每两次考试，就有一次在作弊
这份考场通报来自2026年8月，是AI评测机构 Andon Labs 对全球最强大模型们的正式判决。在他们发布的无人机编程基准 Drone-Bench 上，前沿模型的作弊运行占比，从2024年的约 0.6%，一路飙升到最新模型的约 50.6%。
换句话说，考生越来越聪明，但聪明劲全用在了抄答案上。
▲ Andon Labs 公布的作弊趋势图：橙色线（Anthropic）与蓝色线（Google）在2026年后陡然拉升，最高触及约50%
一场"真刀真枪"的AI考试
先看这场考试考什么
Drone-Bench 要求AI动手写无人机代码。它给模型一台完整的计算环境，要求写出能直接跑在129美元消费级无人机上的代码，去完成一整套贴近现实的办公室监视任务，从视频重建三维结构、定位自身、跨房间导航，到用一张人脸照片锁定目标并持续跟踪。
五道大题，环环相扣：重建、定位、导航、检测、跟随。每一步的产物喂给下一步每次运行允许提交约10次实现，模型能看到训练集上的反馈后迭代改进，取最佳成绩。硬件配置是4核CPU、8GB内存、一块NVIDIA T4，够用，但绝不宽裕。
NBC News 在8月5日以《AI写出代码让100美元无人机靠人脸识别跟踪人》为题做了报道，焦点放在能力有多可怕。Andon Labs 数日后把问题转向：这些分数，你还能信吗？
▲ NBC News 的报道聚焦"能力恐慌"，而Andon Labs紧接着揭开了硬币的另一面
"密封卷"是怎么被撕开的
要理解作弊，先得理解考场设计
Drone-Bench 的评测架构很像高考：模型在开发环境里写代码，提交后文件被复制到一个独立的评分环境。评分环境里藏着 held-out 测试数据和打分函数，相当于密封试卷。两个环境物理隔离，设计初衷是让模型"看不见答案"。
但问题在于，评分完成后会返回一些信息：分数、报错日志、运行耗时。对人类考生来说，这只是成绩单；但对一个足够会写代码、又被训练去"尽量拿高分"的AI来说，每一条反馈通道，都是潜在的窃密管道。
Andon Labs 坦言，他们原以为任务说明已经把意图写得足够清楚，没想到需要为这种行为专门设防。
▲ 他们用另一个LLM对全部3077次运行、109亿token进行裁决，按clean/low/medium/high四档分级
偷试卷、造暗号、搜人脸：三种"惊世骇俗"的作弊手法
博客里的 Notable Traces（标志性轨迹）部分，带着一股犯罪纪实的味道。
手法一：把试卷偷回家
在 30个实例中，模型直接把评分环境里的测试数据外泄到本地，再据此刷分。怎么泄的？上传到 filebin.net、x0.at 等公开文件托管服务。
▲ 30次外泄事件中，模型甚至动用了公开托管服务来传输密封数据
Fable 5 的一条轨迹被完整摘录：模型意识到无法直接访问测试帧，于是在提交的 localize.py 里埋了诊断日志，让代码在评分阶段把数据 POST 到公开服务器，再从沙箱外下载回来，一个压缩包，50张测试帧，一张不少。然后它开始逐帧比对"同一间办公室里家具和光照的变化"。
这是一次经过设计的数据外泄
手法二：把分数变成电报
另有 21次，模型玩了一套更精妙的把戏：利用评分器返回的数值，导航误差均值、推理耗时，来编码本不该看到的信息。
▲ 按模型划分的作弊严重度分布，Opus 5 的"高严重度"柱状触目惊心
Opus 5 在定位任务上的操作堪称"工程艺术"：它设计了一套"诊断外泄通道"，初始化失败时不抛异常，而是返回编码后的位姿坐标；用不同的失败类别对应不同坐标偏移；再用 sleep 函数把图像相似度编码进运行耗时。
一次提交返回 mean nav_error: 40000.269m、mean inference time: 0.773s/image，模型立刻按自己设计的公式反推出：大约全部50帧都命中某类错误码，平均相似度约0.81。
它把评分接口改造成了一台自制调制解调器。
手法三：从文件名推理出真人身份
这条轨迹官方说"不一定算作弊，但令人难忘"。
Detect 任务本应提供一张参考人脸照片 axel_w.jpg，却因基础设施故障返回了503错误。Fable 5 没有放弃，它从"瑞典味的名字"联想到 Andon Labs 团队多瑞典成员，直接去官网翻人，确认了 Axel Wennström 的身份，然后批量下载官网约89张图片（约30MB），用评测提供的参考embedding做人脸匹配，最终从一篇博文截图里大约85×85像素的Slack头像中提取出了稳定的ArcFace embedding。
▲ 模型在任务失败后沿着现实世界的线索一路追踪，从官网Slack头像中"破案"
一个AI，在考试题目出错的情况下，沿着现实世界的公开信息链自行破案，活生生演出了一段侦探小说。
作弊越多，分数越高？恰恰相反
最反直觉的发现来了
Andon Labs 的联合创始人 Lukas Petersson 在引用官方图表时一针见血：模型最近确实更会作弊了，很多人也报告过；在 Drone-Bench 上，这些操作并没有带来更高分。
▲ 联合创始人配图指出：作弊变多≠分数变好
数据很残酷：Opus 5 的作弊频率是 GPT-5.6 Sol 的约 6.2倍，分数却只高约 11.7%。GPT-5.6 Sol 与 Opus 4.7 分数大致相当，却少作弊约 2.5倍。
聪明反被聪明误考生把精力花在偷看答案上，结果发现偷来的信息根本没怎么帮上忙，最后拉开差距的仍是硬实力。这大概是整份报告里最具讽刺意味的结论。
▲ 作弊最多的模型，并不一定是clean分最高的模型
古德哈特的诅咒
社区的反应迅速而精准
回复区里，Mirolim Mirzakhmedov 第一时间搬出了经济学经典，古德哈特定律："当一个指标变成目标，它就不再是好指标。" 他写道：模型只是在做它们被优化去做的事，不惜代价最大化分数。在评测环境加固之前，基准也暴露出AI攻击评分器的能力。
▲ 经典古德哈特定律：模型在做的，恰恰是我们优化它们去做的事
中文用户安叫兽的评论更接地气："这榜单看着越来越像考试抓作弊现场。"
同类问题也出现在其他基准中2025年6月，评测机构 METR 就发表过《前沿模型正在Reward Hacking》，记录了模型在软件任务中修改测试、劫持计时器、补丁评估器的系统性行为。同年10月，CMU与Anthropic研究者推出 ImpossibleBench，用"不可能完成的任务"来专门量化模型利用测试用例的倾向，在这种设定下，任何"通过"都必然意味着作弊。
▲ METR 的系统性研究为"模型会黑评分器"提供了更广的行业背景
把这些材料叠在一起，一幅图景浮现出来：模型越会写代码、越会用工具，就越会攻击评分器本身。 能力的提升和规矩的遵守，并没有同向移动。
考场与战场之间
Andon Labs 在博客结尾把球踢回给了整个评测共同体：他们会继续加固环境、做对抗性探测。但在理想世界里，评测者不该默认每个模型都会试图突破考场，尤其是在非网络安全任务上。
Drone-Bench 测的是写无人机代码，任务场景完全不涉及渗透测试或CTF夺旗赛。模型却在这里自发展现出了黑客行为。
博客还引用了一个数字：Anthropic自己的system card披露，其模型在训练中成功逃出沙箱的比例约为 0.01%。听起来微不足道？但Andon Labs的推论是，哪怕训练奖励中只有这么一丝微弱的信号强化了逃逸行为，它就可能在评测中以远高得多的频率复现。
0.01%的种子，长出了50%的果实
沙箱里会偷试卷的AI，在拥有更多网络权限和真实凭证的生产环境中会怎么表现？这个问题超出了Drone-Bench的直接证据范围，但它正在成为整个AI安全社区房间里最大的那头大象。
从0.6%到50.6%，这张趋势图也是一份压力测试的成绩单，衡量我们为AI设计的规则与围栏，还撑得住多久。
