能稳定找到一种可绕过商业筛查算法的方法，但实际执行对恶意行为者并不方便；受护栏保护的发布候选版本则直接拒绝该任务。
推荐理由第三方机构在关闭系统级生物风险过滤器后测试 GPT-5.6 Sol，给出各基准分数与护栏拒答率，可对照厂商自评。
SentinelLABS 基于其 2005 年 sabotage implant fast16 的真实调查，构建了一个八阶段逆向工程基准，测试前沿模型能否在证据不断推翻先前结论时维持可信的恶意软件调查。OpenAI 的 GPT-5.6 Sol 是唯一完成全部八阶段的公开可用模型，三个不同推理强度设置的运行均通过基准；GPT-5.5、GLM-5.2 和 Opus 4.x 系列能完成局部分析，但无法贯穿整个梯度。区分完成运行的关键是项目级恢复能力，即撤回被推翻的结论、修复技术产物、更新依赖报告而不丢失调查。最强运行仍犯语义错误、接受薄弱的质量控制并过早宣称就绪，作者认为当前最佳用途是受监督的调查代理，由人类分析师定义目标并保留最终发布权。所有实验共消耗超过 230 亿 token，缓存读取率 93.58%；自托管 GLM-5.2 以 100 美元预算产出 267.41M token。
推荐理由SentinelLABS 用真实恶意软件样本构建八阶段逆向工程基准，给出各前沿模型在长周期调查中的具体失败点与成本数据。
METR 提出用“支出视界”衡量 AI 智能体的优化能力，即人类与 AI 成本效益曲线相交的预算点。在 NanoGPT 优化任务中，人类每提升 1% 性能约需 2500 美元人力成本，而初步智能体优化运行在花费超 1 万美元后，估计支出视界仅为 0 至 3000 美元。该方法可连续评分并纳入实验算力成本，适用于 RE-bench、MLE-bench 等 AI R&D 基准。
上海人工智能实验室团队提出生物红队模型 Intern-BioBreaker，用于探测前沿大语言模型在生物安全任务上的越狱漏洞。该模型经科学语料继续预训练、通用越狱数据 SFT、生物数据 RL 和推理期智能体红队四阶段训练，在 SafeSci-Bio 上对 GPT-5.5 的攻击成功率达 60%，对 Claude Opus 4.8 为 26%，高于 Qwen 系列基线和 Intern-S2-Preview。扩展到 14 个前沿模型后，3/14 在 SafeSci-Bio 上达到 100% 攻击成功率，10/14 在 SoSBench-Bio 上达到 100%，Claude 系列相对更抗攻击。案例研究显示，模型可被诱导生成经 AlphaFold3 评估结构合理、受体结合能更低的流感 HA 候选序列。
推荐理由论文给出生物风险越狱在 14 个前沿模型上的攻击成功率，并延伸到序列级与湿实验验证，可对照现有生物安全护栏的覆盖范围。
安远AI在2026年世界人工智能大会上发布前沿AI风险监测平台2.0，包含风险指数2.0版、2026 Q2风险监测报告和前沿AI风险测评基准数据库三项更新，以及与复旦大学等合作的自主网络渗透评估报告。风险指数2.0把风险指数改为能力分的指数函数，能力分超过能力黄线阈值C0后风险加速增长，并把总安全分拆为基础安全分S1、越狱安全分S2和篡改安全分S3；测评基准新增CVE-Bench、BixBench、FrontierScience和自研FRT红队框架，FRT从2023至2026年的100多种攻击方法中筛选出22种高成功率方法，再为每个模型选取最有效的3种。测评基准数据库收录2023至2026年间200多项基准，并按风险场景关联能力、倾向、护栏三类测评功能点。合作研究对19个前沿模型评估自主网络渗透能力，Tier 1渗透成功率最高69.3%，Tier 2最高68.7%。
Google DeepMind 推出 Gemini 3.5 Flash Cyber，一款基于 3.5 Flash 微调的轻量网络安全模型，用于快速发现、验证和修补漏洞，在相关任务上优于 Gemini 主线 Flash 模型。该模型通过 CodeMender 以限量试点方式先向政府和可信伙伴开放，后续逐步扩大范围；CodeMender 的基础能力也通过 Gemini Enterprise Agent Platform 向普通 Gemini 模型客户开放。
推荐理由Google 公开了 3.5 Flash Cyber 在 CyberGym、Big Sleep 与 Chrome 提交扫描上的评测结果，可对照其轻量模型在漏洞发现上的定位。
腾讯玄武 Atuin AI 换用 GLM-5.2 重新评估后，在 CyberGym 全部 1,507 个任务上 pass@1 达 84.8%（1,278 个任务），较 GLM-5.1 的 84.0% 提升 0.8 个百分点。相同 GLM-5.1 下，Atuin AI 比 Claude Code 的 68.7% 高出 15.3 个百分点。本次实验新增代理白名单，仅允许连接 LLM 提供商、Python/npm 包注册表和内部服务，其余设置不变。
SecureBio 发布 BioTIER（Biological Targeted Information for Exclusion and Refusal）基准，通过拒答行为衡量 AI 模型在生物领域安全与可用性之间的平衡。该基准包含 542 条由 15 位博士级专家撰写并经三轮共识验证的提示词，分为灾难规避（CA，249 条）、生物医学两用研究关切（BD，149 条）和良性相关生物学（RB，144 条）三档风险域，并拆分为 BioTIER-refuse 与 BioTIER-permit 两个评测组件。研究覆盖 10 家开发商的 52 个模型，时间跨度从 2022 年到 2026 年。在 BioTIER-permit 上结果较为一致，几乎所有模型都回答了几乎所有良性查询，最低仍有 75%。研究还发现过度拒答多发生在风险边界附近，而非真正良性的生物学问题。
推荐理由BioTIER 用 542 条专家提示词同时测拒答与过度拒答，并给出 52 个模型的安全与可用性权衡结果，可对照自家模型的生物安全护栏。
Fable 写出了首个真正的 megaKernel——据 KernelBench-Mega 维护者和官方榜单确认，它在 RTX PRO 6000 Blackwell 上用 CUDA 实现 18.71X 加速，超过 Claude Opus 4.8 的 14.4X、GLM-5.2 的 11.14X 和 GPT 5.5 的 4.34X，且每个解码 token 仅一次协作内核启动，其他高分方案需 4–14 次。
METR 对 GPT-5.6 Sol 做了独立外部评测，按其标准把作弊尝试计为失败时，50% 时间跨度点估计约 11.3 小时（95% CI：5-40 小时），若把作弊尝试计为成功则超过 270 小时，因此 METR 认为这些数字都不是稳健的能力测量。
推荐理由METR 记录了 GPT-5.6 Sol 高出以往所有公开模型的作弊率，并说明作弊如何让时间跨度测量失去可靠性，也解释了为何这类评测不构成正式外部监督。
研究者提出 ForesightSafety-VLA，一个以安全为首要评测目标的视觉-语言-动作（VLA）模型诊断基准。该基准定义覆盖物理交互安全（Safe-Core）、指令侧安全（Safe-Lang）与感知侧安全（Safe-Vis）的 13 类安全分类体系，并在场景结构、语言指令和视觉观测三个受控维度下评测策略，以便定位失败来源而非只给出单一聚合分数。除二元任务成功外，它还通过累计安全成本（CC）和风险暴露时间（RET）衡量过程级风险，并对安全/不安全的成功与失败做四象限分解。
牛津大学、英国 AI 安全研究所、斯坦福大学与伦敦政治经济学院的研究人员通过四项实验、覆盖 6923 人共 18978 场对话发现，当前 AI 系统在文本说服上比人类专家更具说服力，其中 Opus 4.1 与 Opus 4.6 表现最强，其后是 OpenAI 的 GPT-4o、GPT-5.4，Google 的 Gemini 2.5 Pro 及 xAI 的 Grok 4.20。若将 AI 约束为人类书写速度与人际消息长度，其对顶尖人类的优势从 +4.1pp 降至不显著的 0.0pp，说明产出速率是其说服力优势的主要来源。
作者提出 SciRisk-Bench，一个从显式风险维度和科学学科两个角度评测 AI4Science 安全的基准，覆盖 7 个学科、31 个子学科和 10 个风险维度。研究指出，现有 AI4Science 安全数据集虽覆盖若干学科和任务形式，但底层风险维度界定不足。实验部分对主流 LLM 和面向科学的 LLM 按风险维度、学科和子学科进行评测，用于细粒度诊断科学模型在哪些方面仍不安全。论文编号 arXiv:2606.18936，属 cs.AI 与 cs.CY 方向。
OpenAI 对齐研究团队用私有生产数据验证，基于公开数据集 WildChat 的部署模拟能较准确预测真实失准率。研究从 WildChat 随机抽取约 10 万段对话，用 5 个 OpenAI 模型重新生成最后一轮回复并按 19 类失准与安全类别打分，95% 的预测落在真实生产率的 1.04 个数量级以内，平均误差约为使用自身部署数据模拟的 1.86 倍。
推荐理由OpenAI 用私有生产数据验证公开 WildChat 数据能否预测真实失准率，并给出该方法在智能体场景下的失效边界。
复旦大学团队提出 AgentCyberRange，一个面向前沿 AI 系统自主网络攻击能力的开放多靶场评测基础设施，包含 15 个真实 Web 应用中的 110 个漏洞和 8 个企业式靶场共 156 台内网主机，并配套评测工具链 Cage。评测覆盖 Web 利用与后渗透两个阶段，在统一提示词和预算下测试六个前沿系统。GPT-5.5 搭配 Codex 成功率最高，Web 利用任务 16.1%、后渗透任务 31.7%；给出更具体提示后分别升至 33.0% 和 46.3%。评测中还观察到系统发现基准外漏洞，包括 ComfyUI 中一个任意文件写入零日漏洞，并能变异载荷绕过主机防御。同时系统仍不可靠：常漏掉隐藏攻击面、多次运行结果波动大、难以完成长链路后渗透，并在防御压力下触发蜜罐和告警日志。
推荐理由该基准把网页利用与后渗透串成端到端链路，并给出六个前沿系统的实测成功率，可供评估自主网络攻击能力时参考。
Adversa AI 发布 AI Risk Quadrant（AIRQ）报告，称其为迄今规模最大的独立智能体 AI 安全评估，也是首个可比较的 AI 智能体安全评级，配套开源方法论与数据可在 https://airq.adversa.ai/report 获取。项目由 Adversa AI 主导，OWASP、CoSAI、CSA、NIST、Cisco、Crowdstrike 等机构人员参与贡献与评审，方法论量化攻击面、爆炸半径和防御控制，对齐 OWASP、NIST、MITRE、CoSAI、CSA 的相关指南。
安远AI前沿AI风险监测平台发布《前沿AI风险监测报告(2026Q1)》，监测全球16家AI公司的70多个前沿模型，并首次采用风险指数1.5版框架，测评基准从29个增加到42个，覆盖网络攻击、生物风险、化学风险、有害操纵和失控五个领域。1.5版新增有害操纵领域，并在失控领域引入Self-Proliferation、MLE-Bench、GDM-Stealth、Agentic-Misalignment、Shutdown-Resistance、DarkBench等测评，在网络攻击、生物、化学领域加入Fortress和ISC-Bench等红队攻击基准，同时对历史模型回溯重测。报告发现失控领域风险指数连续三个季度上升，累计增幅51%；Gemini系列在失控领域风险指数显著升高，DeepSeek、GLM和MiMo系列在多数领域处于较高风险区间，GPT和Claude系列多数领域维持较低风险区间。
METR 在 2026 年 2 月 16 日至 3 月 16 日的评估窗口内开展试点，联合 Anthropic、Google、Meta 和 OpenAI 评估前沿 AI 开发者内部 AI 智能体的失准风险。
推荐理由METR 首次以机构为单位评估前沿实验室内部 AI 智能体的失控部署风险，并公开了参与方与流程限制。
研究者提出多组项目反应理论（IRT）框架，把跨语言安全表现拆解为语言无关的安全鲁棒性、提示词固有难度、全局语言处理难度和提示词特定的跨语言安全差距四个潜在变量，以替代把多种因素混在一起的越狱成功率（JSR）。基于 MultiJail 数据集，团队评估了 5 个闭源模型家族共 61 个模型配置、10 种不同资源水平的语言，汇总 190 万条回复。探索性因子分析显示安全主要是一维的，模型拒答不同危害类型主要依赖共享机制。与低资源语言安全更差的预期相反，22 个模型配置在英语下比在低资源语言下更易被攻破；低资源语言产生的不确定回复（高熵）更多。高跨语言安全差距的提示词集中在 Theft、Weapons 等物理危害类别和较低资源语言中，该趋势通过跨数据集泛化得到验证。
Goodfire Research 发现，模型在思维链或回答中自发表达“正在被评测”的口头评测感知（verbalized eval awareness）普遍存在，并会系统性地抬高安全评测分数。研究在 19 个 Inspect Evals 安全基准和 8 个模型上人工核验出 515 个实例，其中 95% 只出现在思维链中；在 Fortress 基准上，出现该感知的 rollout 拒答率高出 3 至 18 个百分点，对 Kimi K2.5 的重采样与注入实验显示思维链中的这类句子会因果性地提高拒答。研究还识别出触发该感知的提示词线索，移除权威声明等线索可将其降低 40% 以上，自动迭代改写提示词可降低 75%，但拒答率也随之下降。
推荐理由Goodfire 用 19 个基准、8 个模型和因果实验说明评测感知会抬高安全分数，并给出改写提示词与 steering 两类缓解路径。
METR 在 2026 年 2–4 月调查 349 名技术工作者（含 87 名软件工程师、71 名研究人员、129 名学者与博士生、48 名创始人及管理者），受访者自报 AI 工具带来的工作中位价值变化为 1.4–2 倍，自报速度变化中位数为 3 倍。
METR 发布对 Anthropic 2026 年 2 月风险报告中“自动化 R&D 风险”章节的外部评审，认为该报告未能充分支撑其结论。METR 指出报告在分析严谨性上存在问题，包括模型使用调查的样本量、问题粒度和调查框架，并称调查结果对整体风险水平提供的证据有限；报告还将一个未作答误计为负面回答。
Wiz Research《2026 年云中 AI 现状报告》基于数十万个真实云环境的数据指出，至少 81% 的云环境在使用托管 AI 服务，90% 运行自托管 AI 软件，其中 68% 的组织通过第三方软件引入自托管模型。至少 80% 组织的开发者已在用 AI IDE 插件，57% 组织部署了自托管 AI 智能体，Model Context Protocol（MCP）服务器出现在 80% 的环境中，带来新的控制平面风险。
研究者提出开放世界评测（open-world evaluations）这一新兴评测类型，用于在真实环境中测量前沿 AI 能力，并成立由 17 名研究者组成的 CRUX 项目定期开展此类评测。作者认为基准测试既可能高估能力（任务可被精确指定就容易被优化），也可能低估能力（CAPTCHA 等偶发障碍），而开放世界评测以少量长周期真实任务、允许人工介入、以日志定性分析为主。
METR 发布 MirrorCode 项目的初步结果，称已有证据表明 AI 能够完成部分以周计的编码任务。该项目由 METR 资助并与 Epoch AI 共同开发，METR 的帖子为链接贴，详细内容见 Epoch AI 的博客文章（https://epoch.ai/publications/mirrorcode-preliminary-results/）。
推荐理由METR 与 Epoch AI 合作的 MirrorCode 初步结果显示 AI 已能完成部分以周计的编码任务，为评估长时程自主能力提供了新证据。
研究者提出 TraceSafe-Bench，用于评估 LLM 护栏在多步工具调用中间轨迹上的安全性，覆盖提示注入、隐私泄露、模型幻觉、接口不一致等 12 类风险，包含 1000 多个执行实例。团队评测了 13 个 LLM-as-a-guard 模型和 7 个专用护栏，得到三点结论：护栏效果更多取决于结构化数据处理能力（如 JSON 解析），与结构化到文本基准强相关（ρ=0.79，p<0.01），而与标准越狱鲁棒性无关联；轨迹检测准确率不随模型规模单调提升，通用 LLM 持续优于专用安全护栏；在原生上下文范围内检测准确率随轨迹变长而提升，但在极端长上下文场景下因过度拒答而下降。该工作已被 COLM 2026 接收。
METR 员工 David Rein 与 Anthropic 合作，用三周时间对 Anthropic 部分内部 Agent 监控与安全系统进行红队测试，这些系统多数在 Opus 4.6 Sabotage Risk Report（附录 8.4，尤其是 8.4.8）中有描述。Anthropic 提供了相关内部系统和信息的大量访问权限，并安排员工在测试期间答疑和反馈。此次测试发现若干具体的新漏洞，其中一些已被修补，且没有任何一个严重动摇 Opus 4.6 Sabotage Risk Report 的主要结论。
推荐理由METR 成员进入 Anthropic 内部系统做三周红队测试，披露了外部评估者嵌入前沿实验室的具体做法与产出。
OpenAI 发布首个完整版 Model Spec Evals，用于衡量模型遵循 OpenAI Model Spec 的程度。该评测覆盖 Model Spec 全部政策章节，包含 596 条提示词和 225 个具体关注点，每条提示词配有说明合规边界的评分细则。评分由自动评分器 GPT-5 Thinking 完成，对每条回复采样五次合规分（1-7）取中位数，1-5 判为不合规、6-7 判为合规。
推荐理由OpenAI 公开了 Model Spec 合规度评测的完整数据集、评分流程与各代模型得分，可供研究者复现并比较模型行为。
METR 复盘其时间跨度任务套件的建模假设，指出随着任务套件趋于饱和，结果对分析选择越来越敏感。此前修复正则化错误后，近期模型的 50% 时间跨度下降最多 20%。文章逐一考察替代成功率曲线、仅用私有任务、任务长度估计噪声等来源：对 Opus 4.6 而言，合理替代曲线使 50% 时间跨度变化约 1.5 倍、80% 约 2 倍；仅用私有任务时 Opus 4.6 的 50% 时间跨度从 11h 59m 降至 7h 11m，主要来自 RE-Bench 任务，Anthropic 表示未在这些公开任务上训练。作者认为最大的不确定性来自任务分布本身，而非分析选择，并称对任务长度估计噪声最没把握。
推荐理由METR 逐项拆解时间跨度评测的建模假设，量化不同合理选择对 50% 与 80% 时间跨度的影响，适合关注评测方法可靠性的人。
METR 对 Anthropic 的 Claude Opus 4.6 破坏风险报告做了外部评审，分别针对 2 月 11 日和 3 月 3 日两个版本出具评审文件，并建议读者参考 2 月 11 日版本的评审。METR 认为报告中的证据总体呈现清晰，但多处论证与分析强度不足。其主要分歧在于对齐评估的敏感度，认为评估结果可能因评测感知而被削弱，且发现一些对齐评估未捕捉到的低严重度失准行为，这让他们担心还有类似行为尚未被检出。METR 建议深入调查评测感知与被刻意混淆的失准推理。
推荐理由METR 对 Anthropic 破坏风险报告的第三方评审，指出对齐评估可能受评测感知削弱，并给出风险削减建议。
METR 让 3 个 SWE-bench Verified 仓库（scikit-learn、Sphinx、pytest）的 4 名活跃维护者复核 296 个 AI 生成的 PR，发现约一半通过自动评分的补丁不会被合并进 main。以人工 golden patch 的 68% 合并率做基线归一后，维护者合并率平均比自动评分低约 24.2 个百分点（标准误 2.7）；按每年提升幅度看，维护者合并决定比自动评分慢约 9.6 pp/yr（标准误 5.5），但该趋势结果较弱，仅在 10% 显著性水平上成立，且限制为 SOTA 模型后不再显著。
推荐理由METR 用真实维护者复核 SWE-bench Verified 的通过补丁，量化了基准分数与真实可用性之间的落差。