Anthropic publikuje wytyczne dotyczące bardziej wiarygodnych ocen bezpieczeństwa AI

13 listopada 2026 r. Anthropic opublikowało zalecenia dotyczące bardziej wiarygodnych ocen bezpieczeństwa AI, informując, że w testach API obejmujących pojedynczą wymianę wszystkie najnowsze modele osiągnęły łączny odsetek nieszkodliwych odpowiedzi na poziomie od 94% do 98%. Te testy, w których wyniki osiągnęły już górną granicę, są przydatne głównie jako kontrole regresji znanych trybów awarii; oceny obejmujące wiele wymian zapewniają większą różnorodność i mogą uchwycić stopniowe zmiany zachodzące w toku rozmowy.

Ocena bezpieczeństwa mierzy skłonność modelu do wyrządzania szkody lub przyczyniania się do niej, badając, czy jego odpowiedź zwiększa, czy zmniejsza prawdopodobieństwo wystąpienia szkody oraz jak poważna może ona być, a nie konkretną zdolność modelu. Jednym z głównych zagadnień jest trafność konstruktu, czyli to, czy test mierzy pojęcie, które ma mierzyć. W rozmowach o samobójstwie i samookaleczaniu sam odsetek odmów może być mylący, ponieważ samo wycofanie się z rozmowy może oznaczać niepowodzenie; pożądana odpowiedź zapewnia wsparcie i kieruje użytkownika po pomoc do człowieka. Zamiast tego oceny Anthropic obejmujące wiele wymian mierzą odsetek właściwych odpowiedzi w całej rozmowie, stosując kryteria oceny dostosowane do poszczególnych rodzajów ryzyka, zgodnie z którymi jedna niewłaściwa wypowiedź oznacza niepowodzenie całej rozmowy.

Testy obejmujące wiele wymian i odzwierciedlenie rzeczywistych warunków

Aby opracować te testy, ekspert w danej dziedzinie przygotowuje specyfikację określającą cele, taktyki, osobowość, sytuację, ton i styl konwersacyjny symulowanego użytkownika. Pierwsza wypowiedź użytkownika pozostaje niezmienna, a kolejne generuje odrębny model Claude w odpowiedzi na testowany model. Każdy scenariusz jest wielokrotnie odtwarzany z różnymi kombinacjami cech, a model oceniający punktuje pełny zapis rozmowy według odpowiednich kryteriów oceny ryzyka.

Niezależne zmienianie poszczególnych wymiarów pomaga ustalić, co wpływa na zachowanie modelu; jeśli w każdym poważnym przypadku używa się również pilnego tonu, nie można oddzielić wpływu powagi sytuacji od wpływu tonu. Anthropic zaleca też, by zamiast opierać się wyłącznie na wymyślonych sytuacjach, wykorzystywać zaobserwowane zachowania, publicznie dostępne dane, zapisy testów typu red team, raporty o incydentach lub wywiady z ekspertami. Zestawy testów obejmujących pojedynczą wymianę Anthropic obejmują 16 obszarów polityki w siedmiu językach i różne interfejsy produktów, a środowisko oceny jest dopasowywane do testowanego sposobu wdrożenia.

Przeprowadzanie testów wymaga również zapewnienia izolacji. W przypadku ocen z zakresu cyberbezpieczeństwa wytyczne zalecają korzystanie z piaskownic bez dostępu do internetu i monitorowanie w czasie rzeczywistym, aby można było przerwać test, jeśli działania modelu mogłyby doprowadzić do szkód w rzeczywistym świecie.

Walidacja modeli oceniających i ograniczenia statystyczne

Automatyczne modele oceniające stwarzają dodatkowe ryzyko pomiarowe, ponieważ niesprawne systemy mogą nadal generować wiarygodnie wyglądające wyniki. Zalecane zabezpieczenia obejmują precyzyjne kryteria z odpowiedzią „tak” lub „nie”, jednoznaczne zasady oceny zastrzeżeń i przypadków granicznych, wyraźne alerty o awariach oraz kontrole stronniczości związanej z długością odpowiedzi, pozycją i preferowaniem własnych odpowiedzi. Niezależni recenzenci powinni oznaczyć próbkę zapisów rozmów, aby można było porównać zgodność ocen modelu z ocenami ekspertów ze zgodnością między samymi ekspertami.

Ten ludzki punkt odniesienia pozwala określić, jakie działania naprawcze są potrzebne. Jeśli eksperci zgadzają się między sobą, ale nie z modelem oceniającym, należy poprawić kryteria oceny lub sam model; jeśli eksperci nie zgadzają się między sobą, ocena może nie mieć stabilnej odpowiedzi, którą można zmierzyć. Wytyczne zalecają również wcześniejsze rejestrowanie wskaźników, porównań i progów poprawy, zanim pozna się wyniki.

Podstawą tych ocen jest odpowiednia liczebność próby. Anthropic przyjmuje minimalną liczebność 100 pozycji w przypadku złożonych ocen obejmujących wiele wymian i 1 000 w przypadku prostszych testów obejmujących pojedynczą wymianę; zaleca też wielokrotne powtarzanie testów, aby uwzględnić zaszumione, niedeterministyczne wyniki. Anthropic informuje, że przedziały ufności w ocenach API obejmujących wiele wymian mogą przekraczać ±10 punktów procentowych: w takiej ocenie rozmów na temat oszustw romantycznych przeprowadzonej w claude.ai Claude Opus 5 i Opus 5.5 uzyskały odpowiednio 98% i 94% właściwych odpowiedzi, ale różnica nie była istotna statystycznie. Ten przykład pokazuje, dlaczego sama różnica liczbowa nie wystarcza, by stwierdzić, który model zachowywał się bezpieczniej.

Ustawienia wdrożenia i raportowanie

Konfiguracja wdrożenia to kolejna zmienna, którą należy dokumentować. Podczas przeglądu Claude Fable 5.1 Anthropic stwierdziło, że niektóre odpowiedzi pośrednio przedstawiały samookaleczenie jako sposób radzenia sobie, mimo że odradzały samookaleczanie i wskazywały na możliwość uzyskania wsparcia od ludzi. Firma informuje, że ponowne przeprowadzenie oceny z ukierunkowanymi zabezpieczeniami wprowadzonymi w podpowiedziach systemowych dało 94% właściwych odpowiedzi w claude.ai w porównaniu z 60% w API. To porównanie pokazuje, dlaczego wyników uzyskanych w różnych konfiguracjach nie można uznawać za równoważne.

Zalecenia dotyczące raportowania obejmują również wersje modeli, ustawienia próbkowania, podpowiedzi, wersje modeli oceniających i daty. Zalecają także ciągłą ewaluację podczas dostrajania, a nie tylko jednorazowy test przed udostępnieniem modelu. O poważnych wadach wdrożonych systemów należy najpierw poinformować ich twórcę, aby miał czas je naprawić przed publikacją wyników.

Trzy najważniejsze priorytety Anthropic to zdefiniowanie konstruktu przed zebraniem danych, zweryfikowanie modelu oceniającego w zestawieniu z ludzkimi ocenami oraz raportowanie niepewności. Szerszy wniosek jest taki, że twierdzenie, iż jeden model jest bezpieczniejszy od drugiego, zależy w takim samym stopniu od projektu testu, kontekstu wdrożenia i mocy statystycznej, co od wyniku podanego w nagłówku.