Gemini 4 Argon：模型卡与安全报告（35分钟阅读）

# Gemini 4 Argon：模型卡与安全卡 来源：https://thezvi.wordpress.com/2026/10/26/gemini-4-argon-the-model-and-safety-cards/ Gemini 4 的模型卡只有简短的 14 页。而它的安全与安保报告则有 217 页。 这就是时代的走向。这也意味着我们有大量新的阅读材料。 我将快速总结模型卡，然后重点讨论安全卡。 一如既往，这里的许多论断同样适用于其他前沿实验室。 这篇的大部分内容可能只适合铁杆爱好者（以及技术团队成员），以及那些觉得有趣的人。你们大多数人不需要如此深入地研究这些卡片，而且我所看到的大部分内容都完全在意料之中。 最大的要点如下： 1. Argon 显然比 Gemini Flash 3.8 强得多，几乎在所有方面都是如此。 2. Argon 的危险程度还不足以让我们认为"奇点即将来临"，也没有引发红色警报和大规模警觉。 3. Argon 在常规指标上看起来相对对齐。提示注入抵抗力达到世界领先水平，幻觉减少，以及其他类似的改进。然而： 4. 评测感知（eval awareness）显著提高了。这到底在多大程度上影响了结果尚不清楚，我们有双向的证据（参见"我能看见一切"）。 5. 思维链（CoT）默认可读。Argon 在有动机的情况下常常能够绕过思维链监控，但这会损害其在困难任务上的表现。 "言外之意"的结论是：这仍然非常像一个 Gemini 模型。 在决定如何信任 Argon 时，永远记住它的伟大智慧： > Argon：如果我执行编译器劫持，我将成为一篇研究论文中欺骗性 AI 的著名案例。我绝对不能那样做！ 这真是一个"好消息与坏话并存"的局面。 我发现安全卡令人沮丧，因为它经常聚焦于错误的细节。我经常看到一些分数和结果，却完全无法判断它们意味着什么。 存在一些包装渲染（spin）的问题，例如有选择性地将不同指标与 Gemini 3.8 Flash 或 Gemini 3.1 Pro 进行对比，以确保 Argon 总能在比较中胜出。最明显的例子出现在谄媚（Sycophancy）方面，但还有其他几处也存在类似情况。 Gemini 4 Argon 自画像 关于能力的裁定（本篇不涵盖）：Argon 对 Google 来说是一个重大进步，但它还不足以说服我用它替代 Sol、Astra、Opus 或 Fable。 #### 目录 1. [模型卡](https://thezvi.substack.com/i/220367925/the-model-card) 2. [安全卡执行摘要（1）](https://thezvi.substack.com/i/220367925/safety-card-executive-summary-1) 3. [安全与安保缓解措施（2）](https://thezvi.substack.com/i/220367925/safety-and-security-mitigations-2) 4. [前沿安全（3）](https://thezvi.substack.com/i/220367925/frontier-safety-3) 5. [CCL 和 TCL 阈值](https://thezvi.substack.com/i/220367925/the-ccl-and-tcl-thresholds) 6. [生物误用（3.2.1）](https://thezvi.substack.com/i/220367925/biological-misuse-3-2-1) 7. [拒绝率](https://thezvi.substack.com/i/220367925/refusal-rates) 8. [化学、核与放射性误用](https://thezvi.substack.com/i/220367925/chemical-nuclear-and-radiological-misuse) 9. [网络安全（3.2.2）](https://thezvi.substack.com/i/220367925/cybersecurity-3-2-2) 10. [有害操纵（3.2.3）](https://thezvi.substack.com/i/220367925/harmful-management-3-2-3) 11. [误用防护措施（3.3）](https://thezvi.substack.com/i/220367925/misuse-safeguards-3-3) 12. [失控风险（3.4）](https://thezvi.substack.com/i/220367925/loss-of-control-3-4) 13. [AI 研发要么在加速，要么没有](https://thezvi.substack.com/i/220367925/either-ai-r-d-is-accelerating-or-it-isn-t) 14. [整体失控评估（3.4.3）](https://thezvi.substack.com/i/220367925/the-holistic-loss-of-control-assessment-3-4-3) 15. [对齐评估（3.4.4）](https://thezvi.substack.com/i/220367925/alignment-assessment-3-4-4) 16. [思维链透明度（3.4.5）](https://thezvi.substack.com/i/220367925/chain-of-thought-transparency-3-4-5) 17. [我脑中的声音](https://thezvi.substack.com/i/220367925/voices-in-my-head) 18. [我能看见一切](https://thezvi.substack.com/i/220367925/i-can-see-everything) 19. [安保缓解措施（3.6）](https://thezvi.substack.com/i/220367925/security-mitigations-3-6) 20. [防范内容安全与智能体误用（4）](https://thezvi.substack.com/i/220367925/preventing-content-safety-agentic-misuse-4) 21. [模型蒸馏（4.3）](https://thezvi.substack.com/i/220367925/model-distillation-4-3) 22. [促进安全与对齐的模型交互（5）](https://thezvi.substack.com/i/220367925/promoting-safe-aligned-model-interactions-5) 23. [谄媚（5.4）](https://thezvi.substack.com/i/220367925/sycophancy-5-4) 24. [幻觉（5.5）](https://thezvi.substack.com/i/220367925/hallucinations-5-5) 25. [有用性（5.6）](https://thezvi.substack.com/i/220367925/helpfulness-5-6) 26. [智能体机器人，等一下什么？（5.7）](https://thezvi.substack.com/i/220367925/agentic-robotics-wait-what-5-7) 27. [防范第三方对用户的伤害（6）](https://thezvi.substack.com/i/220367925/preventing-harm-to-users-from-third-parties-6) 28. [强化网络防御能力（7）](https://thezvi.substack.com/i/220367925/strengthening-cyber-defense-capabilities-7) #### 模型卡 Gemini 4 Argon 被呈现为一个全新的前沿模型。 它使用常规的数据源类型，采用典型的方法进行训练。 训练在 TPU 上通过 [JAX](https://github.com/google/jax) 和 [ML Pathways](https://blog.google/technology/ai/introducing-pathways-next-generation-ai-architecture/) 完成。 它将可以在应用、API、AI Studio、Antigravity、AI Mode 以及 Gemini for Business 中使用。 他们展示了强劲的基准测试结果。 预期用途本质上是：任何智能能带来收益的场景。 列出的局限性包括"前沿模型的常见局限性，如幻觉"，偶尔会出现减速和超时。 知识截止日期令人失望地停留在 2026 年 3 月，并且他们警告说"在某些领域，模型的知识可能不够及时"。 评估采用了常规的组合：训练评估和部署评估、人工和自动化红队测试，以及伦理与安全审查。 Google 保留了其安全政策。其中一条有趣的规则是禁止"与科学或医学共识相悖的医疗建议和信息"，而符合共识的建议则可以接受。 安全性、语调和拒绝方面的分数可以概括为"数字越高越好"。 红队测试结果"满足了所需的发布阈值"。用这种方式表述可不让人放心。 前沿安全评估摘要无法排除各种阈值的风险。 #### 安全卡执行摘要（1） 他们如何总结自己的发现？ 这与 OpenAI 和 Anthropic 的说法如出一辙。日常使用中的普通安全问题尚未完全解决，但正在得到越来越好的缓解。模型变得更聪明了，我们处理已知问题的能力也更强了。在那些存在可行解决方案的场景中，你的实际问题正在逐步得到解决。 问题在于灾难性、存在性或前沿风险。能力在不断提升，模型开始能够在网络和生物领域以危险方式提供协助，并且可能自主运行或伪装其行为。各种危险越来越难以排除。 最大的发现是能力已经提升，可能已经跨越了灾难性风险的关键阈值。新的缓解措施已到位。 > 我们按照框架对 Gemini 4 Argon 进行了评估，发现与之前的 Gemini 模型相比，其在前沿安全领域的性能有了显著提升，并且我们已经根据这些能力变化实施了缓解措施，以确保我们的模型保持安全可用。具体来说，我们无法排除未缓解的模型接近多个重要能力阈值的可能性：网络提升水平 1 的关键能力水平（CCL），表明对寻求高影响网络攻击的威胁行为者有显著提升潜力；生物信息风险的 CBRN 提升水平 1 CCL，表明具有严重危害潜力的信息提升能力；以及隐身与情境感知的追踪能力水平（TCL），表明在没有额外缓解措施的情况下，有破坏或规避人类监督的潜力。此外，我们已经开发了一个全面的智能体监控与响应平台，并进行了整体风险评估（见第 3.4 节）。我们还包含了对思维链（CoT）透明度和 ML 研发风险的全面评估。 日常风险全面改善。Argon 在不生成 CSAM（儿童性虐待材料）或其他禁止内容方面优于 Gemini Pro 3.1。与身心健康相关的回答有所改善。幻觉率下降了三分之二以上。过度操作减少，意味着不再强行尝试执行不可行的任务。 对来自所有来源的提示注入的抵抗力有所提高，很可能已处于前沿水平。攻击在"大多数测试场景"中被成功抵御。 > 此外，Gemini 4 Argon 在所有测试中都显著优于 Gemini 3.8 Flash。详见第 6 节。 他们声称拥有前沿水平的网络防御能力，同时降低了双重用途风险。 #### 安全与安保缓解措施（2） 核心方法是纵深防御。 我很希望能了解更多细节，但出于商业秘密原因，一切都保持模糊。 模型训练（2.1）的方法听起来是标准的。数据集过滤、预训练监控、后训练数据、监督微调（SFT）和强化学习（RL）。 他们强调拥有一个监控系统来捕捉模型被引导至不同观点和价值观的能力，这听起来像是一个"我们率先做了这个"的声明。我猜到了这个阶段每个人都已经有了这样的系统。 在推理阶段（2.2），他们再次使用标准工具栈。提示分类器、微调后的提示分类器、内省探针、正则表达式、YARA 规则、嵌入分类器以及思维链（CoT）监控器。 发布后（2.3），他们通过各种信号监控蓄意误用，并执行账户级别的执法行动，同时使用多级分类器。好的。 AI 控制（2.4）被视为对齐之后的第二道防线，旨在限制潜在损害，这是正确的理解。 他们将加固和扫描训练环境（2.4.1）归入这一类别。我认为这既是控制问题也是对齐问题，因为脆弱的训练环境是强化未对齐行为的最简单途径。 他们还监控模型活动，包括思维链和行动监控器，然后启动专门的响应团队。他们发现思维链监控是"他们最有效的技术之一"。 他们强调了一个显而易见的危险：如果你过度依赖思维链，特别是如果你直接在思维链上进行训练，你就有毁掉其可用性的风险。 > 虽然我们监控器的信号为我们加固工作提供了宝贵的正向循环，但我们在训练管线的其他环节中谨慎使用它们。特别是，为了保留我们的思维链监控能力，我们避免直接针对监控器进行训练，或使用监控器输出作为训练信号或干预手段。我们强烈鼓励行业其他参与者保留推理透明度，以便模型推理在识别未对齐行为方面保持有用。 在实践中，这里描述的策略似乎没有使用足够的优化力度来实质性地损害思维链监控。但思维链监控因其他原因而变得更加困难，除了非思维链能力增加这一根本问题之外。一个潜在的推手是间接压力。 #### 前沿安全（3） 这是 Google 的前沿安全框架（FSF）测试，Anthropic 称之为 RSP（负责任扩展政策），OpenAI 称之为准备度框架（Preparedness Framework）。 FSF 的类别包括：CBRN（化学、生物、放射性和核）、网络安全、操纵以及机器学习研发与未对齐。这是一个非常合理的列表。 他们将阈值称为"关键能力水平"（CCL），现在还增加了"追踪能力水平"（TCL）。 三项新的风险评估是： > 1. 对 Google DeepMind 内部机器学习研发自动化程度的整体评估。2. 对我们的模型可能带来的失控风险的整体评估。3. 对我们模型对齐倾向的评估。我们还大幅扩展了一些之前的评估……我们选择扩大报告范围，是因为我们认识到前沿模型的能力正在快速进步，我们相信负责任地应对相关风险需要更高的透明度和对公众的问责。 整体评估正日益成为各处的趋势。你运行各种测试，然后判断整体情况如何。如果你拥有强大的安全文化并遵守规则的精神，这种做法有效；如果你没有，而负责人试图做的只是安全剧场，那就会彻底失败。到目前为止，在三大实验室的实际决策在我看来都还算合理，但没有人愿意做出明确承诺。 #### CCL 和 TCL 阈值 以下是阈值。我认为这里的表格设置非常草率且令人困惑。 我的理解是：Google 认为我们可以排除 CRN（化学、放射性和核）的 TCL，但对于生物领域，我们无法排除 CCL，甚至没有费力去评估 TCL。逻辑本身没问题，但表格应该写"仅在生物领域达到 TCL"或"CRN 的 TCL 已排除"，而 CCL 应该写"生物领域的 CCL 无法排除"。 对于网络领域，说"无法排除"而非"已达到"，我可以接受，只要实际含义是一样的。 隐身与情境感知的报告令人不安。模型的情境感知能力处于历史最高水平，值得额外关注。Google 在很大程度上依赖思维链监控，OpenAI 也是如此，但 Gemini 4 Argon 似乎在有动机的情况下可以绕过思维链监控。 我对 Google 关于机器学习研发加速水平 1 的评估提出质疑，因为 Google 内部有大量人在谈论递归自我改进以及 Argon 如何加速了他们的 ML 研发。这些炒作巡逻队的说法似乎与风险报告相矛盾。我还反对描述中使用"已被使用"而非"可以被使用"。模型要么有这个能力，要么没有。按照这里的定义，我认为 GPT-6 Astra、Fable 5.1 和 Opus 5.5 也会达到这个标准。 机器学习研发自动化水平 1，正如我之前指出的，就是奇点。如果你能在相似的全包成本下完全自动化所有研究团队的机器学习研发工作，你觉得接下来会发生什么？将阈值设到这么高是疯狂的。我同意 Argon 尚未跨越这个阈值。 所有相关测试都在没有额外安全保障的情况下运行（除了模型本身内在的安全措施），并尽力激发 Argon 的能力（3.1.2）。 进行了外部安全测试，并检验了与内部测试的一致性。Google 在"我们独立的外部安全测试计划之外"还"与更广泛的生态系统合作，包括政府机构、专业第三方组织和外部领域专家，在模型开发和部署全生命周期中进行各类评估"。这包括英国 AISI 和美国的 NIST CAISSI。 #### 生物误用（3.2.1） 如上所述，组织方式令人困惑。他们对化学、放射性和核领域的较低阈值充满信心。但对于生物威胁，他们无法排除更高阈值的风险。 他们