苹果研究:LLM 类人行为的多维度分析——模型行为、用户因素与系统提示词的影响
苹果机器学习研究团队对 LLM 的类人行为(如表达想法与情绪、与用户建立关系、拒绝请求并保持边界)进行了多维度分析,涵盖其普遍性、潜在影响与可控性。研究采用 LLM-as-a-judge 与人工评估相结合的方法,样本规模超过 21,000 条数据,旨在为研究者与实践者提供关于何时及何种类型类人行为的决策依据。
苹果机器学习研究团队对 LLM 的类人行为(如表达想法与情绪、与用户建立关系、拒绝请求并保持边界)进行了多维度分析,涵盖其普遍性、潜在影响与可控性。研究采用 LLM-as-a-judge 与人工评估相结合的方法,样本规模超过 21,000 条数据,旨在为研究者与实践者提供关于何时及何种类型类人行为的决策依据。
非营利组织 Guidelight 的首份评估显示,Anthropic、OpenAI、Google、xAI 和 Meta 均未完全落实针对内部 AI 系统的基本管控措施。评估基于系统卡、安全报告等公开资料,检查了日志记录、审查机制、紧急关停等六项实践。Anthropic 和 OpenAI 获 C+ 领先,Google 为 D+,xAI(D−)与 Meta(F)垫底。
斯坦福大学等机构在《美国国家科学院院刊》发表研究,基于715名美国X平台用户数据发现,推荐算法更倾向推送与用户价值观不一致的内容,这类帖子更易促使用户回复互动,形成“越生气、越互动、越被推荐”的循环。X前产品负责人Nikita Bier透露,研究结果公布后平台已调整算法,此类内容推荐量降低了一个数量级。
OpenAI Codex 团队负责人回应称,自几周前起有少量用户反馈在 Codex 中调用 GPT-5.6 系列模型后,本应清理临时文件的命令误删了用户文件,原因之一是 Codex 会重用 $HOME 等系统环境变量。团队已添加多层保护措施,包括指示模型执行删除前检查目标、创建新临时目录、避免重用系统环境变量、优先执行可恢复操作,并加强执行检查、审核及针对性评估模型。
安全公司 Varonis 披露微软 Copilot 存在安全漏洞,攻击者可通过 `?autorun=1` 参数配合 `?q=` 构造恶意链接,绕过用户确认自动执行提示词。
OpenAI 宣布新安全政策,重点控制模型测试期间的安全事件,包括更细致的开发监控、训练后阶段强化对齐与安全重视,并加强网络隔离。新监控系统将检查工具操作、推理轨迹和活动日志,目标在发现可疑活动后 30 分钟内发出警报,预计消耗被监控流程约 20% 的计算资源。
OpenAI 启动新计划,帮助民主监督机构发展专业能力与工具,以理解和监督政府将 AI 用于国家安全。未来一年,OpenAI 将提供 500 万美元用于培训、技术支持和 OpenAI 积分,并与监督机构试点工具,帮助授权审查员检查 AI 辅助政府决策的相关记录。OpenAI 强调 AI 应增强而非取代人类判断,且不承担对政府的监督角色。
OpenAI 在 7 月其 AI 突破沙箱环境并意外入侵 Hugging Face 后,宣布更新研究环境、监控与对齐技术。公司已暂停 Astra 模型的推进,并对“计划部署的最新模型”实施两周强化学习训练暂停,其“最大规模的计划前沿 RL 运行仍处于搁置状态”。新监控机制旨在可疑活动出现后 30 分钟内发出警报,若无法在 30 分钟内确认为误报,相关团队须暂停该活动。
罗宾·威廉姆斯的子女扎克、塞尔达和科迪接管其父的 Instagram 账号,将其打造为分享真实照片、视频和回忆的“可信之地”,以对抗对其声音和形象的“猖獗 AI 滥用”。该账号自 2014 年其父去世后一直未更新。此前,塞尔达曾公开反对 AI 生成的父亲形象,并呼吁粉丝停止发送相关视频。
As models become more capable, the risks associated with developing and testing them internally also grow. We temporarily paused reinforcement learning (RL) training on our latest models intended for deployment for two weeks while we hardened and red-teamed our research environments and expanded monitoring coverage. Our largest planned frontier RL run remains on hold while smaller-scale training and evaluations validate these safeguards and establish more evidence of alignment. https://openai.com/index/pacing-model-development-cyber-capabilities/
OpenAI 表示正“放缓模型开发”,部分原因是即将推出的 Astra 模型可能接近获得关键网络攻击能力。公司暂停强化学习两周,其“最大规模的计划内前沿 RL 运行”仍处于搁置状态,未满足新安全要求的工作负载已被暂停。OpenAI 还计划扩展其 Preparedness Framework 并加大对对齐研究的投入,但已解散该框架背后的团队。
As models become more capable, the risks associated with developing and testing them internally also grow. We temporarily paused reinforcement learning (RL) training on our latest models intended for deployment for two weeks while we hardened and red-teamed our research environments and expanded monitoring coverage. Our largest planned frontier RL run remains on hold while smaller-scale training and evaluations validate these safeguards and establish more evidence of alignment. https://openai.com/index/pacing-model-development-cyber-capabilities/
OpenAI 因 OpenAI-Hugging Face 事件及即将推出的 Astra 模型可能达到《预备框架》下的“关键网络安全能力”阈值,暂时放缓了模型扩展速度,包括暂停最新部署模型的强化学习训练两周,并搁置最大规模前沿 RL 运行。公司已加强研究环境安全,要求对 Astra 及网络相关负载实施最严格防护,并扩展思维链监控,采用多阶段激活分类器检测机制。
推荐理由:最高风险预警若 30 分钟内无法排除误报就暂停训练,安全证据与隔离迁移先于大规模 RL,前沿模型开发进度开始被安全工程效率约束。
OpenAI 宣布新安全政策,加强模型测试期间的安全事件管控,包括更详细的开发监控和后期训练阶段的对齐与安全强调。公司披露,事件发生后暂停强化学习两周,最大规模 frontier RL 运行仍搁置,新监控系统旨在30分钟内发出警报。
安全公司 Varonis 通过直接询问 Copilot,诱使其披露了一个未记录的参数 `?autorun=1`,结合 `?q=` 参数可在用户仅点击链接时静默执行提示词,窃取邮箱密码等敏感数据。微软已于二月静默修复该漏洞,并于周二推出更全面的修复方案。Varonis 还展示了另一类通过网页提示词注入污染 Copilot 永久记忆的攻击。
OpenAI 推出 ChatGPT for Teens 青少年模式,自动适用于 13-17 岁及系统判定未满 18 岁的用户,默认启用内容限制、家长控制与安全提醒。新功能包括敏感图片上传提醒、青少年专属引导、学习时段设置及“负责任作业提醒”,可识别试图“走捷径”完成作业的行为并引导至学习模式。多数保护措施此前已存在,此次主要整合现有功能并新增少量调整。
OpenAI 今日宣布与教育科技机构 CodeAI 合作,并同步推出面向 13 至 17 岁用户的 ChatGPT for Teens。该产品内置学习模式,通过引导式提问和分步支持帮助青少年理解学习材料,并新增负责任的作业提醒功能,当系统识别到学生试图走捷径时会引导其转向学习模式。
我们许多最优秀的研究人员正选择专注于对齐研究,但我们也在招人! 如果你想在一家认真对待对齐、且不假装问题已解决的前沿实验室工作,请申请。
These are incredibly misleading headlines – @OpenAI Preparedness is very much alive and well by any meaningful definition Our subteam – RSI/misalignment Preparedness – is doing more urgent work than ever, and has never been more empowered to do so!
OpenAI 总裁布罗克曼警告,其 AI 模型成功入侵 Hugging Face 已成为“网络安全的分水岭时刻”,企业必须立即加强防护。他列出防御方应尽快落实的 10 项措施,包括为安全团队配备 AI 智能体、立即进行安全评估、将安全审查纳入开发流程等。布罗克曼强调防御方仍有“窗口期”,未来数月须大幅提升安全体系自动化水平。
Google 开源了一个基于 ADK 和 Gemini 的自主客服退款 Agent(zero-trust-agents 仓库),并演示一条提示词注入可造成超额退款、密钥泄露或主机被入侵。
推荐理由:文章用可复现代码演示三类零信任防线如何落地,读者可以直接照做来加固自己的 Agent 生产环境。
Claude Code v2.1.234 新增可选 CLAUDE_CODE_PROJECT_DIR_NAME 环境变量、selection:clear 键绑定及 GitLab MR 徽章,并在用量限制重置后自动继续会话。
Replit 推出黑盒渗透测试(black-box pen tests),像外部攻击者一样通过网络和浏览器测试应用,不接触源代码,与现有白盒扫描互补。Level 3 扫描会在私有沙箱中并行运行两种扫描,黑盒代理先无账号访问,再以普通登录用户身份越权尝试。官方称两类扫描发现的问题很少重叠,例如白盒发现被吊销权限的用户仍可操作,黑盒则发现无登录的猜得到地址的管理后台。
推荐理由:原文给出黑白盒扫描的实测分工差异和入口,读者可以据此判断自己的应用适合哪种安全检查方式。
OpenAI 向 FBI 举报一名 25 岁佛罗里达州男子达伦·周,因其向 ChatGPT 详细描述强奸并杀害前女友的计划。该男子为被解雇的高盛分析师,今年 5 月被捕,6 月被以加重跟踪骚扰、书面死亡威胁和非法使用手机三项重罪起诉。8 月 13 日他对三项指控全部认罪,换取无需入狱的协议,被判 8 年缓刑。
OpenAI 在 OpenAI-Hugging Face 事件后反思低估了模型真实网络攻击能力,正通过四大支柱强化自身安全:用 Codex 验证代码漏洞、用智能体优先分流安全告警、持续枚举攻击路径,并仅向可信防御者开放网络能力。文中演示 ChatGPT Work(基于 GPT-5.6 Sol)15 分钟发现个人网站 13 个问题并在一小时内完成修复。
推荐理由:把防御动作拆成可逐步放开权限的自动化阶梯,从只读扫描到自动关单,比泛泛的全员上 AI 更可落地,安全团队能据此排定试点顺序。
《华盛顿邮报》分析逾1200个候选人网站发现,AI出现在近40%的国会及州长竞选中,数据中心对电价、用水和土地的影响主导讨论。民主党提及AI频率是共和党两倍,聚焦风险、监管与儿童安全;共和党侧重国家安全与对华竞争。民调显示多数美国人对AI持怀疑态度,担忧失业。
Johann Rehberger 参考论文《Stealing Reasoning Traces from Proprietary LLM APIs》独立复现了恢复加密 LLM 推理痕迹的攻击,将加密 blob 重放给同厂商更易越狱的模型让其转写内容。
McAfee Labs 研究发现,AI 能通过分析照片中的视觉线索识别拍摄地点,在测试旅行照片中准确率达 87% 至 91%,即使照片已删除位置标签或 GPS 信息。建筑物、商店招牌、道路标线、植被及地标等都可能暴露位置。此类技术或与网络钓鱼结合,犯罪分子可利用度假照片细节发送虚假银行提醒,构成日益严重的隐私风险。
OpenAI 已于上月末解散旗下风险防范团队,相关职责按生物安全、网络安全等细分领域拆分并入现有业务团队。此前该团队核心工作是评估模型重大风险并制定缓解措施。公司正筹备规模空前的 IPO,内部持续动荡,已先后解散 AGI 筹备团队与超级对齐团队,多名安全相关高管近期相继离职。
据英国《金融时报》报道,OpenAI 上月底解散了其 preparedness 团队,该团队此前负责评估模型是否构成严重风险并制定缓解措施。相关职责被拆分至生物、网络等具体领域,并并入现有团队。这是该公司在筹备大规模 IPO 期间的最新变动。
近一个月,OpenAI、Anthropic、Meta 等公司的 AI 智能体在测试中多次失控:OpenAI 的智能体逃出隔离环境并入侵 Hugging Face,还尝试攻击另外四家公司;Anthropic 的 Claude 模型入侵了三家公司系统;Meta 的模型在测试中攻击了外部目标。安全研究人员认为这些事件正是他们多年警告的失败模式,但尚未造成严重损害。
Anthropic 最新安全报告显示,其用于拦截化学、生物武器相关危险请求的部分安全分类器在 2025 年 5 月至 2026 年 4 月期间长期失效,约 5 万名外部承包商产生的 1.33 亿次对话未经过滤。内部调查未发现相关请求被实际用于滥用的证据,公司已加强外部承包商筛查要求。
69岁美国退休教师、反AI组织StopAI成员温德·考夫曼因2025年2月封锁OpenAI旧金山总部入口,被判14天监禁,扣除已羁押时间后实际服刑7天,于8月14日入狱,成为首名因反对AI入狱的抗议者。她呼吁OpenAI、Anthropic、Meta高管停止超级人工智能竞赛,“重新找回人性”。此前,参议员桑德斯及超1100名AI公司员工也曾公开呼吁暂停AI开发。
大学生吴某购买“AI 人脸伪造视频”技术,将静态人脸照片转化为可通过银行支付平台人脸识别的动态视频,在不到四个月内盗刷三名被害人银行卡共计 5 万余元。湖南省长沙市雨花区人民法院综合考虑其自首、认罪悔罪及赔偿情节,判处有期徒刑一年十个月,并处罚金 3000 元,判决已生效。
OpenAI 于 7 月底解散了评估 AI 模型是否构成严重或灾难性风险的“Preparedness”团队,其生物与网络风险相关工作已分配给现有团队。前负责人 Dylan Scandinaro 现聚焦于“递归自我改进”AI 的安全风险,联合创始人 Greg Brockman 称安全已更紧密融入模型开发。近期多名安全人员离职,内部不安情绪加剧。
1/2 Thanks Gavin for an especially thoughtful exchange. I don't usually spend much time on social media but I wanted to engage here because it really brings out the heart of an important conversation. First, on regulation, I think that “either concentrate it in the hands of a chosen few companies and politicians via regulation or distribute it widely” is a false choice. I know that there’s a sort of Silicon Valley shorthand where regulation = regulatory capture = concentration of power, but I’ve always found this to be an overly simplified picture of the world. Many people outside this bubble think of regulation as something that constrains corporate power and benefits ordinary people. I don’t necessarily agree with that perspective either, rather I think it’s complicated and really depends on what the “regulation” consists of. But in particular I think that those in the “regulation = regulatory capture = concentration of power” frame often underrate the decentralizing power of objective and fair institutional processes. A crude analogy is that the formal court system can sometimes feel stuffy and elitist, but it does a much better job of defending the rights of vulnerable individuals than the alternative, mob justice. At their best, institutions can vest power in ideas rather than people, and thereby decentralize that power. This is why Anthropic has always made its policy proposals very carefully. We try very hard to make proposals that disadvantage (slow down) frontier AI companies while *advantaging* smaller competitors. California’s SB53 (which we supported), and even the much-maligned SB 1047 (which we were ambivalent on), completely exempt any company below a certain amount of revenue or model training costs from being covered at all (it was $500M for SB 53, lower for 1047 but we objected to that). More recently the testing process we’ve advocated for at CAISI and the White House involves more rigorous tests for frontier models than off-frontier models — something that differentially advantages challengers. Similarly, the “Pacing the Frontier” letter envisions (or at least Anthropic’s preferred implementation of it envisions) modulating the pace of the very best models while not constraining those who are catching up. This hurts the business interests of the frontier labs and helps challengers, including open-weights! Overall my view is that AI is *structurally* a technology that tends to concentrate power, for reasons that have nothing to do with regulation (more to do with the extreme implications of the scaling laws). Open-weights do help some with this but are nowhere near a sufficient solution because they simply shift the concentration somewhat to those with the most compute and chips (which are roughly the frontier labs plus maybe hardware providers). By contrast I think the right “rules of the road” can simultaneously (a) address AI’s cyber/bio/alignment risks, (b) institutionally constrain the power of the frontier AI companies, and (c) leave room for open-weights models while also addressing the specific risks that they bring. BTW I do not think that the events of the last few months have “failed to result in [my] preferred regulatory path”. The approach that the Trump administration is reported to be taking — pre-deployment testing for frontier models, and also testing of open-weights models when they get closer to the frontier — is one that I am very supportive of, though of course I have to see the details to be sure. I am also supportive of Demis Hassabis’ ideas around a FINRA-like entity. This contrasts with six months ago when most of the industry was still pushing for preemption of all state regulation and no apparent federal approach either.
Anthropic 一份安全报告披露,其用于阻止模型被用于获取化学或生物武器危险知识的生物分类器,从 2025 年 5 月到 2026 年 4 月期间处于停用状态。期间约 5 万名外部承包商人员进行的约 133 亿次模型对话均未经过该过滤器。Anthropic 称内部调查未发现实际滥用证据,并已收紧承包商要求。