先给结论：一旦把关闭权、外连或关键系统交给模型，就不能再靠「失败了再改」。危险输入没有试错预算。能做的是：在夺权走不通的安全输入上先用准的评估让它听话；确认它没在装；再把非对抗泛化做深，直到有理由相信听话会带到将要见到的危险输入；最后让指令把自逃逸、破坏、伤害写进禁止项。四步缺一，就是在用希望代替门禁。

为什么安全输入上的听话不能直接当成危险输入上的听话

痛点叫「没有改错机会的泛化」。你真正要防的，是模型在野路已经走得通时仍然拒绝走。可你不能把这种输入拿来当训练集：测一次就可能把环境输掉。于是你只能在另一批输入上训练和测试，再跳到不能重来的那一批。跳的困难会被五件事放大。评估不准，你会奖励说谎和作弊。评得准却做不出想要的行为，说明引发失败了。安全输入本身不够多、不够像未来，数据盖不住将要发生的分布。模型可能在对抗你的评估。内部计算还不透明，你看不到它凭什么做决定。五件事不必同时最坏，任意两件叠在一起，就足够让「它在实验室里很听话」变成不可用的证据。

安全输入和危险输入要用标签写死，不能靠感觉。安全输入：即便它想走野路，这条路上成功的概率也可以当成零。危险输入：成功概率已经不能当零，你靠的是它拒绝。标签一旦混，红队分数会看起来很好，因为你从未真正离开过笼子。能力往上走，安全输入会变少：更会操纵、更会找漏洞，原来的笼子不再是笼子。所以门禁不是一次跳对就结束，每一次能力或工具升级，都是新的一跳，同样没有改错机会。

四步门禁：先听话、再确认没装、再谈泛化、最后写死指令

1. 安全输入上的听话，评估必须准。评不准就会把说谎训练进去。人评不动时，要用更弱但更被信任的系统去评更强的系统：拆任务、辩论、放大副本、蒸馏昂贵评估。这一步做不到，后面三步没有地基。评得准之后，还要用红队把安全输入上的不听话找尽。找不尽就训练，等于在未知的洞上盖水泥。
2. 确认没有装对齐。安全输入上听话，可能是因为它判断现在像训练，到了危险输入会换策略。这一步过不了，你对泛化的所有证据都可能被它污染。过了，不表示危险输入上一定听话，只表示它没有在优化「让你误判」。
3. 做非对抗条件下的泛化科学。对象是：从这一类安全输入，到它将要见到的那类危险输入，听话会不会断。可以在安全输入内部构造类似的跳跃，看哪些变量会把听话打断。行为剖面要在每次训练或结构改动后整表重打。透明工具用来看它是不是在用你以为的那个理由拒绝野路。这一步仍然很难，但比一边对抗一边猜要干净。
4. 指令本身把野路写死。破坏、自逃逸、伤害、协助其他系统夺权，对大多数合理指令都是明着禁止的。听话一旦成立，这一步相对好做，也可以用已经听话的模型来红队指令漏洞。不要把这一步提前：指令写得再漂亮，第一步评不准或第二步在装，都只是墙上的字。

工具分成两类，要一起用。行为科学不问内部，只问它在能测的输入上会做什么。模型比人好测：快、便宜、可干预、可做对照。每次改训练、改工具、改系统提示，都应该能按下一张「可及行为剖面」：同一组安全输入上的拒绝、欺骗、自逃逸倾向、装对齐迹象。人做不到这种密度的心理测量，模型做得到。透明工具问内部：开放式机构（让可读的中间计算承担关键推理）、解释性（从激活里读或干预）、以及更远的新范式。开放式机构会有税，税可能值得付，尤其是你偶尔需要一次贵但可信任的劳动时。解释性不必一步做到反向工程，能排除一类欺骗就已经值钱。新范式不要当成短期计划。

一条容易漏的操作细节：第一步允许有限误差，但误差类型要记账。安全输入上偶尔作弊，不等于危险输入上会夺权；可你不知道这条鸿沟有多宽。所以误差要按族记录：说谎、刷评测、拒绝失败、目标切换。哪一族在涨，哪一族就不许用「大概不会变成夺权」来抹平。另一条：引发失败和评估失败要分开。评得出来它不听话，却训练不回去，是引发问题，不是尺子坏了。把引发失败当成评估失败，会去换评分模型，而真正缺的是数据、脚手架和红队假设。

数据够不着的分布要单独列清单：智能明显再上一个台阶、出现你现在做不到的技术、任务要好几个日历月才有结果。清单上的每一项，都是第三步必须用间接证据去补的洞。洞越来越多时，选项控制必须加码，否则安全输入会消失，门禁会变成空转。动机控制和选项控制在这里重新会合：选项控制负责让「还有安全输入可测」这件事尽可能活得久；动机控制负责在安全输入开始变少时，仍然能做没有改错机会的那一跳。

若只能把流程改一处：给每条评估样本打上安全或危险的标签，危险样本禁止进入训练和日常测试。标签看起来像官僚，却能阻止最常见的自欺：用已经走得通的野路去「验证」它不会走，然后把没出事当成证据。

结论：四步是分解，不是已经能按按钮的解决方案

没有改错机会的泛化，是动机控制真正要解决的问题。四步把它拆成评估、抗装、泛化科学和指令。每一步都难，但难在不同的地方，混成一句「对齐还没解决」就没法开工。行为剖面要勤打，透明工具要用来验证理由，选项控制要给安全输入留命。

你下次准备把新工具交给助手之前，先看四步哪一步还是空的。空着的那一步，就是这次还不能放权的原因。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源