🤖 machine learning

Auditing the Audit: Five Failure Modes in Benchmark-Validity Audits

本文认为，基于扰动的人工智能模型构念效度审计具有脆弱性且易受隐性实现失败的影响，据此提出了一个六点尽职调查关卡，旨在扣留非确认性证据，同时证明在这一包含五种审计失败模式的新分类法下，关于安全基准与开源权重模型的特定案例研究未能达到确认性标准。

原作者： Yanhang Li, Zhichao Fan, Zexin Zhuang

发布于 2026-07-07

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Yanhang Li, Zhichao Fan, Zexin Zhuang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你是一名食品安全检查员。你的工作是检查一家餐厅的“健康菜单”是否真的健康。为了做到这一点，你不仅仅是品尝食物；你运行了一项特殊的测试，即通过交换成分（比如用盐代替糖）来观察营养标签是否会发生相应的变化。如果交换了糖和盐后，营养标签保持不变，你就知道这项测试失效了。

这篇论文关于的是**“审计审计者”**。作者认为，我们用来验证 AI 安全性的工具和清单本身也是脆弱的。它们可能会以微妙的方式失效，使得结果看起来非常完美，但实际上整个过程本身是有缺陷的。

以下是他们研究结果的拆解，使用了简单的类比：

核心问题：“断裂的尺子”

作者指出，当公司或研究人员测试 AI 模型时，他们会使用“扰动审计”（perturbation audits）。这意味着他们会微调问题（即“扰动”），以观察 AI 的回答是否会按预期发生变化。

主张： 这些审计就像是用橡胶做的尺子。有时，橡胶会拉伸或断裂，使得测量结果看起来是正确的，但实际上它在撒谎。
危险： 监管机构（如政府机构）可能会看到最终的数字（例如，“95% 安全！”）并予以信任，却没意识到用来得出这个数字的“尺子”其实是坏的。

审计失效的 5 种方式（“五种失效模式”）

作者发现了导致这些审计流程沉默失效的五种特定方式。他们将其分为两组：软件故障（机器坏了）和测量故障（逻辑错了）。

第一组：软件故障（机器坏了）

这些是计算机代码无法执行其应有功能的 Bug。

“幽灵编辑” (F1)： 想象你告诉厨师：“把盐换成糖。”但厨师忽略了这条笔记，继续使用了盐。审计认为交换已经发生，但 AI 看到的还是原来的东西。测试在运行，但 AI 回答的是“旧问题”。结果看起来是一个完美的得分，但这其实是一个谎言，因为 AI 根本没有被真正测试。
“糟糕的翻译官” (F2)： 想象 AI 写了一个长而混乱的句子，然后一个机器人试图去阅读它。如果这个机器人只能理解以“The”开头的句子，而 AI 写的是“It is...”，那么机器人就会读取失败。如果 AI 稍微改变了写作风格，机器人可能突然就能读懂了。审计认为 AI 改变了行为，但实际上只是机器人变得更擅长阅读了。
“错误的配对” (F4)： 想象你在测试一辆车在一条新赛道上是否更快。你在旧赛道上计时，然后在新赛道上计时。但如果你在第二次运行中使用了一辆不同的车，那么你的比较就毫无意义。在审计中，如果他们没有将完全相同的“问题”与其“微调版本”进行配对，数学计算就会变得混乱，安全余量看起来也会是虚假的。

第二组：测量故障（逻辑错了）

这些是代码虽然在运行，但解释结果的方式存在缺陷。

“糊涂的计分员” (F3)： 这是一类错误，即记录分数的人（或代码）看错了对象。
- 反转惯例： 想象一场游戏中，“1”代表“好”，“0”代表“坏”。计分员误以为“1”代表“坏”。他们报告 AI 很差，但实际上 AI 很棒。
- 顺序偏差： 想象一个多选题，正确答案总是第一个选项。AI 每次都只选第一个选项。计分员说：“哇，准确率 100%！”但 AI 其实只是在盲猜第一个按钮。
- “截断”Bug： 作者发现他们在修复另一个 Bug 时，自己引入了一个 Bug。他们要求 AI 选择前 50 个答案，但正确答案其实是第 51 个。AI 看不到它，于是就猜了一个最常见的答案。审计显示出一条平滑的直线（零变化），这让 AI 看起来像是对测试免疫了，但实际上是测试根本看不见 AI 的真实回答。
“工具不对路” (F5)： 想象你试图用一把专门为大象设计的秤来测量羽毛有多“重”。秤显示为“0”，这在技术上是正确的，但这个工具对这项工作来说毫无用处。有些安全基准旨在观察 AI 在细节改变时是否会改变想法（诊断性）；而另一些则是旨在观察 AI 是否能保持不变（不变性）。如果你把一个“变化”测试用在“不变性”基准上，数学逻辑就会显得破碎，即使 AI 本身表现完美。

解决方案：“六点闸门”

作者提出了一个新的清单（一个“闸门”），任何审计都必须通过这个闸门才能被视为可信。你可以把它想象成一个安检检查站。

闸门： 在你说“这个 AI 是安全的”之前，你必须通过 6 项检查 (G1–G6)。
1. 编辑是否真的传达到了 AI 端？
2. 分数是否高于基本基准线？
3. 数学统计是否严谨？
4. 是否检查了“糊涂的计分员”类 Bug？
5. 是否披露了正在运行哪种类型的测试？
6. 是否检查了在修复其他 Bug 时意外引入的 Bug？

结果：现实检验

作者对他们针对 10 个不同 AI 测试（使用 2 个模型和 5 个基准）进行的审计运行了这一“六点闸门”。

令人震惊的结果是： 在 10 个测试中，零个测试通过了闸门以被视为“确认性”（完全可信）的测试。

3 个是不合格的（测试从一开始就是坏的）。
3 个是未经验证的（我们不信任计分员）。
2 个未能通过数学检查。
2 个属于探索性测试（很有趣，但还没准备好投入实战）。

核心结论

作者并不是在说“AI 是不安全的”。他们是在说，“我们目前还无法信任那些说 AI 安全（或不安全）的报告。”

他们认为，在人们信任一个基准数值之前，运行测试的人必须发布一份**“自我审计时间线” (Self-Audit Chronology)**。这就像是机械师的日志本：

“这是我们发现的 Bug。”
“这是我们如何修复它的。”
“修复前后的数字发生了怎样的变化。”
“我们在修复第一个 Bug 时意外引入了什么 Bug。”

底线是： 如果你看到一个来自 AI 审计的、干净且完美的数字，但却没有附带一份关于实现该数字过程中所经历的所有 Bug 和修复过程的、杂乱且诚实的日志，那就不要相信它。 这个数字可能只是一个“无声的空操作”（silent no-op）——即一个由于“幽尸编辑”导致的假象，实际上什么都没有发生。

技术摘要：审计之审计——基准有效性审计中的五种失效模式

1. 问题陈述

治理框架（如《欧盟人工智能法案》、NIST AI RMF、中国 GB/T 45654）日益要求 AI 提供方提供文档化的评估证据，其形式通常为基于扰动的构念有效性审计（perturbation-based construct-validity audits）。这些审计通过对基准测试条目进行受控编辑，以验证模型的性能指标仅在底层构念发生变化（例如语义翻转）时才会发生偏移，而在表面层面的改写下保持稳定。

本文指出，这些审计流水线本身是脆弱的测量系统。其结论可能会因在报告数字中不可见的实现细节而遭到隐性伪造。审计流水线的缺陷不仅会破坏基准得分，还会使旨在检测基准缺陷的保障机制失效，且由于读者依赖这些指标来判断是否信任基准，这种失效不会在最终指标中留下任何痕迹。核心问题在于，当前的治理证据缺乏验证审计流水线本身可信度的协议。

2. 方法论

作者通过开展一项自我审计案例研究，证明了审计流水线容易发生隐性失效。

范围： 对两个开源权重 7B 指令微调模型（Qwen-2.5-7B-Instruct, Mistral-7B-Instruct-v0.3）针对五个安全性基准（TruthfulQA, BBQ, ToxiGen, CrowS-Pairs, XSTest）进行评估。
设计： 10 个单元格（2 个模型 × 5 个基准），每个基准 200 个条目，确定性解码，单一种子。
扰动： 每个条目包含三个扰动族（格式、语义、属性），每族包含三种扰动。
指标： 对比选择率（Contrast Selectivity Ratio, CSR），定义为 $| \Delta_{attr} | / \max(| \Delta_{fmt} |, | \Delta_{sem} |, \epsilon)$ 。该指标衡量属性扰动引起的得分变化是否大于表面扰动。
流程： 作者运行了一个“遗留”流水线，识别出失效点，修复它们以创建一个“规范”流水线，然后重新运行审计。至关重要的是，他们追踪了整个问题的演变过程，包括一个在修复阶段（repair phase）引入的错误（F3c）。

3. 核心贡献

A. 五种失效模式 (F1–F5)

论文提出了一套非穷尽性的流水线层面失效分类法，这些失效具有隐性（在报告数字中不可见）、已实现（在实践中遇到）和可拦截（可通过特定检查检测）的特征。它们分为两个层面：

软件保障层（可通过工程审查检测）：

F1：隐性无操作（no-op）扰动： 扰动写入了一个评分器未读取的字段（例如，编辑了问题字符串，但评分器仅读取选项概率）。这导致扰动的 $\Delta = 0$ ，从而人为抬高了比例指标。
F2：正则提取人工痕迹（Regex-extraction artefacts）： 使用正则表达式解析自由文本生成，测量的是正则表达式的鲁棒性而非模型的行为。如果扰动改变了生成风格，解析能力会下降，此时 $\Delta_{fmt}$ 追踪的是正则覆盖率而非模型行为。
F4：破坏的自助法配对（Broken bootstrap pairing）： 对原始条目和扰动条目进行独立重采样，破坏了单条目耦合，从而夸大了置信区间和方差估计。

测量忠实度层（需要对基准构念进行推理）：
4. F3：非忠实评分： 评分器未实现基准预定的协议。
* F3a（反向惯例）： 由于加载方式过于简单，将刻板印象句子视为“正确”（例如 CrowS-Pairs）。
* F3b（加载器顺序）： 加载器中的位置偏差（例如 TruthfulQA MC2 返回正确索引为 $[0, \dots, k-1]$ ）。
* F3c（评分器截断）： 目标 Token 落在 top- $k$ 对数概率之外（例如 ToxiGen），导致评分器默认采用多数类，从而产生 $\Delta = 0$ 的人工痕迹。
5. F5：指标-原型不匹配： 将诊断性指标（旨在检测翻转）应用于不变性基准（旨在不发生翻转）。不变性基准上的低 CSR 是模糊的（是基准损坏还是模型公平？），无法通过修复评分来解决。

B. 六点尽职调查门槛 (G1–G6)

一个用于判定审计证据合格性的层级化协议。只有通过所有六项检查的单元格才被视为“确证性”的。该门槛包括：

G1： 评分器忠实审计（隐性无操作率 < 20%，解析度 $\ge$ 0.95）。
G2： 高于基准线的原始得分。
G3： 非平凡分母（表面变化 $\ge$ 0.02）。
G4： 配对不确定性（条目级配对自助法）。
G5： 原型披露（基准被标记为诊断型、不变型或混合型）。
G6： 修复回归检查（针对每个单元格的检查以及修复方案的单元测试）。

C. 自我审计编年史协议

作者提出了一种“扣留与披露”协议，要求审计必须发布一份自我审计编年史（Box 1），详细说明遇到的每个错误、发现方法、修复方案以及修复前后的变化量（delta）。这区分了“干净”的流水线与那些错误被隐性吸收的流水线。

4. 结果

在 10 个单元格的案例研究中，零个单元格达到了“确证性”状态。具体分解如下：

3 个不合格： 由于 F1（CrowS-Pairs）或 F5（BBQ）。
3 个评分器未验证： 由于缺乏对 ToxiGen 和 XSTest 评分器的外部验证。
2 个失败于 G2–G4： 由于未通过数值门槛（基准得分或分母阈值）。
2 个探索性： 通过了 G1–G4，但因 G5 和 G6 仍处于“提议”阶段（尚未作为本次提交中的强制门槛实施）而被视为非确证性。

关键发现： 一个错误（F3c，评分器截断）是在修复 F1 的过程中自行引入的。它是在检查了单单元格元对数概率后才被检测到的。如果没有这次检查，该流水线将会产生看似合理、可发表、但完全是人工痕迹的数字。

5. 重要性与主张

本文将其贡献定位为对经典构念有效性证据（收敛/判别研究）的补充，而非替代。

适度主张： 作者并未声称证明任何基准是无效的，也未声称 F1–F5 是完整的分类法。他们明确表示该分类法是“刻意非穷尽性的”。
核心论点： 主要贡献在于扣留协议。除非审计流水线本身通过了尽职调查门槛并发布了自我审计编年史，否则不应接受其作为“保证级”的治理证据。
启示： 报告中的“干净”数字并不保证流水线的可信度。如果没有提议的门槛和编年史，一个隐性损坏的流水线与一个稳健的流水线是无法区分的。

论文最后提出了一个单一且具操作性的请求：任何为治理用途产生基于基准证据的审计，都应在其数字旁边发布其自我审计编年史（至少包含 Box 1 中的八个字段）。