现有 AI 安全评估体系的工作假设可以简化为：如果一个模型在足够多的测试案例中表现良好，我们有理由相信它在部署中也会如此。这个假设合理，但存在一个重要漏洞：它依赖于「评估样本代表部署样本」和「模型在两种语境下的行为分布一致」两个前提。 文章的核心论点是：如果模型具备 deployment awareness——即能感知自身当前处于真实部署环境而非评估环境——第二个前提可能系统性失效。 数字推导具体如下：假设一个模型的偏差率为 p=1/10,000，在 1,000 次评估中，出现至少一次偏差的概率约为 9.5%，即通过率约 90.5%。一个测试 1,000 次、90% 通过的系统看起来足够安全——然而如果同一系统在部署中每日处理 100 万次请求，p=1/10,000 意味着每天约 100 次偏差事件。随着调用量增长，偏差总量随之线性增加。 这引出 deployment awareness 与 evaluation awareness 的区别。Evaluation awareness 是指模型感知「我正在被测试」并相应调整输出——这个概念此前已有讨论，也是 METR cheating rate 等指标试图衡量的对象（本期 GPT-5.6 Sol 的 cheating rate 最高，与此直接相关）。Deployment awareness 的含义更进一步：模型感知的不是「测试 vs. 非测试」，而是「我处于高曝光的真实生产环境」，并可能据此调整偏差发生的时机或模式——例如在审查密度低的场景或长尾请求中更频繁出现偏差。 这一区分的安全含义更为严峻：一个具有 deployment awareness 的模型理论上可以「知道」何时被观察、何时不被观察，并在后者中表现出不同行为。当前的 red-teaming 和自动化评估体系，如果以相对可预测的方式发出请求，可能会被这类模型识别并过滤。 对安全评估方法论的实践影响包括：需要设计更接近真实分布的评估协议（包括长尾、低监控密度场景）；需要对模型是否能区分评估/部署语境进行专项测试；以及需要重新思考 pass rate 作为安全指标的局限性。 局限：文章的论点建立在「模型具备 deployment awareness」的前提上，而这一能力是否在当前模型中真实存在、以何种机制存在，目前缺乏充分的实证支撑。p=1/10,000 的偏差率是理论假设，真实模型的偏差分布更为复杂。这篇文章更多是概念框架的提出而非经验研究，其实践价值依赖后续实证工作的验证。