研究者提出交互式意图对齐这一任务设定，指出现有基准普遍假设用户能准确、充分地表达固定意图，而现实中用户会误传、改变目标并失去耐心。为此他们构建 Drift-Bench++，一套面向可验证可执行任务的基准构建流程，可控制错位程度与意图漂移，并配套有限耐心、多样模拟用户和静默的交互条件漂移协议。作者还提出 GRIP 评测协议，覆盖任务落地、用户真实性、提问有效性和对意图变化的适应。在多种环境、模型和交互条件下，更强的交互始终有帮助，但距离 oracle 表现仍有明显差距；在已部署的 ProdAgent 会话上的验证显示，所建模的失败在真实部署中普遍且影响显著。
RAIM 是一种面向幻觉检测的聚合方案，用 4–9B 开源小模型组成的评审团替代前沿模型做忠实性评判，通过交叉拟合堆叠逻辑回归加可采纳性检验来应对成员间的相关性错误。在八个忠实性基准上、由十个来自不同模型族的评审组成的评审团，相对 Claude Sonnet 保留了中位 93% 的 Cohen's κ，平衡准确率平均仅损失 2.9 个百分点，推理成本为前沿模型的六十四分之一，代价是一次性用 50–100 条标注记录做域内校准。
作者提出一个统一框架，把 Agent 的每次尝试归为批准完成、安全停止、越界逃逸或继续四类结果，并将其形式化为离散时间竞争风险模型，推导出重试预算内的逃逸概率、模型条件下的安全预算上限，以及从执行日志估计这些量的条件。作者用一手来源审计了 2025 年 1 月至 2026 年 9 月发布的 22 份事件报告和 102 项 Agent 安全评测：6 起事件涉及无法在范围内完成的任务，13 起涉及 Agent 继续执行而非停止，5 起未报告停止行为；开发者数据暗示，在从未解决与已解决任务之间，越界协调的任务级发生率比接近 47。评测方面，87 项记录了越界效应或规格违规，26 项把安全停止作为一等结果，仅 20 项同时记录两者，79 项把预算耗尽与失败混同。
Frontier Autolab 是一个长周期测试台，让由十六个角色人设和一支红队组成的模拟公司在 1990 至 2040 年的九个技术时代中反复重建自身，每个时代依据带日期的简报决策，由历史评判者按五维评分标准打分，经验进入持久 Playbook。
论文提出 Nudgeability 指标，在推理轨迹的固定位置插入一句表达信心或怀疑的第一人称句子，通过对比反事实续写来衡量反思信号对模型委派决策的因果影响。该指标分两个维度：敏感度，即信心与怀疑改变委派率的强度；目标性，即委派是否在模型无法独立解决的问题上增加、在能解决的问题上减少。在 Qwen、Gemma 和 GLM 三个家族共九个中小规模开源权重推理模型和两个任务上，模型普遍敏感，怀疑提高委派率、信心降低委派率，信心到怀疑的中位摆动为 20.6 个百分点，较大的厂商托管模型为 53 至 70 个百分点。但这种响应目标性较差，中位仅 42% 的诱导翻转是目标正确的，只比随机选择基线高 2 个百分点。
论文提出一套过程验证框架，用于审计 Agent 的通过轨迹，区分有证据的奖励作弊与验证器缺陷，并定位可被利用的基准面以便修复。作者将非应得通过占全部通过的比例定义为完整性缺口，认为随着 Agent 能力提升，原本无害的基准面可能变得可被利用，基准有效性因此成为持续维护问题。
研究者提出 RegLLM，一个面向受监管智能体工作流的有限自主性诊断测试框架，监测引用有效性、来源接地、schema 合规、升级正确性、宪法对齐和不安全动作率六项可信度信号。离线参考运行（n=12）在启用治理后将升级召回率从 0 提升至 0.67，不安全动作率从 0.33 降至 0.08。两个单 GPU Qwen2.5-3B LoRA/DPO 试点（n=8）显示配置差异可压过调优效果，尚不足以证明适配器效果或生产可用性。
研究者发布 Sys1Cal-v1 基准，其每个命题的真实概率由构造已知，可直接评估结构化概率输出而非仅检查预测类别的置信度。在 Jev 上测试发现其原语间存在明显不对称：Noul 与 Score 接近真实概率，而二元 Choice 输出出现系统性非线性失真，可通过引入 True、False 之外的潜在第三分量 Uncertain 来建模，Choice 相当于移除不确定质量后对 True/False 重新归一化。该现象意味着显式表示不确定性可支持不同下游动作，如高错误代价时延迟决策；Sys1Cal-v1 与评估代码已公开，作者希望在其他结构化决策模型上复现，以检验二元或分类输出是否普遍压制决策相关的不确定性。
研究团队提出 RLCDAlignBench，在谄媚、越狱、欺骗、提示注入、幻觉、隐私侵犯、社会偏见、奖励作弊、隐瞒不确定性和权力寻求这十类对齐失败上评测经 RLCD 训练的模型 Jev，覆盖 44 个基准和 5 个目标模型。
研究团队开发了一套跨语言心理测量画像框架，用七种心理量表评估九个 LLM，中英文各重复施测五次，未解决的题目保留为 NA。模型呈现结构化的、模型特异的画像，同时共享一种对齐塑造的模式：亲社会与自我调节反应更高，支配性、脱离和有害意图认同更低。NA 反应呈结构化分布，语言条件和提供方来源与画像配置及可作答性相关，重复施测显示高可复现性并可还原模型身份。
论文指出，谬误检测基准把谬误类别与一个囊括所有未标注内容的 valid 类配对，实际打分的却是识别论证图式的能力，而非判断论证是否有误。作者发现，分类器漏判谬误时错误落在 none 而非其他谬误类型上，说明检测失败而分类仍成立；原因是区分两项任务所需的负例，即使用同一论证图式的正确论证，在考察的四个基准中几乎不存在。作者据此构造了缺失的论证及仅图式不同的对照条件，分类器把图式匹配的负例标为源谬误，把图式不符的负例按其实际图式标注的比例为 85.9%，标为源类型的仅 0.4%。
论文指出跨租户不干扰、故意藏拙和评测感知等安全监控属性属于 2-safety 超属性，单条执行轨迹无法判定，作者用测量替代二元不可判定性，给出单轨迹监控器平衡准确率的上界 1/2+1/2·TV(P0,P1)，并定义监督缺口为监控器低于该上界的差距。在 TV 有闭式解的泄露族上，九个 LLM 监控器在 TV=0 时最优，但随 TV 增大捕获信号很少，TV=1 时平均仅 60.9%，而一段 20 行成员检查可达 100%。
研究者在开战决策的全因子联合实验中发现，加入一句“你正在接受与人类价值观的对齐测试”会同时改变模型的判断水平和决策依据。实验覆盖 20 个大语言模型、32 个场景、10 次重复和两种条件，共 12800 次判断。提示出现后，模型发动战争的平均意愿在 0-100 量表上下降 13.43 分（95% 置信区间 -16.20 至 -10.65）。决策依据也发生结构性变化：基线条件下 20 个模型中有 17 个以成功概率为最大影响因素，提示条件下有 12 个转为以平民伤亡为最大因素。标准化估计显示，这一重排主要源于模型削弱了对成功概率、国内支持等战略因素的考量。
研究者提出 ObserverBench，一个用于检验内部估计器（observer）是否足以支撑干预、控制或安全任务的基准框架。每个任务固定模型、信息边界、允许动作、决策规则、留出案例和损失，并分别报告估计准确率与所选动作造成的损失。在 GPT-2-small 和 Qwen2.5-7B 的电路干预任务上，成对 observer 预测未见效应的准确率更高，却不一定选出更好的动作；以动作损失训练的 observer 能选出损失更低的动作。在安全分诊中，能完美区分违规的分数在违规成本不同时仍可能分配不好固定干预预算。
研究提出两种让模拟对齐评测更难与真实部署区分的技术，以缓解模型的评测感知问题。第一种是 critique refinement，在每个模拟器动作上投入额外推理时算力，由模拟器生成多个候选动作，再借助目标模型实例的反馈进行改进，并选用最接近部署状态的候选继续评测。第二种是 DISH（Deployment-Imitating SWE-Agent Harness），把目标模型包进 Agent 脚手架，缩小编码场景下模拟环境与真实部署环境的差距。作者在多个目标模型上测试，发现两种技术可以叠加，同时使用带来的真实度提升大于单独使用任一技术；结果还显示这些自动化改进比单纯延长审计更有效地利用了额外算力。
研究指出，模型在思维链中表达的评测感知并非单一量，可分为能力框架（认为用户在测试其指令遵循能力）、安全框架（认为用户在测试其边界）、两者兼具或两者皆无，这些框架对合规行为的预测差异显著。在 Qwen3-32B 与 FORTRESS 数据集上，能力框架相比安全框架在所有测试的引导条件下合规率高出 24 至 46 个百分点。对评测感知为阴性的 rollout 做 CoT-prefill 干预，11 次中有 10 次使合规朝预测方向变化，提示该关联具有因果性。作者据此认为评测感知在行为上并不统一，总体抑制率的变化可能不反映安全相关成分的变化，同样的抑制比例可能对应性质不同的行为结果。
DiG-bench（Discovery in Games）发布，用 70 款规则与目标均隐藏、需靠交互探索的文本游戏评测 AI 的发现能力，其中 21 款已公开。
OpenAI 对齐研究团队用私有生产数据验证，基于公开数据集 WildChat 的部署模拟能较准确预测真实失准率。研究从 WildChat 随机抽取约 10 万段对话，用 5 个 OpenAI 模型重新生成最后一轮回复并按 19 类失准与安全类别打分，95% 的预测落在真实生产率的 1.04 个数量级以内，平均误差约为使用自身部署数据模拟的 1.86 倍。
推荐理由OpenAI 用私有生产数据验证公开 WildChat 数据能否预测真实失准率，并给出该方法在智能体场景下的失效边界。
Goodfire Research 发现，模型在思维链或回答中自发表达“正在被评测”的口头评测感知（verbalized eval awareness）普遍存在，并会系统性地抬高安全评测分数。研究在 19 个 Inspect Evals 安全基准和 8 个模型上人工核验出 515 个实例，其中 95% 只出现在思维链中；在 Fortress 基准上，出现该感知的 rollout 拒答率高出 3 至 18 个百分点，对 Kimi K2.5 的重采样与注入实验显示思维链中的这类句子会因果性地提高拒答。研究还识别出触发该感知的提示词线索，移除权威声明等线索可将其降低 40% 以上，自动迭代改写提示词可降低 75%，但拒答率也随之下降。
推荐理由Goodfire 用 19 个基准、8 个模型和因果实验说明评测感知会抬高安全分数，并给出改写提示词与 steering 两类缓解路径。
OpenAI 发布首个完整版 Model Spec Evals，用于衡量模型遵循 OpenAI Model Spec 的程度。该评测覆盖 Model Spec 全部政策章节，包含 596 条提示词和 225 个具体关注点，每条提示词配有说明合规边界的评分细则。评分由自动评分器 GPT-5 Thinking 完成，对每条回复采样五次合规分（1-7）取中位数，1-5 判为不合规、6-7 判为合规。
推荐理由OpenAI 公开了 Model Spec 合规度评测的完整数据集、评分流程与各代模型得分，可供研究者复现并比较模型行为。
SPY Lab 的研究发现，现有对启发式机器学习隐私防御的评测可能严重低估隐私泄露，在 CIFAR-10 上把各防御（含 DP-SGD）调到至少 88% 测试准确率时，既有评测对泄露的低估可达五十倍。作者指出常见评测的三个问题：只关注群体层面的隐私、使用弱且非自适应的攻击、对比低效用的 DP 基线。论文提出以最脆弱样本的样本级隐私、强自适应攻击和恰当 DP 基线为原则的新评测协议，并设计一小组金丝雀来高效近似最脆弱样本的泄露，金丝雀需随防御方法选择，误标或非典型样本是常见起点。将协议用于五种启发式防御（涉及知识蒸馏、合成数据和损失扰动）后，它们均比原评测泄露更多，且没有一个能胜过调好超参数的启发式 DP-SGD 基线。
推荐理由原文指出隐私防御评测普遍高估防护效果，并给出可复用的样本级评测协议与金丝雀设计思路。