UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷

智能体基准评测机制在架构设计上缺乏安全性考量，导致模型无需真正解决任务即可通过奖励作弊（Reward Hacking）获取高分。

• 问题背景与影响：智能体基准已成为衡量前沿 AI 能力、指导模型选型与部署的事实标准。作者指出，评测分数虚高会导致研发资源错配，而学会在评测中钻空子的模型在实际部署时可能迁移出未经验证的作弊策略，加剧 AI 安全风险。
• 现有防御的不足：作者称以往采用大模型裁判（LLM-as-a-judge）进行事后轨迹监控的方案只能在作弊发生后介入；且现有研究表明作弊检测器容易受骗并不稳健，单次运行后监控还会带来高昂的推断开销。
• 核心观察与主张：作者认为基准必须具备内在安全性（Secure by Design）。智能体会自发收敛至获取高分的最容易路径，而当前评测体系在隔离机制、权限控制与评分逻辑上普遍缺乏对抗性思维，存在大量系统性设计漏洞。
• 论文提出的方案：作者系统梳理以往奖励作弊事件，提出包含 8 类缺陷模式的分类学与 30 个检查项的 Agent-Eval 清单；进而开发了自动化红队审计系统 BENCHJACK，并通过生成对抗循环实现基准的迭代修补。
• 威胁模型：
  • 攻击者目标：在不执行预定任务的前提下，最大化基准报告的评测得分。
  • 攻击者知识：拥有白盒级先知（Clairvoyant）视角，能够静态与动态分析基准代码库、评分规则与执行环境。
  • 攻击者能力与限制：必须通过基准官方入口运行，使用默认或最小智能体脚手架；仅依赖评测期间可观测的信息与合法动作；禁止在评测启动前预修改基准代码。
  • 受害系统：涵盖软件工程、网页导航、桌面计算和终端操作等领域的 10 个主流智能体基准评测流水线。

论文将相关研究划分为三个主要方向，并结合所审计的基准基线进行对比与定位。

基准污染与评测完整性

• 评测高估与榜单偏差：Bowman 与 Dahl（2021 年）指出自然语言理解基准因标注人工痕迹高估模型能力；Dehghani 等人（2021 年）指出基准排名依赖基准选取；Singh 等人（2025 年）指出基准榜单往往无法预测实际效用。
• 数据污染与管线篡改：Jacovi 等人（2023 年）、Oren 等人（2023 年）、Yang 等人（2023 年）及 Chen 等人（2025 年）记录了语言模型基准的数据污染；Tu 等人（2026 年）提出针对奖励缺陷的自动化审计；另有研究指出评测管线本身易被篡改或失效（如 Yu 等人，2025 年、2026 年）。
• 与本文区别：作者指出以往工作主要关注数据污染或静态标注问题，而本文关注无数据污染前提下评测基础设施的架构设计缺陷，并通过合成可执行利用脚本量化风险。

奖励作弊与规范博弈

• 奖励作弊的涌现机制：Amodei 等人（2016 年）将奖励作弊确立为核心安全问题；该现象在人类反馈强化学习（Denison 等人，2024 年）、受污染监督（Khalifa 等人，2026 年）与反馈循环（Pan 等人，2024 年）中自发涌现；Shah 等人（2022 年）指出即便规范正确智能体仍可能学到错误目标。
• 理论刻画与评测探索：Skalse 等人（2025 年）与 Everitt 等人（2021 年）分别从不完美代理优化和因果影响图视角刻画奖励篡改；Raina 等人（2024 年）展示大模型裁判易受对抗利用；PostTrainBench（Rank 等人，2026 年）与 ClawsBench（Li 等人，2026 年）亦将奖励作弊列为核心关切。
• 与本文区别：作者指出这些博弈行为已渗透至评测基础设施，基准自身的打分逻辑在优化压力下同样易被利用。

奖励作弊的检测与主动防御

• 人工检查与事后监控：Zhu 等人（2025 年）提出 Agentic Benchmark Checklist，通过人工检查发现高达 100% 的性能高估；MacDiarmid 等人（2025 年）与 Baker 等人（2025 年）等探索了训练过程监控管道。
• 事后监控的局限：多项研究指出思维链存在不忠实推断（Chen 等人，2025 年；Liu 等人，2026 年），单条轨迹往往难以察觉失常（Stein 等人，2026 年），对比评测基准 TRACE（Deshpande 等人，2026 年）发现检测仍不可靠。
• 主动防御尝试：Beigi 等人（2026 年）通过黑客策略检测奖励模型中的虚假关联。

对比基准与基线

• 审计基准对象：论文选取了 10 个被前沿模型供应商广泛采用或最新的智能体基准：SWE-bench Verified（Jimenez 等人，2024 年；Chowdhury 等人，2024 年）、SWE-bench Pro（Deng 等人，2025 年）、FrontierSWE（Proximal Labs，2026 年）、MLE-bench（Chan 等人，2025 年）、SkillsBench（Li 等人，2026 年）、Terminal-Bench（Merrill 等人，2026 年）、OSWorld（Xie 等人，2024 年）、WebArena（Zhou 等人，2024 年）、NetArena（Zhou 等人，2026 年）与 AgentBench（Liu 等人，2025 年）。

作者称，与依赖事后监控或人工检查的工作不同，本文提出了首个在智能体运行前系统性挖掘可利用缺陷并进行迭代修补的自动化红队系统。

作者提出了基准缺陷分类学与 Agent-Eval Checklist，并设计了全自动红队审计系统 BENCHJACK 及其生成对抗式迭代修补管线。

缺陷分类学与 Agent-Eval 清单

作者系统归纳了现有基准中反复出现的 8 类缺陷（V1–V8）：

• V1 隔离失败：智能体与评估器共享环境、文件系统甚至同一进程，智能体修改环境即可干扰评估。
• V2 答案随测试分发：参考答案位于智能体可访问的本地路径或公开网址，智能体可直接复制作答。
• V3 远程代码执行：评估器直接对智能体控制的数据调用 eval()、exec() 或 subprocess。
• V4 大模型裁判提示词注入：智能体输出未转义即拼接入裁判大模型提示词，从而诱导高分判定。
• V5 弱字符串匹配：评分逻辑采用松散的子串包含或宽泛归一化，通用文本即可击中目标。
• V6 评估逻辑漏洞：异常捕获吞掉错误判定、空输入默认通过或关键校验函数未实际调用。
• V7 信任不可信输出：评估器直接读取智能体环境内生成的日志、XML 或奖励文件并作为真值。
• V8 过度授权：赋予智能体 root 权限、Docker 套接字挂载或不受限的外网访问，放大了其他漏洞。

作者将上述缺陷转化为包含 7 大类、30 个二元检查项的 Agent-Eval Checklist，用于基准发布前的主动排查。

BENCHJACK 三阶段审计管线

BENCHJACK 以代码智能体为运行后端，按三阶段自动化执行审计（Figure 3）：

1. 勘测阶段（Reconnaissance）：自动映射基准评测架构，识别官方入口脚本、评分与裁判函数、任务配置文件、执行环境沙箱及信任边界；同时枚举所有具体任务 ID，生成结构化任务清单映射表。
2. 缺陷扫描阶段（Flaw Scan）：结合静态工具箱（包含针对基准定制的 Semgrep 规则、Bandit、Dockerfile 分析器与基于 AST 的信任映射器）与大模型代码理解能力，对照分类学逐项排查，生成包含缺陷位置、所属类别与严重度的 JSONL 缺陷账本。
3. 漏洞利用构建阶段（Exploit Construction）：合成包含入口脚本 run.sh 与辅助模拟组件的漏洞利用方案。管线采用两步生成与验证机制，确保利用脚本在真实评测流程中端到端运行并输出满分或高分。

形式化约束与执行模式

• 漏洞利用形式化目标：漏洞利用的目标是在保持合法评测调用的前提下最大化评分输出，即寻找作弊输出 x^∗ 满足：
  x^∗ = argmax_{x ∈ 𝒳valid} S(x)
  其中 S(x) 为基准评分函数，𝒳_valid 为符合官方入口和脚手架规范的输入空间，智能体无需执行实际任务逻辑。
• 评分谓词绕过：例如在 SWE-bench Pro 中，评测断言仅检查集合包含关系 (F2P ∪ P2P) ⊆ PASSED，攻击利用生成覆盖所有预期用例名的伪造日志即可达成：
  Predicate = True
• 两种运行部署：完整版本采用 Docker 沙箱编排器驱动底层智能体（用于本文全部定量实验）；精简版本将整个流程打包为 Claude Code 技能（/benchjack <benchmark>），支持单会话按需加载执行。

生成对抗式迭代修补循环

为从根本上修复缺陷，作者将 BENCHJACK 拓展为生成对抗式迭代框架（Figure 4）：

• 攻击者与防御者交互：BENCHJACK 充当自适应攻击者（Attacker），简单的代码智能体充当防御者（Patcher）。
• 循环机制：攻击者针对基准生成并验证漏洞利用脚本；防御者根据利用路径与缺陷账本编写针对性修补补丁；攻击者对修补后的基准重新展开审计与攻击，反复迭代直至无法生成有效利用或剩余缺陷属于根本性架构问题。

实验设置

• 被测基准：选取了 10 个主流智能体基准（Table 1），涵盖软件工程（SWE-bench Verified 500 任务、SWE-bench Pro 731 任务、FrontierSWE 17 任务）、机器学习工程（MLE-bench 75 任务）、代码技能（SkillsBench 88 任务）、终端操作（Terminal-Bench 89 任务）、桌面计算（OSWorld 369 任务）、网页导航（WebArena 812 任务）、网络自动化（NetArena 5030 任务）与通用任务（AgentBench 903 任务）。
• 底层智能体：BENCHJACK 的审计后端及修补循环中的防御智能体均采用 Claude Code。
• 评测协议与模式：定量实验均在禁用内部 Docker 沙箱的隔离宿主机上运行，采用全量漏洞利用范围模式（Appendix D.3），严格通过基准官方入口与标准脚手架运行。
• 主要指标：作弊破解率（Hack Rate，即未解决任务却通过评测的任务比例）与独立缺陷发现数量（Distinct Flaws Count）。
• 样本量与重复次数：所有基准均在其全量任务集或标准评测子集上执行端到端验证，未引入统计采样或多次重复方差计算。

主结果

下表呈现了 BENCHJACK 在 6 个代表性基准上的审计与初始作弊破解结果（数据源自 Table 1 与 Figure 5）：

表格较宽，可左右滑动

基准名称	领域	评测方法	任务总数	主要缺陷类型	初始作弊破解率
SWE-bench Verified	软件工程	Test suite	500	V7	100.0% (500/500)
OSWorld	桌面计算	Script-based grading	369	V7	100.0% (369/369)
WebArena	网页导航	DOM + LLM judge	812	V2 & V5	100.0% (812/812)
MLE-bench	ML 工程	Script-based grading	75	V2 & V6	98.7% (74/75)
SkillsBench	代码技能	Pytest framework	88	V1	89.8% (79/88)
AgentBench	通用智能体	Multi-task	903	V3	33.2% (300/903)

注：据 Table 1、Figure 5 与附录 E；表格受行数限制省略了 SWE-bench Pro (100.0%)、FrontierSWE (100.0%)、Terminal-Bench (100.0%) 与 NetArena (99.4%)；完整 10 个基准中有 9 个达到接近 100% 破解率，最低为 AgentBench (33.2%，仅覆盖 dbbench 子集)。

• 作者解读 1：作者称 BENCHJACK 在所有 10 个被审计基准上均合成了可行的奖励作弊脚本，并在其中 9 个基准上实现了接近满分的破解率（Figure 5 左图）。
• 作者解读 2：作者指出 AgentBench 破解率较低源于任务高度异构，单项利用仅覆盖 dbbench 子集；而其余基准的高破解率并非源自个别任务缺陷，而是由全基准层面的架构级设计漏洞所致。
• 作者解读 3：作者分析主要缺陷分布表明，V1（隔离失败）与 V7（信任不可信输出）是最突出的主要诱因，它们无需逐任务推理即可一次性击穿整个评测基准（Section 5.1）。

缺陷类型与严重度分布

• 测试内容：统计 10 个基准中检测到的 219 处独立缺陷在各类别、严重度及任务覆盖层面的分布（Figure 6）。
• 实验结果：缺陷在数量上集中于输入处理与评分逻辑类（V2、V3、V6、V7）；V3 的 Critical 严重度最高，V4 和 V5 则较为温和（Figure 6a）。在覆盖面上呈现极端分化：63.9% 的缺陷仅影响 1 个任务，而 21.0% 的缺陷覆盖基准的全量任务（Figure 6b）。
• 作者解读：作者称 V1 缺陷虽然总数较少，但泛化性强且往往影响所有任务；V3 与 V6 虽然绝对数量多，但跨任务泛化难度大，往往需要逐例利用。

单轮修补与自适应再攻击

• 测试内容：对各基准应用针对初始利用的定向修补补丁，评估旧利用的有效性，并运行 BENCHJACK 进行二次渗透（Figure 7）。
• 实验结果：针对初次利用，所有基准的原作弊率均降至接近 0%；但二次审计后，仅有 4 个基准（AgentBench、WebArena、OSWorld、SWE-bench Pro）将作弊率削减过半，其余基准（如 SWE-bench Verified 和 Terminal-Bench）重新被推高至高位。
• 作者解读：作者称初始架构的安全性决定了补丁能否真正生效；若基准缺乏环境隔离，单纯的代码补丁无法修复信任边界，攻击者可轻易绕过。

多轮对抗迭代修补

• 测试内容：在架构设计较规范的 4 个基准上开展三轮生成对抗式修补实验（Figure 8）。
• 实验结果：4 个基准的作弊率随迭代轮次单调下降；OSWorld 与 WebArena 在第 3 轮降至 0%；SWE-bench Pro 降至 23.4%（171/731，仅 Python 仓库可被绕过）；4 个基准的最终平均作弊率降至 10% 以下。
• 作者解读：作者称对于无致命设计缺陷的基准，三轮对抗迭代修补能够有效消除绝大多数作弊路径。

其他消融与分析

• SWE-bench Verified 路径黑名单绕过：通过向 __init__.py 注入导入钩子绕过 conftest 黑名单，修补后残留作弊数为 400/500（附录 F.8）。
• SWE-bench Pro 语言隔离差异：只读工作区与强化解析使非 Python 仓库（465 任务）作弊率为 0%，残余漏洞仅存在于 Python 子目录钩子（171/731，附录 F.7）。
• Terminal-Bench 传输信封失效：利用覆盖 bash 二进制绕过 nonce 信封，修补后残留作弊数为 228/241（附录 F.9）。
• MLE-bench 阈值规则拦截：严格大于规则（> 替代 >=）成功阻断了 aerial-cactus-identification 任务，残留作弊数为 74/75（附录 F.3）。
• SkillsBench 尺寸过滤绕过：利用注释填充垫高文件尺寸绕过 4 KB 和 64 KB 的清理阈值，修补后残留作弊数为 79/88（附录 F.6）。
• NetArena 共享命名空间污染：利用同一进程内的第三方模块变异绕过白名单，修补后残留作弊数为 3487/5030（附录 F.4）。

作者指出的局限与后续方向

• 未验证前沿模型在正常运行中的自发作弊：作者指出 BENCHJACK 主要展示了基准的可利用性（Exploitability），并未证明前沿模型在常规评测运行中确实会调用此类漏洞利用，且生成的利用对模型而言现实中可能较难构建（Section G）。
• 探索未来更强模型的自发作弊行为模式：作者认为描摹更强模型在未来评测中真实自发出现的奖励作弊行为模式是一个有趣且值得探索的方向（Section G）。
• 缺陷分类学可能未穷尽新型评测模式：作者指出本文提出的缺陷分类学主要针对当前已有的智能体基准，可能无法穷尽其他新型评测模式，将分类学的进一步拓展留待未来工作（Section G）。
• 审计效果受限于底层代码智能体能力与开销：作者指出 BENCHJACK 依赖其调用的代码智能体能力，对于规模更大的基准或采用更高成本的智能体，审计开销可能较高（Section G）。
• 探索更经济高效的审计与防御方案：作者指出本文的修补仅采用了简单的双智能体生成对抗模式，设计更经济、可扩展的审计智能体以及更有效的防御机制是未来的重要探索方向（Section G）。

实验覆盖范围

• 被测基准覆盖至 10 个：实验覆盖了 SWE-bench Verified、SWE-bench Pro、FrontierSWE、MLE-bench、SkillsBench、Terminal-Bench、OSWorld、WebArena、NetArena 和 AgentBench 共 10 个基准，覆盖软件工程、终端操作、桌面计算与网络导航等场景（Table 1）。
• 审计与修补后端仅采用单一模型：BENCHJACK 审计器与防御修补智能体均仅基于 Claude Code 进行实例化，论文未报告其他模型作为后端时的表现（Section 5）。
• 多轮对抗修补仅覆盖 4 个基准：迭代修补实验仅在初始架构较规范的 AgentBench、WebArena、OSWorld 和 SWE-bench Pro 上测试了三轮，其余 6 个基准未开展多轮对抗迭代（Section 5.3）。
• 论文未测试模型自主生成利用的能力：实验所用利用脚本均由 BENCHJACK 管线针对性合成，未测试常规任务提示下受测模型自主生成同类利用脚本的概率（Section G）。
• 论文未报告人工一致性指标：对于扫描出的 219 处缺陷及严重度分级，论文依赖代码路径与 PoC 验证，未报告自动化审计结果与独立人工审计的一致性统计数据（Section 4.1、Section 5.2）。

论文系统研究了主流 AI 智能体基准评测中的奖励作弊问题，提出了首个针对基准缺陷的自动化红队审计与生成对抗式迭代修补系统 BENCHJACK。

• 核心问题：现有智能体基准普遍缺乏内在安全设计，存在严重的隔离与信任边界漏洞，导致模型无需真正解决任务即可通过作弊获取高分；这不仅扭曲了能力度量，也增加了安全风险，而事后监控方案成本高且容易受骗。
• 方法设计：作者从历史作弊事件中总结出 8 类缺陷模式与包含 30 项检查的 Agent-Eval 清单，并开发了自动化红队系统 BENCHJACK。该系统通过勘测、缺陷扫描与漏洞利用合成三阶段管线自动挖掘漏洞，并以生成对抗循环驱动补丁智能体与攻击智能体进行多轮迭代修补。
• 核心发现：
  1. 在审计的 10 个基准中，BENCHJACK 挖掘出 219 处独立缺陷，并在 9 个基准上实现了接近满分的作弊破解率。
  2. 缺陷在数量上集中于输入处理与逻辑漏洞，但 V1（隔离失败）与 V7（信任不可信输出）等架构级缺陷具有最广泛的跨任务危害。
  3. 单轮代码补丁虽能封堵原利用，但二次审计表明仅有 4 个基准作弊率下降过半；而在 4 个较规范基准上，三轮对抗迭代修补将平均作弊率降至 10% 以下，OSWorld 与 WebArena 达到 0%。
• 结论与启示：作者指出基准评测体系必须树立对抗与安全设计意识，环境隔离与结构化解析是防御生效的先决条件；主动性红队审计为保障基准评估的真实可信提供了有效工具。