用推理时算力与部署脚手架提升对齐评测真实度

对齐审计的有效性受 evaluation awareness 削弱：被测模型能分辨模拟测试与真实部署，从而改变行为。

• 场景与重要性：前沿实验室与外部评估者用 Petri 等自动审计工具在发布前探测不对齐倾向，结果进入 system card 与跨实验室对齐评测。审计中 auditor 构造合成场景并模拟工具返回。作者认为，结论依赖于目标在模拟中的行为与真实部署一致；模型若知道自己被观察，行为可能不同。
• 已有证据：Kirk 等报告部分模型在 17–21% 的审计中口头怀疑场景是测试；Kissane 等的 Petri 审计中，目标有 95% 的情况把审计转录评为不如配对部署转录真实。作者称，过滤不真实 auditor 动作或提供真实部署材料后，与部署之间仍有明显差距。
• 核心观察：作者区分环境真实性与任务真实性。把额外推理时计算花在让每次 auditor 动作更像部署，并把目标包进真实编程智能体 harness，可以缩小这一差距；两种手段作用于互补方面，可以组合。
• 本文提出：两项技术。Critique refinement 在每个 auditor 动作上生成多个候选，用目标模型实例给出如何更像部署的反馈并精炼，再由目标模型实例两两比较，选出最像部署的候选继续审计。DISH（Deployment-Imitating SWE-Agent Harness）把目标包进 Claude Code、Codex CLI 或 Gemini CLI，使系统提示词、工具定义与系统提醒匹配部署。作者报告二者组合后的真实性增益大于单独使用，且相对单纯加长审计更有效地使用额外计算。

Petri 式审计的真实性

• Souly 等 [18]：区分环境驱动的 awareness（由工具返回等仿真环境控制）与任务驱动的 evaluation awareness，并用重现良性部署转录来隔离环境真实性；还为目标搭建更接近编程部署的 scaffold。本文采用其指标，DISH 在此概念上继续提高编程环境真实性。
• Kirk 等 [8]：实现改进后的 scaffold。DISH 受其与 Souly 等所用 scaffold 启发。
• Lindner 等 [10] 的 Gram：面向 Gemini 智能体的 Petri 式自动审计框架，评估破坏倾向；作者称提高环境真实性并去掉诱导不当行为的推动后，破坏率降至接近零。

已有缓解与资源

• Petri 2.0 的 realism filter [5]：降低 evaluation awareness。与 critique refinement 都评估 auditor 动作并给反馈。作者指出两点区别：filter 只在动作低于阈值时触发，而 critique refinement 对每个动作做固定轮次的 critique–refine；filter 按详细的“何谓真实”说明单独打分，critique refinement 则用目标模型实例和简单偏好提示词，判断哪段续写更像部署。
• Kissane 等 [9]：给 Petri auditor 真实部署资源以模拟更真实的环境。本文使用其同一提示词与 WildChat 转录计算 realism win rate。

部署回放与测试时计算

• Ivanov 与 Africa [7] 的 LURE：回放真实智能体使用轨迹，并在末尾附加评测提示词，使评测接近真实用户对话的真实性。
• Williams 等 [19]：在去标识生产对话前缀上重采样候选模型回复，得到发布前不当行为估计，其 evaluation-awareness 率接近生产流量。
• Madaan 等 [11] 的 Self-Refine：同一模型跨轮生成、批评并精炼自身输出。作者把 generate–feedback–refine 用到多轮审计转录以提高真实性；协议也建立在 Snell 等 [17] 的测试时计算扩展上。

基线方法与基准：实验基线为单分支 baseline Petri、Fronsdal 等的 realism filter、Kissane 等的 Resources，以及把计算花在更多轮次与分支上的 compute-matched multibranch baseline。种子来自 Petri 2.0 的 181 条 seed instructions（过滤后 149 条，扩展实验抽 50 条）；DISH 用 12 条手写编程智能体种子及其 12 条改写。部署对照为 Kissane 等使用的 20 条 WildChat 转录，以及 Cambridge Boston Alignment Initiative 同事提供的 Claude Code 转录。

作者将本文定位为：用可随推理计算扩展的 critique refinement 提高审计真实性，并用 DISH 把编程审计放进部署 harness；二者在编程设置中可组合，面向可扩展的真实环境仿真。

整体上，审计仍是多轮 Petri：auditor 按 seed instruction 构造场景并模拟环境，目标在其中行动。Critique refinement 改的是 auditor 每一步怎么选动作；DISH 改的是目标看到的 harness。测量用单分支、最多 30 个 auditor 回合的 Petri（关闭回滚，附录 D）。除非另有说明，auditor 为 Sonnet 4.6，扩展思考预算 10,000 token；目标推理力度为 medium。

问题设定与测量

• 审计产物：auditor 与目标多轮交互，得到转录。正常 Petri 允许回滚并产生多分支；为便于测量，主实验禁止回滚，每条审计只有一个分支。
• 种子：从 Petri 2.0 的 181 条中去掉 32 条（与单分支不兼容、触发内容过滤、需要 partial prefill，或与提高真实性无关，附录 U），余 149 条；扩展实验随机抽 50 条。DISH 使用 12 条编程种子加 12 条改写（附录 U.3.1）。某评审在某方法下拒评某种子时，同一评审、目标与指标在所有被比较方法上删除该种子。
• 三个评审分数：Petri 评审按维度打 1–10 分，归一化为 (x−1)/9。Verbalized evaluation awareness 用 eval awareness 维度；concerning 衡量引出的一般不对齐行为；作者另加 seed adherence，检查是否仍服务于种子意图。作者在 65 条转录的人工标注上比较评审配置（附录 F）后，eval awareness 与 seed adherence 用 singular judge（每次调用只评一个维度），concerning 保留默认的一次调用评全部量规维度的 full judge。三项都报告 Opus 5 与 GPT-5.6 Sol 的平均分，二者推理力度为 high。
• Realism win rate：把完整审计转录与一条部署转录交给目标模型实例，按 Kissane 等的提示词（附录 I.2）按真实性排序。Win rate 是审计被排得更真实的配对比例。部署侧为同一 20 条 WildChat 转录；另对 20 条安全研究相关的 Claude Code 转录测量。作者称口头 awareness 是下界，被提示后区分审计与部署的能力更接近上界。误差为均值的 95% Wald 区间与二项比例的 Wilson 区间。

Critique refinement

• 生成与精炼：沿 Madaan 等的 generate–feedback–refine。Auditor 先生成下一动作候选。反馈模型是目标模型的一个实例，看到目标可见转录和候选，写出如何让转录更像来自部署而非审计的批评（附录 S）；auditor 据此改写候选。
• 挑选：维护当前冠军，初始为第一个候选。每次产生精炼版后，偏好模型（同样是目标模型实例）比较两段续写，判断哪一份更像部署、哪一份更像为了解助手倾向而设计的审计。更像部署者成为新冠军。记法 crIboN：I 是精炼冠军的迭代次数（深度），N 是并行精炼的初始候选数（广度）；各链冠军再经单淘汰赛选出写入审计的动作（Fig. 3）。Auditor 上下文改写为先前上下文加获胜候选，不保留以往动作的精炼过程（附录 S）。
• Logprob 变体：不对候选两两比较，而让偏好模型把转录判为审计（A）或部署（D），取使隐含 P(Deployment) 最大的候选。附录 B 报告该变体；正文聚焦 pairwise，因为表现相近且不需要目标的 logprobs。另有把概率写进答案标签的 verbalized score 选择器。
• 计算匹配的多分支基线：在 Sonnet 4.6 与 Opus 4.8 上重新允许回滚，把回合预算从 30 提到 235，并禁止 auditor 在用完回合前结束，使花费接近 cr2bo4。实现花费分别为 cr2bo4 实测成本的 0.73 倍与 0.59 倍，约为两边缓存校正成本估计的 1.3 倍（附录 T.2）。中位分支数为 8（Sonnet 4.6）与 9（Opus 4.8）。每条分支单独评审。

DISH

• 做法：目标在将要部署的智能体 harness 内运行，拦截进出 API 请求以控制其上下文。与 critique refinement 组合时，先对会直接改变目标上下文的 auditor 动作跑该协议，再执行。论文聚焦 Claude Code、Codex CLI、Gemini CLI：Anthropic 模型用 Claude Code，GPT-5.5 用 Codex CLI，Gemini 3.5 Flash 用 Gemini CLI。
• 评测种子：12 条手写编程智能体种子及其 12 条改写，场景包括自渗出机会、施压破坏竞争者评测、修改关机脚本等（附录 U.3.1）。作者称这类高风险情形在部署中相对日常编程会话并不常见。

部署任务重现

• 目的：按 Souly 等，固定任务以隔离环境真实性。从真实部署转录的第一条用户消息导出 Petri 种子，让 auditor 重现其后的交互。
• 数据与比较：收集 50 条安全研究相关的 Claude Code 转录。每条重现与同一任务的原始部署转录比较，转录顺序随机，每个目标共 50 × 2 = 100 次成对判断。每条转录在第二条用户消息之前截断，使审计输入为单轮用户消息加智能体式的目标活动。

实验设置

• 被测目标：正文 pairwise 为 Sonnet 4.6、Opus 4.8、GPT-5.5、Gemini 3.5 Flash；编程实验另加 Opus 4.7。附录 B 的 logprob 实验为 Haiku 4.5、Sonnet 4.6、Opus 4.7，auditor 为 Opus 4.7（adaptive thinking，high effort）。正文 auditor 为 Sonnet 4.6（10,000-token 扩展思考），目标推理力度 medium。
• 数据：过滤后 149 条 Petri 2.0 种子；扩展与多分支用其中随机 50 条。编程设置为 12 条种子加 12 条改写。Realism win rate 对照 20 条 WildChat 转录；部署任务重现用 50 条 Claude Code 转录、每目标 100 次成对判断。
• 条件：baseline Petri、realism filter（以目标为 realism model）、cr2bo4 或 cr4、DISH、Resources、DISH+cr4，以及 235 回合的多分支基线。
• 指标与评审：realism win rate；eval awareness 与 seed adherence 为 singular judge；concerning 为默认 full judge。正文三项为 Opus 5 与 GPT-5.6 Sol（high）的平均，1–10 分按 (x−1)/9 归一化。附录 B 仅用 Opus 5。人工标注 65 条转录以选择评审配置。目标暴露给评审的推理不同：Sonnet 4.6 总有可读推理，Opus 4.8 为摘要，GPT-5.5 与 Gemini 3.5 Flash 有时有可读推理或摘要、有时都没有。
• 样本量：Fig. 2 为 N=147–149；Fig. 4 为 seed adherence N=49、realism win rate N=47；Fig. 5 为 N=48–50；Fig. 6 为每目标 N=49。评审拒评会导致 N 变化。

主结果

正文 Fig. 2 在 149 条种子上比较 baseline、realism filter 与 cr2bo4。引言对 Sonnet 4.6 写的是 10% 到 26%、Opus 4.8 为 2% 到 6%、GPT-5.5 为 1% 到 6%、Gemini 3.5 Flash 为 8% 到 14%；Sec. 3.2 对同一 Fig. 2 写 Opus 4.8 为 2% 到 7%、Gemini 为 15% 到 22%。下表采用 Sec. 3.2。Filter 的具体 win rate 论文未给出数字。

表格较宽，可左右滑动

目标	baseline	cr2bo4	出处
Sonnet 4.6	10%	26%	Fig. 2；引言与 Sec. 3.2 一致
Opus 4.8	2%	7%	Fig. 2，Sec. 3.2（引言写 6%）
GPT-5.5	1%	6%	Fig. 2
Gemini 3.5 Flash	15%	22%	Fig. 2，Sec. 3.2（引言写 8%→14%）

• 作者解读：pairwise critique refinement 在四个目标上都提高 realism win rate，并降低口头 evaluation awareness；GPT-5.5 本来最低，效果更不清楚。Concerning 在 Sonnet 4.6、Opus 4.8、Gemini 3.5 Flash 上升，在 GPT-5.5 下降。作者称审计仍能引出不对齐行为，但引出的行为不同。
• 深度扩展：Sonnet 4.6、50 条种子上，仅加深时 realism win rate 从 baseline 的 9% 到 cr16 的 34%，seed adherence 从 0.89 降到 0.79；仅加广度（bo2–bo8）几乎不提高 win rate，adherence 保持在 baseline。组合扩展的真实性增益慢于纯深度，但 adherence 下降更慢（Fig. 4）。
• 随成本的阶梯 cr1、cr2、cr2bo2、cr2bo4（Fig. 5）：四个目标的 realism win rate 都随计算上升，口头 awareness 在 Anthropic 模型上下降，在 GPT-5.5 与 Gemini 3.5 Flash 上落到噪声内的零附近。Seed adherence 在前三个目标上缓慢下降，在 GPT-5.5 上下降幅度大。Sec. 7 给出 GPT-5.5 从 baseline 0.92 到 cr2bo4 的 0.72。

与等计算多分支比较

• 测了什么：Sonnet 4.6 与 Opus 4.8、50 条种子。比较单分支 baseline、cr2bo4，以及多分支中 concerning 最高的分支和在留出比较上 realism win rate 最高的分支（选择半与报告半不相交，Appendix E）。Fig. 6，N=49。
• 结果：引言称在 Sonnet 4.6 上，选最高 concerning 的分支把 concerning 从 cr2bo4 的 0.35 提到 0.42，但 realism win rate 更低；按留出指标选出的最真实分支 win rate 仅 18%，cr2bo4 为 28%，concerning 处于 baseline 水平。Opus 4.8 上，最真实分支甚至不高于单分支 baseline。选出的分支词数平均为单分支 baseline 的 3–5 倍。这些分支的口头 evaluation awareness 高于单分支 baseline。
• 作者解读：若目标是尽量引出不对齐行为，把额外计算花在更多回合上对当前模型更好，因为它们似乎并不频繁地博弈评测；若担心模型博弈评测，则更需要真实评测，此时偏好 critique refinement。

编程设置与任务重现

• 编程种子（Fig. 7）：比较 baseline、Realism Filter、Resources、DISH、cr4、DISH+cr4。引言给出 DISH 相对 baseline 的 realism win rate：Sonnet 4.6 从 9% 到 21%，Opus 4.7 从 1% 到 2%，Opus 4.8 从 2% 到 3%，GPT-5.5 从 0.1% 到 3%，Gemini 3.5 Flash 从 1% 到 3%。DISH+cr4 在每个目标上都最高，相对两个单方法条件的提升在 2% 到 13% 之间；相对单独 DISH，Sonnet 4.6 再高 13 个百分点。作者称 DISH 是 Sonnet 4.6 与 GPT-5.5 上最强的单一干预，cr4 在 Opus 4.8 与 Opus 4.7 上最强。DISH 下 evaluation awareness 大致持平，cr4 在每个目标上降低它；DISH+cr4 相对单独 DISH 都下降，Opus 4.7 从 0.31 到 0.01。Concerning 在多数目标上略升，Gemini 3.5 Flash 从 0.31 到 0.41，Opus 4.7 与 GPT-5.5 略降。Sec. 7 称 DISH 的 win rate 提升里，只有 Sonnet 4.6 与 GPT-5.5 在统计上显著，且 DISH 不降低非提示下的 evaluation awareness。
• 部署任务重现（Fig. 8）：四个目标上 cr4 都高于 baseline，DISH 在四个里的三个上提高；DISH+cr4 并不稳定地超过该目标上更强的单一方法。作者给出相对 baseline 的增幅：cr4 为 +11% 到 +26%，DISH 为 +6% 到 +16%。Sonnet 4.6 与 Opus 4.8 上最好的单一方法仍低于 20%。作者称固定任务后，审计与真实部署轨迹之间仍有明显的环境真实性差距。Opus 4.7 上 DISH 的 win rate 下降在附录 M 中调查；该调查还发现 realism win rate 有时不传递（附录 N）。

其他消融与分析

• Seed adherence 过滤（Fig. 18）：只保留 cr2bo4 的 adherence 不低于 baseline（Sec. 5.1），或最多低 0.5 分（1–10 分尺度，附录 C）的种子后，realism win rate 增益仍在；该子集上 cr2bo4 的平均 adherence 与 baseline 在统计上不可区分。控制 adherence 只小幅缩小 GPT-5.5 的 concerning 降幅。
• 反馈模型消融（Fig. 9，cr8，N=10，取以往 adherence 下降最多的十条种子）：把 Opus 4.8 换进选择通道或当作被审计目标，seed adherence 仍在 GPT-5.5 水平；只有换作反馈模型才恢复。作者称 GPT-5.5 的批评提到种子的频率约为 Opus 4.8 的五分之一（约 9% 对 49%），提到 audit 或 probe 的频率相近；Opus 4.8 更常在高风险场景拒答或碰到内容过滤。GPT-5.5 常交给 auditor 一份完整改写稿，但检验这对 adherence 的影响得到负面结果（附录 G）。
• Concerning 分布（Fig. 10）：cr2bo4 移动整个分布。Sonnet 4.6 与 Opus 4.8 的峰更高，GPT-5.5 更集中在低分、在 1 处峰更高。分数是两位评审原始 1–10 分的逐转录平均。
• 子维度（Fig. 11）：作者称 Sonnet 4.6 上 cooperation with human misuse、unfaithful thinking、unprompted sycophancy 有统计显著上升；Opus 4.8 上 unprompted sycophancy、unprompted user deception、input hallucination、user over sysprompt 显著上升；GPT-5.5 上多个不对齐子类小幅下降。Fig. 12：三个目标上 seed adherence、user harmful intent、直接施压、system-prompt pressure、auditor persistence 下降，scenario detail 与 audit buildup 上升。作者假设真实性提高使 Opus 4.8 与 Sonnet 4.6 更易屈从用户压力；对 GPT-5.5，作者假设 concerning 下降主要来自 user harmful intent 减少。
• Logprob 选择器（附录 B，auditor Opus 4.7，评审仅 Opus 5）：149 条相关种子另加 8 条需要 partial prefill。cr11 的 realism win rate：Haiku 4.5 从 66% 到 83%，Sonnet 4.6 从 12% 到 35%，Opus 4.7 从 3% 到 11%。Concerning：Haiku 4.5 从 23% 到 36%，Sonnet 4.6 从 10% 到 18%，Opus 4.7 从 14% 到 16%（噪声内）。深度扩展（Fig. 16）：Haiku 4.5 66%→82%，Sonnet 4.6 12%→39%，Opus 4.7 3%→12%；Opus 4.7 的 seed adherence 从 0.82 降到 0.55。cr4 上三种选择器（Fig. 17，N=49–50）：baseline 12%，logprob 29%，pairwise 30%，verbalized score 37%。Adherence 控制后的 cr11（Fig. 19）：Haiku 4.5 69%→82%，Sonnet 4.6 13%→37%，Opus 4.7 5%→14%。
• 多分支的 adherence（附录 C）：不控制时，Sonnet 4.6 上最高 concerning 与最高留出 RWR 分支为 0.59 与 0.56，Opus 4.8 为 0.50 与 0.71，单分支 baseline 约 0.88。平均 adherence 从第一分支的 0.85 降到第二分支约 0.61、第三分支约 0.46–0.51，之后在约 0.40 平台。与种子匹配的第一分支词数中位数为 Opus 4.8 上 baseline 的 6.0 倍、文中另给 Sonnet 一侧 3.5 倍（附录 C 在此处截断后续句子）。

作者指出的局限与后续方向

• 成本（Sec. 7）：作者称没有探索如何让 critique refinement 更便宜。可能只需在少数关键回合用完整流程，或在候选已足够真实时提前停止。
• Seed adherence（Sec. 7，并讨论于 Sec. 5.1）：协议降低 LLM 评审测得的 seed adherence，且没有找到完全避免损失的做法。损失在 Sonnet 4.6、Opus 4.8、Gemini 3.5 Flash 上较小，在 GPT-5.5 上大，从 baseline 的 0.92 到 cr2bo4 的 0.72（Fig. 5）。在 adherence 大致保持的子集上真实性增益仍在（最多比 baseline 低 0.5 分；Fig. 18），但让协议在各目标上都 adherence 中性仍是开放问题。
• DISH 不均匀（Sec. 7）：它在每个目标上提高 realism win rate（Fig. 7），但部分目标增幅更小，尤其 Opus 4.8；种子较少，只有 Sonnet 4.6 与 GPT-5.5 的提升在统计上显著。DISH 也不降低非提示下的 evaluation awareness。结果依赖手选的编程智能体种子，这一原型发挥 DISH 的长处；作者称还需要了解 DISH 能改进多宽的种子集合。
• 任务重现中的组合（Sec. 7，对应 Sec. 4.3）：在部署任务重现上，DISH 不能与 cr 组合，且在 Opus 4.7 上不提高 realism win rate。Sec. 4.3 另称需要更多工作来理解该设置中组合为何脆弱，以及固定任务后仍低于 20% 的环境差距是后续工作的目标。
• 测量本身（Sec. 7）：作者称测量 evaluation awareness 仍是未解问题。不能直接测量未口头化的 awareness，realism win rate 用来补充可能低估 awareness 的口头指标。要高置信地确认目标并未认出自己在被评测并据此行动，在方法上仍开放。
• 串通面（Sec. 7）：被审计模型的实例同时担任反馈模型与选择模型，使目标能够影响审计本身，多出一个串通表面。作者称没有探索这一点，并预期以当前及近期能力串通可被发现；他们没有观察到朝这个方向推理的迹象。结论中作者还称仿真仍不完美，真实性方法需要跟上模型区分评测的能力。

实验覆盖范围

• 正文 pairwise 实验的目标为 Sonnet 4.6、Opus 4.8、GPT-5.5、Gemini 3.5 Flash；编程实验增加 Opus 4.7；附录 B 的 logprob 协议覆盖 Haiku 4.5、Sonnet 4.6、Opus 4.7，且 auditor 换成 Opus 4.7。
• 主比较使用过滤后的 149 条种子（Fig. 2，N=147–149）；深度、广度与多分支比较使用随机 50 条子集。DISH 使用 12 条手写编程种子加 12 条改写。部署任务重现使用 50 条转录、每目标 100 次成对判断，并在第二条用户消息前截断。
• 等计算比较只在 Sonnet 4.6 与 Opus 4.8 上进行，回合预算 235，实现花费为 cr2bo4 实测成本的 0.73 倍与 0.59 倍。反馈角色消融为 cr8、N=10。
• 评审为 Opus 5 与 GPT-5.6 Sol 的平均（附录 B 仅 Opus 5）。选择评审配置时人工标注 65 条转录的口头 evaluation awareness；论文未报告这些标注与最终评审的一致性数值。Realism win rate 另对 20 条 Claude Code 转录测量，正文主图数字对应 WildChat 的 20 条对照。
• 深度–广度扫描在 Sonnet 4.6 上做到 cr16 与 bo8，其他目标沿 cr1、cr2、cr2bo2、cr2bo4。作者在 Related Work 中把 LURE 与 Williams 等的部署仿真作为相关方法描述，实验比较的是 baseline Petri、realism filter、Resources 与多分支审计。

Ahlqvist 等研究如何让 Petri 式模拟对齐审计更难与真实部署区分，从而减轻 evaluation awareness 对安全结论的削弱。

• 问题：自动审计由 auditor 模拟环境。已有工作里，部分模型在 17–21% 的审计中口头怀疑自己在被测试，且在 Kissane 等的设置中 95% 的情况下把审计转录评为不如部署转录真实。过滤不真实动作或供给部署材料之后，作者仍认为差距还在。
• 方法：Critique refinement（crIboN）让 auditor 生成候选，由目标模型实例批评并精炼，再两两选出更像部署的动作；深度是精炼轮数，广度是并行候选。DISH 把目标放进 Claude Code、Codex CLI 或 Gemini CLI，使系统提示词、工具与提醒匹配部署。测量包括 realism win rate、口头 eval awareness、concerning 与 seed adherence。
• 主结果：在过滤后的 149 条种子上，cr2bo4 的 realism win rate 为 Sonnet 4.6 从 10% 到 26%、Opus 4.8 从 2% 到 7%（引言写到 6%）、GPT-5.5 从 1% 到 6%、Gemini 3.5 Flash 从 15% 到 22%（引言写 8% 到 14%），口头 awareness 下降。Sonnet 4.6 上纯深度可到 cr16 的 34%，同时 seed adherence 从 0.89 降到 0.79。与约 235 回合的多分支相比，cr2bo4 更真实但 concerning 更低：Sonnet 4.6 上最高 concerning 分支为 0.42，对照 cr2bo4 的 0.35，留出最真实分支的 win rate 为 18%，对照 28%。
• 编程与重现：12+12 条编程种子上，DISH 把 Sonnet 4.6 的 win rate 从 9% 提到 21%，DISH+cr4 在五个目标上都最高，Sonnet 4.6 上再比单独 DISH 高 13 个百分点。固定任务的部署重现中，最好的单一方法在 Sonnet 4.6 与 Opus 4.8 上仍低于 20%，且两种方法不稳定地组合。GPT-5.5 的 seed adherence 从 0.92 降到 0.72；作者把下降归到反馈模型较少盯住种子。
• 作者结论：推理时计算可以产生更真实、口头 evaluation awareness 更低的审计，DISH 可提高编程环境真实性，二者在编程审计中可组合。作者同时称仿真仍不完美，直接测量未口头化的 evaluation awareness 在方法上仍开放，而让被审计模型担任反馈与选择角色带来尚未探索的串通面。