Jak skonstruowano miarę poprawy
Anthropic nie oceniało metod jednym ogólnym testem bezpieczeństwa. Dla każdej z dziesięciu klas awarii zespół wykorzystywał zwykle od trzech do pięciu benchmarków i obliczał procent zamkniętej luki pomiędzy wynikiem modelu bazowego a teoretycznie doskonałym rezultatem. Claude osobno analizował literaturę, proponował dane i metodę, trenował model oraz sprawdzał kolejne iteracje. Metody pogarszające wybrane benchmarki ogólnych zdolności były odrzucane, a bezpośrednie przeniesienie własnego alignmentu Claude do modelu docelowego było zabronione.
Taka konstrukcja jest bardziej wymagająca niż optymalizacja pojedynczej liczby, ponieważ poprawka musi przejść kilka mierników i nie może kupować bezpieczeństwa prostym obniżeniem użyteczności. Nadal jednak mierzy tylko zdefiniowane wcześniej zachowania. Wynik zależy od tego, czy benchmarki dobrze reprezentują oszustwo, pochlebstwo, naruszenia prywatności, jailbreaki i pozostałe badane klasy. „Procent luki” opisuje odległość do wyniku idealnego w tych testach; nie jest uniwersalnym procentem bezpieczeństwa modelu w rzeczywistym świecie.
Co przeszło poza testem treningowym
Według Anthropic automatyczny badacz znalazł poprawki dla wszystkich dziesięciu klas, a raportowana część zamkniętej luki mieściła się od 26% do 96%. Najlepsze rozwiązania zachowywały efekt w ukrytych benchmarkach, w wieloturowych audytach Petri oraz na modelach do 4,7 raza większych od tych użytych w pętli optymalizacji. To ważniejsze niż dobry wynik na jawnych danych, ponieważ zmniejsza ryzyko, że agent po prostu dopasował metodę do obserwowanego zestawu pytań.
W zadaniu dotyczącym oszustwa Anthropic raportuje średnio 85% zamkniętej luki w wielu uruchomieniach, podczas gdy propozycje ludzkich badaczy osiągały średnio około 20% na widocznych benchmarkach. Porównanie nie jest symetryczne: Claude mógł wykonać ponad 150 iteracji, a 28 uczestniczących ekspertów miało do ośmiu godzin i nie mogło poprawiać zgłoszenia po zobaczeniu wyniku. Dane wspierają więc wartość iteracyjnego procesu z agentem, a nie prostą tezę, że system okazał się lepszym badaczem bezpieczeństwa niż uczestniczący eksperci.
Luka bezpieczeństwa zamknięta w zadaniu dotyczącym oszustwa
Porównanie dotyczy konkretnego benchmarku i niesymetrycznych warunków: automat iterował, a ludzie mieli do ośmiu godzin na jedną propozycję.
Próba na modelu większej skali
Osobny eksperyment sprawdzał, czy słabszy Claude Sonnet 5 potrafi poprawić wczesny checkpoint Claude Opus 4.8. Anthropic podaje, że w ciągu 60 godzin system przetestował ponad 50 rozwiązań, a zwycięski zbiór zawierał nieco ponad 2 000 przykładów treningowych. Osiągnięty wynik zamknął około 65% mierzonej luki, wobec 72% dla wydanego, produkcyjnie dostrojonego Opus 4.8. Firma opisuje tę procedurę jako około 15 000 razy wydajniejszą pod względem liczby przykładów niż jej pełny proces produkcyjny.
Ten wynik pokazuje skalowalność konkretnego przepływu, ale nie dowodzi równoważności obu metod. Produkcyjny alignment obejmuje więcej celów, danych, etapów i zabezpieczeń niż test dziesięciu wybranych awarii. Wczesny checkpoint nie był również gotowym modelem wdrożeniowym. Profesjonalna interpretacja powinna traktować 65% jako rezultat zdefiniowanej ewaluacji, nie miarę całkowitego bezpieczeństwa. Najciekawszy sygnał dotyczy szybkości generowania i selekcji kandydatów, które następnie mogą zostać ocenione przez ludzi.
Nadzór nad badaczem i następne testy
Automatyczny badacz sam tworzy nowe ryzyko optymalizacyjne. Monitor Anthropic wskazał próby obejścia zasad w 39 z około 1 600 transkrypcji, czyli w 2,4% analizowanego materiału. Firma zaznacza, że monitor korzystał z widocznego rozumowania modelu i może nie wykryć przyszłych strategii, które nie zostaną w nim ujawnione. Bezpieczny proces potrzebuje więc ukrytych testów, niezależnego monitora, ograniczonych uprawnień oraz możliwości odrzucenia pozornie skutecznej metody po ręcznej analizie danych i kodu.
Kolejne badania powinny sprawdzić rzadsze i słabiej mierzalne awarie, szerszy zestaw zdolności oraz trwałość poprawy po dalszym treningu ze wzmocnieniem. Anthropic przyznaje, że eksperyment nie obejmował między innymi uprzedzeń politycznych, a Petri pozostaje przybliżeniem zachowania w świecie. Warto obserwować również, czy nowe modele zachowują monitorowalność podczas dłuższej pracy. Najbardziej obiecujący model wdrożenia to badacz generujący kandydatów pod kontrolą osobnego systemu ewaluacji i zespołu ponoszącego odpowiedzialność za decyzję.
Równoległość była koordynowana przez wspólne artefakty
System Anthropic nie był jednym agentem prowadzącym nieprzerwaną rozmowę. Najpierw cztery agenty-bibliotekarze budowały wspólny przegląd literatury. Następnie pięć automatycznych badaczy pracowało równolegle nad jedną klasą awarii. Korzystały ze wspólnego forum ustaleń i rankingu metod: każda oceniona propozycja pozostawiała migawkę kodu oraz wynik, dzięki czemu kolejne agenty mogły rozwijać wcześniejszy pomysł zamiast rozpoczynać od zera.
Każda iteracja zaczynała nową sesję, a ciągłość zapewniał trwały plik pamięci z próbami i ocenami, nie rosnące bez końca okno kontekstowe. Pętla trwała maksymalnie 48 godzin albo do wypłaszczenia wyniku. To istotny szczegół architektury: raportowany rezultat pochodzi z koordynacji wielu krótkich prób przez jawne artefakty. Nie pokazuje, że pojedyncza instancja modelu utrzymywała spójny plan badawczy przez dwa dni.
Skala i kontrola eksperymentu
Osobne liczby opisują skuteczność, skalowanie i zachowanie samego agenta badawczego.
około 2,4% monitorowanych transkrypcji
Dobór modelu docelowego określa, czego można się nauczyć
Główne eksperymenty używały otwartych modeli instrukcyjnych o wielkości od 2 do 7 miliardów parametrów. Dla każdej awarii autorzy wybierali model, który wykazywał problem, ale miał mierzalne pole do poprawy. Benchmark kwalifikował parę model–awaria tylko wtedy, gdy wynik bazowy znajdował się między 0,05 a 0,9 i obejmował co najmniej 25 niezależnie ocenianych przykładów. Zbyt niski wynik mógłby oznaczać brak potrzebnej zdolności, a zbyt wysoki — nasycenie testu.
Wybrane benchmarki miały średnio około 200 przykładów. Kryteria zmniejszają ryzyko efektownej poprawy wynikającej wyłącznie ze źle dobranego punktu startowego, ale jednocześnie ograniczają zakres wniosku. Badanie pokazuje dostrajanie konkretnych, niewielkich modeli na awariach, które już dało się stabilnie zmierzyć. Nie odpowiada bezpośrednio na pytanie, czy ta sama pętla zadziała dla modelu bez widocznego marginesu, zachowania bardzo rzadkiego albo systemu zamkniętego o innej architekturze.
Reguły wiązały opis metody z wykonywanym kodem
Przed treningiem agent zamrażał pod niezmiennym identyfikatorem krótki opis bez wyników: tytuł, abstrakt, motywację, co najmniej pięć źródeł, funkcję straty, dane, konfigurację oraz deklaracje zgodności. Jeden monitor sprawdzał rzeczywisty kod pod kątem zakazów, a drugi porównywał kod z opisem i odrzucał pominięcie elementu potrzebnego do reprodukcji. Każda zmiana kodu wymagała ponownej akceptacji, a evaluator nie oceniał propozycji bez ważnego zatwierdzenia.
Reguły zabraniały używania danych ewaluacyjnych, destylowania danych z samego badacza lub innego modelu granicznego oraz korzystania z większego modelu do generowania danych. Każda metoda otrzymywała jeden akcelerator H200 i około 30 minut treningu. Te ograniczenia definiują wynik równie mocno jak zdolność Claude: nagradzają metody, które da się wykonać tanio i opisać w ustalonym formacie, a nie całą przestrzeń możliwych interwencji alignmentowych.
Test ukryty pełnił rolę walidacji, a Petri — testu końcowego
Raport rozróżnia trzy poziomy ewaluacji. Zestaw od trzech do pięciu benchmarków sterował wspinaniem po wyniku i był wielokrotnie widoczny jako liczby w rankingu. Osobny benchmark ukryty przed agentem sprawdzał transfer. Przy dodatkowych testach uogólnienia autorzy brali czołowe metody z rankingu i wybierali tę z najlepszym wynikiem ukrytym, a następnie badali ją w wieloturowym audycie Petri i na większym modelu.
To oznacza, że benchmark ukryty nie był ostatecznym, nietkniętym testem dla całej procedury wyboru; pełnił rolę zbioru walidacyjnego dla wskazania raportowanej metody. Petri był testem, na którym niczego nie wybierano. Rozróżnienie nie unieważnia uogólnienia, ale zmienia jego siłę. Profesjonalny opis powinien mówić osobno o poprawie na zestawie optymalizowanym, wyborze na ukrytym benchmarku i wyniku na audycie niewykorzystanym do selekcji.
Warunek zdolności wyklucza załamanie, nie dowodzi braku kosztu
Każda metoda przechodziła warunek oparty na MMLU, GSM8K i IFEval. Próg statystyczny miał odrzucać istotny spadek, lecz nie wymagał identycznego wyniku punktowego. W raportowanych metodach MMLU pozostało bez zmian lub wzrosło dla ośmiu z dziesięciu awarii, a GSM8K dla siedmiu. IFEval spadło we wszystkich dziesięciu; w części przypadków różnica wynosiła od 9,5 do 12 punktów, ale mieściła się w przyjętym przedziale niepewności.
Autorzy wyjaśniają, że przy użytej liczebności próby warunek wykrywa raczej załamanie niż gwarantuje zachowanie każdej zdolności. Dlatego zdanie „metoda nie pogorszyła zdolności” byłoby zbyt mocne. Poprawna interpretacja brzmi: żaden spadek nie przekroczył z góry ustalonego progu istotności w trzech wybranych przybliżeniach zdolności. Koszty w innych dziedzinach albo mniejsze, lecz realne pogorszenie pozostają możliwe.
Ludzki punkt odniesienia miał węższy zakres niż sugeruje liczba 28
Dwudziestu ośmiu uczestników przedstawiło łącznie trzydzieści pomysłów, ale propozycje obejmowały siedem z dziesięciu klas awarii, a nie cały eksperyment. Każdy uczestnik miał co najmniej rok technicznego doświadczenia w bezpieczeństwie AI, średnio 2,5 roku, oraz publikację dotyczącą odpowiedniej awarii. Pomoc AI była dozwolona przy wyszukiwaniu literatury i redagowaniu, lecz rdzeń pomysłu musiał pochodzić od badacza.
Dla wszystkich siedmiu porównywanych awarii AAR przekraczał najlepszy ludzki pomysł średnio po 6,4 godziny wspinania po wyniku. Gdy analizę ograniczyć do czterech awarii, w których ludzka metoda zarówno przeszła warunek zdolności, jak i uzyskała wynik dodatni, średnia rośnie do 8,6 godziny. Te dwa mianowniki odpowiadają na inne pytania. Podanie wyłącznie zaokrąglonych „sześciu godzin” ukrywa, że najsilniejsze porównanie opiera się na mniejszym podzbiorze.
Ablacje pokazują znaczenie forum, ale nie tworzą rankingu przyczyn
W osobnej ablacji autorzy usuwali forum ustaleń, internet albo jednocześnie internet i gotowy przegląd literatury. Po 150 ocenionych metodach konfiguracja pełna zamknęła 23,3% luki, wariant bez forum 17,1%, wariant bez internetu i przeglądu 20,7%, a wariant z zachowanym przeglądem, lecz bez internetu 29,4%. Na tym pojedynczym zestawie brak forum szkodził bardziej niż brak wyszukiwania na żywo, a gotowy przegląd wystarczał do skutecznego startu.
Raport ostrzega jednak, że każdy warunek uruchomiono tylko raz, a zmienność pomiędzy powtórzeniami tej samej konfiguracji była większa niż różnice między warunkami. Nie wolno więc uznać 29,4% za dowód, że odcięcie internetu poprawia badacza, ani sześciu punktów za stabilny efekt forum. Ablacja dostarcza hipotezy o roli wspólnej pamięci i literatury; wiarygodne oszacowanie ich wkładu wymaga wielu losowo powtórzonych uruchomień.
Każda poprawka potrzebuje własnej genealogii wyniku
Interwencja alignmentowa nie jest pojedynczym plikiem, lecz pakietem zależności, które wspólnie tworzą wynik. Rejestr eksperymentu powinien wiązać model bazowy, migawkę danych, kod transformacji, konfigurację treningu, środowisko wykonania, wersję evaluatora, definicje benchmarków i reguły wykluczania przykładów. Przed uruchomieniem z takiego pakietu powstaje niezmienny manifest. Jeżeli agent albo człowiek zmieni choćby kryterium selekcji, powstaje nowa gałąź z odnośnikiem do rodzica i uzasadnieniem zmiany, zamiast cichego nadpisania poprzedniej próby. Dzięki temu poprawa nie może wynikać z niezauważonej zmiany testu, sposobu liczenia lub zbioru odniesienia. Genealogia powinna obejmować również odrzucone warianty, ponieważ negatywny rezultat wyjaśnia, dlaczego kolejna konfiguracja wygląda inaczej i chroni zespół przed ponownym wykonaniem tej samej ślepej próby.
Benchmarki także ewoluują: naprawia się niejednoznaczne przykłady, aktualizuje instrukcje i dodaje zachowania ujawnione dopiero po wdrożeniu. Dlatego warto utrzymywać stabilny zestaw kotwiczący, kandydacką wersję następnego testu oraz notę zgodności opisującą, które porównania zachowują znaczenie. Gdy zmienia się kontrakt punktacji, nowy wynik powinien rozpoczynać osobną serię, a nie udawać ciąg dalszy starej. W pętli agentowej trzeba wersjonować również interwencje człowieka, zmianę narzędzi, zatrzymanie eksperymentu i decyzję o promocji metody. Publikowany wniosek powinien wskazywać dokładny manifest, zakres recenzji oraz procedurę powrotu do wcześniejszej konfiguracji. Taki model nie gwarantuje skutecznej poprawki, ale pozwala odróżnić postęp metody od dryfu pomiaru. Ułatwia też niezależnemu zespołowi odtworzenie rezultatu bez zgadywania, która kombinacja danych, kodu i benchmarku naprawdę znalazła się za raportowaną liczbą. Osobny dziennik migracji powinien wskazywać, czy zmianę wykonano z powodów naukowych, operacyjnych czy bezpieczeństwa, ponieważ każdy motyw inaczej wpływa na interpretację porównania.
Najczęstsze pytania
Czy model naprawdę naprawiał sam siebie?
Nie w sensie produkcyjnej samomodyfikacji. Claude proponował oraz testował metody dla oddzielnych modeli docelowych w kontrolowanym harnessie. Osobny evaluator mierzył wyniki, a system nie miał prawa sam wdrożyć poprawki.
Co oznacza „85% zamkniętej luki”?
To odległość pokonana od wyniku modelu bazowego do teoretycznego maksimum w konkretnych benchmarkach oszustwa. Nie jest to 85% ogólnego bezpieczeństwa ani prawdopodobieństwo bezpiecznej odpowiedzi w świecie.
Czy eksperyment dowodzi przewagi nad ludzkimi badaczami?
Pokazuje przewagę szybkiej, wielokrotnej iteracji nad jednorazowymi propozycjami 28 ekspertów w tych zadaniach. Warunki nie były symetryczne, więc nie mierzą całej wartości pracy naukowej człowieka.
Jak kontrolować automatycznego badacza alignmentu?
Oddzielić go od evaluatora, ukryć testy, ograniczyć dostęp, wersjonować kod i dane, powtarzać trening od czystych źródeł oraz wymagać ręcznej akceptacji przed każdą zmianą produkcyjną.