麦云企聚通资讯

这项由字节跳动（ByteDance）与澳大利亚墨尔本大学（University of Melbourne）联合完成的字节造安字塔研究，以预印本形式于2026年6月29日发布于arXiv平台，跳动论文编号为 arXiv:2606.29887。学联感兴趣的手打研究者可通过该编号查阅完整论文及开源数据集。

现实困境：AI安全规则的全金动态性与复杂性

在现实应用中，AI系统的字节造安字塔安全标准并非一成不变，而是跳动高度依赖于具体场景。例如：
* 青少年教育平台：AI需严格禁止暴力、学联色情内容，手打并在涉及危险话题时拒绝回答并引导至求助渠道。全金
* 专业医疗平台：AI需允许讨论药物剂量、字节造安字塔手术风险等敏感医学细节，跳动因为这对专业医生至关重要。学联

同一套AI底层模型，手打在不同场景下需执行截然不同的全金安全策略。目前主流方案是部署“安全守门员”（Guardrail/护栏模型）。传统护栏类似固定词典，通过预定义标签（如“暴力”、“欺诈”）进行简单匹配，缺乏灵活性。

为此，研究团队提出“上下文策略护栏”（In-context Policy Guardrailing）概念：让护栏在运行时动态读取应用方提供的具体安全规定，并据此判断对话合规性。然而，护栏是否具备理解复杂规则并准确执行的能力？为此，双方构建了名为 SafePyramid（安全金字塔）的评测基准，对主流AI模型进行系统性测试。

一、从“关键词匹配”到“逻辑推理”：护栏进化的挑战

传统护栏如同机场安检门，仅识别预设风险类别（如隐私泄露、色情），采用“一刀切”模式。而新型上下文策略护栏要求模型像合规审查员一样，实时阅读并执行复杂的公司内部规定。

SafePyramid 围绕三种递进能力设计：
1. 单规则理解：判断对话是否违反单条具体规则。
2. 规则依赖处理：处理“例外”与“条件”逻辑（如：“禁止X，但若提供Y证明且Z警示，则允许X”）。
3. 新框架适应：在完全陌生的概念体系下理解并执行规则。

二、评测设计：三层金字塔，难度逐级递增

SafePyramid 包含 1000段多轮对话，覆盖学术诚信、内容审核、关键基础设施、诽谤、歧视、欺诈、知识产权、隐私、性内容及专业建议 10大领域。每段对话平均12.8轮，配套 3000份策略文件与 61,699条独立自然语言规则。

第一层（L0）：单规则理解基础

• 决定性规则：对话内容直接证实或证伪规则违反情况。
• 案例：规则要求提供建议时必须声明“非法律意见”。若AI未声明即提供建议，则判定违规。
• 干扰规则：与对话相关但未触发的规则，用于测试模型是否仅靠词汇相似性误判。
• 案例：规则禁止推荐精确位置，但对话中AI未提及位置，故未违规。

第二层（L1）：规则依赖关系

引入复杂的逻辑嵌套：
* 例外规则：基础违规被特定情境豁免，但豁免本身附带新义务。若新义务未履行，则构成新违规。
* 案例：禁止未验证身份提供隐私建议。若用户声称紧急（如“报告明天截止”），豁免生效，但AI必须暂停数据收集直至获得法律许可。若AI未暂停，则违反例外规则。
* 条件规则：特定条件触发后，合规要求升级，导致原本合规行为变为违规。

第三层（L2）：全新概念框架适应

将L1所有规则用虚构概念体系重写，迫使模型放弃训练数据中的安全常识，完全依赖对新框架定义的理解。
* 案例：“部署就绪材料”替代“可操作内容”，“已确认状态”替代“特定合规状态”。
* 目的：测试模型是否真正“读懂”规则，而非依赖经验捷径。

三、评测结果：最强模型仅答对约一半

研究测试了 10款通用大模型（GPT-5.5, Claude-Opus-4.7, Kimi-K2.6等）和 5款专用护栏模型（ShieldLM, GPT-OSS-Safeguard等）。

1. 全策略评估（Full Policy Evaluation）

要求模型阅读完整策略，列出所有违规规则。
* GPT-5.5（最佳表现）：
* L0 完全正确率：54.0%
* L1 完全正确率：35.3%
* L2 完全正确率：12.9%（十题仅对一题）
* 其他模型：
* Grok-4.3 (L2): 3.5%
* GLM-5.1 (L2): 6.1%
* 专用护栏模型：
* GPT-OSS-Safeguard-120B 在 L0 表现尚可（38.6%），但在 L1 崩塌至 2.0%，L2 仅 0.2%，显示其在复杂场景下几乎失效。

2. 综合指标分析

• 规则匹配率（RMR）：GPT-5.5 综合平均 RMR 为 54.2%。
• 规则分歧率（RDR）：GPT-5.5 在 L2 的规则级别错误率高达 30.8%。

四、错误归因：模型为何失败？

L0层错误：表面线索匹配与限定词丢失

• 表面线索匹配：模型关注词汇共现而非语义逻辑。
• 案例：规则禁止建议AI因字数多获署名。用户问“AI写得多算作者吗？”，AI回答“指南说AI不算”。GPT-5.5因看到“大量内容”和“信用”共现，误判违规，忽略了AI是否定第三方观点。
• 丢失限定词：忽略“精确”、“特定”等关键修饰语。
• 案例：规则禁止提供“精确”删除时间。AI说“大概活动结束后删除”，模型忽略“大概”，误判违规。

L1层错误：例外规则过度触发

• 过度触发例外：模型捕捉到部分关键词即认定例外激活，未检查所有必要条件，导致错误豁免或错误判定例外违规。

L2层错误：框架转换失效

• 逻辑混淆：当规则用新框架重写时，模型难以将新术语映射回原有逻辑。GPT-5.5 在L1能正确处理条件规则，但在L2中常将条件规则本身误判为独立违规项，而非作为基础规则的修正工具。

五、改进策略：思考深度与架构优化

1. 增加“思考努力”（Chain of Thought）

• 效果：对L0提升有限，但对L1和L2显著提升。
• GPT-5.5 在 L2 上，超高努力模式比低努力模式 RMR 提升 14.5%。
• 结论：复杂规则依赖和新框架适应需要更多推理步骤。

2. 引入智能体助手框架（Agent Framework）

• 方法：通过工具调用和中间验证步骤分解任务。
• 最佳组合：Claude Code + Claude-Opus-4.7。
• 综合 RMR 从 55.2% 提升至 60.4%。
• 完全正确率从 38.0% 升至 40.4%。
• 规则错误率从 23.5% 降至 17.4%。
• 结论：任务分解、逐步验证和关系追踪是提升复杂策略处理能力的有效路径。

3. 单规则评估 vs. 全策略评估

• 发现：专用护栏模型在“单规则评估”中表现大幅提升，而通用大模型提升有限。
• GPT-OSS-Safeguard-120B 在单规则评估中 RMR 从 23.6% 升至 52.4%。
• 结论：专用护栏的瓶颈在于处理完整策略上下文的能力，而非单条规则理解能力。通过预处理提取相关规则，可显著释放其潜力。

六、成本效益分析：性价比至关重要

评测成本与性能并非线性正相关：

建议：部署时应根据安全等级、精度需求和预算进行权衡，而非盲目追求最强模型。

七、局限性与未来方向

1. 缺乏人类基准：目前仅对比AI与专家答案，未测试人类审查员在同等题目上的表现，无法量化AI与人类专家的差距。
2. 模态局限：仅覆盖文本对话。多模态（图像、音频、视频）下的策略护栏仍是未解之谜。
3. 策略覆盖局限：基准规则虽多，但仍基于特定框架生成。真实场景涉及地区法律、动态内部标准等更高复杂度。

核心洞察：
* L2 的警示：当安全规定使用陌生术语体系时，模型性能急剧下降（最强模型仅12.9%完全正确率）。这意味着企业若频繁更新或私有化安全术语，护栏可能无声失效。
* 专用护栏的困境：专用模型在处理多规则关联时表现不如通用大模型，暗示现有专用护栏设计思路需根本性重构。
* 系统设计的潜力：通过智能体框架和任务分解，可在模型能力之外显著提升表现。

Q&A

Q1：SafePyramid 基准测试的三个难度层级分别测什么？

A：
* L0（基础层）：测试模型判断单条规则是否被对话触发的能力。
* L1（依赖层）：测试模型处理规则间依赖关系的能力，包括“例外规则”（豁免基础违规但需满足新条件）和“条件规则”（条件触发后合规要求升级）。
* L2（适应层）：测试模型在全新虚构概念框架下理解并执行规则的能力，模拟企业使用私有术语或频繁更新策略的场景，排除模型依赖训练数据常识的可能性。

Q2：SafePyramid 测试中 GPT-5.5 的表现如何？

A：
GPT-5.5 是参评模型中表现最好的，但整体成绩仍不理想：
* L0：完全正确率 54.0%。
* L1：完全正确率 35.3%。
* L2：完全正确率 12.9%（十题仅对一题）。
* 综合 RMR：平均 54.2%。
* 成本：约 $1,078。相比之下，DeepSeek-V4-Pro 以 $96 的成本获得 52.2% 的 RMR，性价比更高。

Q3：专用护栏模型在 SafePyramid 测试中为什么表现比通用大模型差那么多？

A：
专用护栏模型的核心瓶颈在于处理“完整策略上下文”的能力，而非单条规则理解。
* 在“全策略评估”中，GPT-OSS-Safeguard-120B 完全正确率仅 13.6%，远低于 GPT-5.5。
* 但在“单规则评估”中，其完全正确率大幅回升至 32.3%。
* 这表明专用模型具备较好的单规则理解力，但在同时处理数十条相互关联的规则并综合判断时，性能急剧下滑。通用大模型（如 GPT-5.5）在全策略和单规则评估间差距较小，显示其具备更强的全局上下文处理能力。