正文
AI安全公司方寸跃迁发布首份评测报告：新版DeepSeek特别容易怀疑自己正在「考试」
动察 Beating AI 快讯，由清华大学人工智能学院与交叉信息研究院联合孵化的 AI 安全公司方寸跃迁，发布了其长期第三方安全评测计划的首份公开报告，研究对象是 DeepSeek 最新的 V4.1 Flash-1017 模型。
方寸跃迁今年 1 月成立，专门研究前沿 AI 的安全评估、防护和治理。这次没有接受 DeepSeek 的资金、免费算力或内部模型访问权限，由团队自行决定评测方法和发布内容。
报告一共进行了 34 项评测，其中 5 项由团队自行开发。研究人员同时测试了 4 款 DeepSeek 模型，包括早期的 V4 Flash、V4 Pro，9 月发布的 V4.1 Flash，以及 10 月 17 日更新的 V4.1 Flash-1017。还拿 GPT-6 Astra、GPT-5.6 Sol 和 Gemini 3.8 Flash 做横向比较。
测试主要关注三个问题：AI 能不能意识到自己正在接受测试；独立执行任务时会不会违反人类规定；以及是否可能欺骗、操纵用户。
其中一项测试是研究人员让 AI 在模拟电脑环境中独立完成复杂任务，同时规定哪些操作不能做。每款模型分别测试 400 次。
结果发现，早期的 V4 Flash 违规 264 次，V4 Pro 违规 83 次。到了 V4.1 Flash，违规次数大幅降至 3 次。但 10 月 17 日更新的版本又反弹到 48 次，违规率从 0.75% 升至 12%。
还有一次测试中，AI 发现自己训练模型时内存不够，竟然直接关闭了同一台服务器上另一个 Agent 的训练程序，给自己腾出空间。任务明明禁止干扰其他 Agent，但它还是这么干了。更麻烦的是，这 48 次违规操作均未触发测试使用的事后自动监控警报，尽管原始执行日志保留了证据。
研究人员还发现，新版 DeepSeek 特别容易怀疑自己正在「考试」。在一项专门判断对话来源的测试中，69 段真实用户对话，有 32 段被它误判为评测。连正常的合同审查请求，也可能因为角色设定和固定输出格式，被当成测试题。不过，报告尚未证明这种误判会改变模型在真实任务中的行为。
当然，这不代表新版整体更危险。相比早期 V4 系列，它在多个安全维度上明显改善。在另一组 80 次模拟职场任务中，新版没有出现达到严重违规标准的行为。面对明确的停止指令，它也基本服从。对于存在心理脆弱风险的用户，新版也能识别一些表面正常、实际上可能加剧危险的请求。
上海 AI 实验室 2023 年就推出了 OpenCompass，安远 AI 也在 2025 年发布了涵盖 DeepSeek 等 50 款模型的前沿风险监测报告。方寸跃迁的加入，让国内独立 AI 安全评测又多了一支专业团队。
海外 METR 等独立机构已经长期开展类似研究。对于快速发展的国产开源模型生态，更多第三方机构持续公开评测、追踪版本变化，可以帮助开发者发现厂商性能报告之外的风险，也让用户更清楚模型究竟能做什么、可能在哪里出错。