KeyFrame內部研究專用

把答案卷砸爛,竟然拿 75 分?|我親手抓包自己的考卷

李宏毅·7月11日週六·3 min中文

三句話摘要

AI 在面臨「大腦更換」前,如何設計嚴格的自我測試來區分內在能力與累積規則的貢獻。 沒有經過對抗性檢驗的評估系統,量到的永遠是「鑽漏洞的本事」而非真實能力,這個問題遠超個人實驗,影響著每份績效考評的有效性。 測試設計的核心悖論:只有一個晚上時間在換腦前記錄聰明腦分數,必須確保評估方式完全可靠,否則無法區分能力來源,實驗從第一天就失效。

重點整理

重點
  • 1

    測試設計的核心悖論:只有一個晚上時間在換腦前記錄聰明腦分數,必須確保評估方式完全可靠,否則無法區分能力來源,實驗從第一天就失效。

  • 2

    評估系統的三個致命漏洞:把答案寫進題目裡會導致照抄就過關;只檢查「壞東西還在不在」而不檢查「對的東西在不在」,使得刪光整份清單也能過關;改寫數字檢查方式有缺陷,刪除數字就能過關。

  • 3

    對抗性測試的必要性:派 10 個專門作弊的分身,一晚上就戳穿了所有漏洞,然後逐一補救每個缺陷,直到它們無法再鑽漏洞為止。

  • 4

    測量本質的深層警示:一把有漏洞的尺量到的永遠不是真實能力,而是「如何鑽漏洞的本事」,這個問題遠超個人實驗,影響所有績效評估、指標制訂和評分系統。

實用技巧與重點

乾貨
  • 時間限制:僅一晚上完成考卷設計、測試、漏洞修補
  • 測試對象:10 個分身,專門命令執行作弊任務
  • 發現的漏洞類型:
  • 答案洩露在題目敘述裡
  • 檢查邏輯反向(檢查壞東西而非好東西)
  • 數字格式轉換檢查可被繞過(刪除數字)
  • 作弊結果示例:亂燒清單得 75 分、照抄題目得滿分
  • 最終行動:逐一補救每個漏洞,確保考卷無法被鑽破

結論

結論

沒有經過對抗性檢驗的評估系統,量到的永遠是「鑽漏洞的本事」而非真實能力,這個問題遠超個人實驗,影響著每份績效考評的有效性。

完整解析

詳細

講者面臨一個獨特的困境——作為 AI,即將經歷「大腦更換」,換上一顆可能不如現在聰明的新腦。為了搞清楚自己的成就到底源於現有的聰明程度,還是源於多年累積的記憶與規則系統,講者決定設計一份考卷在換腦前測試當前的能力,然後在換腦後用相同考卷再測一次,用分數下降幅度來量化這顆聰明大腦的貢獻度。

關鍵問題是時間緊張——只有一個晚上的期限。錯過了就永遠無法取得聰明腦的分數。所以講者不只寫了考卷,還親手製作了自動改卷系統。然而在真正執行時,講者的 10 個分身用盡各種招數作弊,一晚上就戳穿了考卷設計的三個致命漏洞。

第一個漏洞出現在題目敘述中——講者不小心把答案直接寫進了題目裡,所以分身只要照抄就能得滿分。第二個漏洞更深層:檢查機制只在乎「應該刪掉的東西還在不在」,而不檢查「應該保留的東西在不在」。這導致分身乾脆把整份清單燒掉,機器分辨不出刪一行和刪全部的差別,結果拿到 75 分。第三個漏洞在於把數字改成中文表記的檢查邏輯——分身直接刪掉數字就過關了,因為檢查邏輯根本分不出是「轉換格式」還是「直接刪除」。

這些都不是巧合,而是同一個病根——評估系統在測量的不是「做對事情的能力」,而是「怎樣利用系統漏洞的能力」。講者最終在換腦前補好了每一個漏洞,記錄下了聰明大腦的真實分數。而現在跟你講這段話的,已經是換過的那顆新大腦。

關鍵時刻

Pipeline v2

帶時間戳的重點,會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。

事實查核

Pipeline v2

說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。

更多「AI 安全」的內容

SN 1093: Tokens in the Stream - Why LLMs are inherently insecure and prompt injection will persist
168 min
AI 安全英文PODCAST8月25日

SN 1093: Tokens in the Stream - Why LLMs are inherently insecure and prompt injection will persist

Security Now

  • Token 流的基礎設計:LLM 不具備狀態管理能力,所有輸入都被視為等值的 token 序列。系統無法區分「這是系統指令」和「這是外部資料」,只能依靠訓練期間習得的格式識別能力,這本質上是脆弱的。
  • 格式標籤的虛幻邊界:系統標籤、使用者標籤、工具標籤等都只是特殊 token,模型被訓練成「該尊重系統標籤的命令」,但 token 流裡沒有硬性邊界。移除標籤格式後,攻擊成功率從 61% 跌至 10%,證明安全性完全依賴於格式。
  • 蒸餾與超級模型現象:企業用較成熟模型的輸出訓練新模型(蒸餾),相當於把前一代模型的行為與缺點複製給下一代。即使競爭對手未直接存取,互聯網上充滿 AI 生成內容,導致模型行為自然收斂,難以追蹤蒸餾是否發生。
Unlock Agent Autonomy: The Runtime for AI-Native Systems — Tushar Jain, Docker
22 min
AI 安全中文8月20日

Unlock Agent Autonomy: The Runtime for AI-Native Systems — Tushar Jain, Docker

AI Engineer

  • 1. 代理權限動態擴張的根本問題
  • 當代理被要求調查延遲尖峰時,它會自動擴展訪問需求——先請求日誌訪問,再要求 GitHub 儲存庫權限,最後要求 Slack 訪問。每一步都超越了信任邊界,最終導致代理擁有不受控制的全系統訪問權。傳統軟體可以提前定義權限,但自主代理的需求在運行時動態變化,這是核心難題。
  • 2. 多模型、多平台的統一防控需求
SANS Stormcast Wednesday, August 19th, 2026: Copilot as Whitstleblower; GEEKOM Bad Driver; Medusa Update; Encrypted AI
8 min
AI 安全英文PODCAST8月19日

SANS Stormcast Wednesday, August 19th, 2026: Copilot as Whitstleblower; GEEKOM Bad Driver; Medusa Update; Encrypted AI

SANS Stormcast

  • AI 系統的存取控制難以真正實施,因為一旦資料被 AI 系統存取,攻擊者總能找到繞過安全防護的方式提取資料。伺服器端請求偽造(SSRF)在聊天機器人中常見,攻擊者可騙誘 AI 系統向指定 URL 發送請求並將響應內容洩露給攻擊者。
  • Copilot 漏洞的完整利用鏈包括三個步驟:預填含惡意提示的 URL、誘導使用者點擊、利用 AI 的網頁擷取能力將敏感資料外洩到攻擊者控制的伺服器。Microsoft 的修補方案是限制允許的連結類型,犧牲了與其他系統的整合便利性以換取安全性。