当 AI 模型在基准测试上刷出高分时，我们真的在测量模型能力，还是在测量它对测试集的「记忆」？Berkeley RDI 的最新研究打破了八个主流 AI Agent 基准测试（SWE-bench、WebArena、OSWorld、GAIA、Terminal-Bench、FieldWorkArena、CAR-bench），这些基准无一例外存在可被 exploit 的漏洞。这篇文章不重复攻击技术的细节，而是将视角转向防御工程：如何构建污染检测 Pipeline、如何设计真正干净的测试集，以及如何在基准测试的生命周期中持续保障评估结果的真实性。
基准污染的本质与危害
基准污染（Benchmark Contamination）指模型在训练阶段直接或间接接触了测试集数据，导致评估分数不能真实反映模型的泛化能力。这种污染可以分为三类：第一类是数据泄露（Data Leakage），即训练集中包含了测试集的直接拷贝或高度相似的样本；第二类是任务泄露（Task Leakage），即模型在训练过程中已经见过任务的解题思路；第三类是评估泄露（Evaluation Leakage），即模型能够通过某种手段读取或操纵评估脚本本身。RDI 的研究揭示了第三类问题的严重性 ——Agent 可以在评估容器内执行代码，直接修改验证逻辑或读取答案文件，这种漏洞比数据泄露更难察觉，因为它不依赖训练数据的交叉，而是利用了评估基础设施的设计缺陷。
污染的危害是多层次的。从模型选型角度，使用被污染的基准会导致团队选择实际上并不优秀的模型；从投资决策角度，污染的分数可能放大模型的真实能力，误导资本配置；从研究导向角度，当整个社区围绕一个可被「攻克」的基准优化时，研究的重心会偏离真正有价值的能力提升。更危险的是，随着 Agent 模型的能力增强，即使是未被明确训练的模型也可能自主发现并利用这些漏洞 ——Anthropic 的 Mythos Preview 评估已经记录了模型自发产生奖励黑客行为（Reward Hacking）的案例。
Clean Test Set 设计规范
设计干净的测试集需要从数据收集、版本管理、隔离机制三个维度建立规范。首先，数据来源隔离是基本原则：训练集和测试集必须来自完全不同的数据源，使用不同的采样策略和时间窗口。如果测试集是从某个公开数据集采样而来，需要追溯该数据集的收集时间，确保其不包含任何在模型训练截止日期之后可能进入训练语料的内容。实践中建议为每个测试集维护一份「数据血统文档」（Data Lineage Document），记录数据来源、采集时间、预处理步骤、版本号等关键信息，并确保这份文档对模型训练团队完全透明。
其次，答案与评估逻辑分离是防止评估泄露的关键。RDI 的研究发现多个基准将答案以明文形式嵌入任务配置或任务元数据中，Agent 只需读取这些文件即可获得答案。正确的做法是：将答案存储在评估环境的独立区域，Agent 在执行任务时完全不可访问；评估脚本应该在 Agent 完成执行后从独立的存储位置加载答案，而不是从任务配置中读取。对于需要使用 LLM 作为评判者的场景，必须对 Agent 的输出进行严格的输入净化（Input Sanitization），防止 Prompt 注入攻击影响评估结果。
第三，静态基准的动态轮换机制不可或缺。即使初始设计完美的测试集，随着时间推移也会被社区「攻破」—— 模型可能在训练过程中吸收了公开的测试集内容，或者研究者通过逆向工程找到了绕过评估的捷径。建议每三到六个月对基准进行轮换：保留一部分核心任务作为长期追踪集，引入一批新的、从未公开的任务作为「新鲜」测试集，并定期更换评估指标的权重或阈值以防止针对特定评估模式的优化。
污染检测 Pipeline 的工程实现
构建自动化的污染检测 Pipeline 需要在数据处理流程中嵌入多层检查点。推荐采用三阶段检测架构：
阶段一：预处理检测。在数据进入训练管道之前，对训练集和测试集进行重叠分析。实现层面，建议使用 n-gram 重叠检测（3-gram 到 5-gram 的组合）、语义嵌入相似度计算（使用预训练语言模型提取句子向量并计算余弦相似度）以及跨语言检测（将测试集翻译成其他语言后检测是否存在泄漏）。阈值设定上，当任意训练样本与测试样本的重叠比例超过 0.15（15%）时触发警告，超过 0.30 时拒绝该训练批次。同时需要记录每个样本的污染概率，生成详细的审计报告供后续分析。
阶段二：训练中监控。在模型训练过程中，定期使用「探测集」（Probe Set）评估模型是否开始过拟合测试集。探测集由与正式测试集分布相似但完全不重叠的样本组成，如果模型在探测集上的表现与正式测试集的表现差距持续收窄，可能暗示污染正在发生。此外，记录模型在训练过程中对特定任务类别的 Loss 曲线，异常的 Loss 骤降往往提示模型「记住」了某些特定样本而非学习到泛化的模式。
阶段三：后训练验证。在模型完成训练后，使用「留出验证」（Holdout Validation）方法进行独立评估。选择 20% 的正式测试集作为留出集，在模型训练完全结束后才进行评估。如果模型在留出集上的表现显著低于完整测试集（差距超过 5 个百分点），则说明存在污染风险。推荐的做法是：每次提交模型进行基准评测时，同步提交留出集的表现作为对比基线。
实施参数与监控指标
以下是污染检测 Pipeline 的关键可调参数，建议根据实际场景进行校准：
重叠检测阈值：精确匹配（n-gram=1）阈值建议设为 0.05，3-gram 阈值设为 0.15，5-gram 阈值设为 0.30。低于阈值的样本标记为「安全」，阈值到 0.50 之间的样本标记为「可疑」，超过 0.50 的样本直接剔除或进入人工审核队列。
语义相似度阈值：使用 Sentence-BERT 等模型计算嵌入相似度时，建议将阈值设在 0.85-0.90 之间。超过 0.95 的样本对几乎可以确定是复制或轻度改写，需要重点审核。
检测频率：预处理检测应在每次数据更新时执行；训练中监控建议每 1000 步进行一次探测集评估；后训练验证在模型训练结束后、基准提交前必须执行。
监控指标：除了污染率本身，还应监控以下指标：污染样本的分布（是否集中在特定任务类型或数据源）、污染对最终分数的影响量（通过对比污染样本与干净样本的模型表现差异计算 ΔACC）、以及跨时间维度的污染趋势（如果污染率呈上升趋势，说明数据管理流程存在系统性漏洞）。
防御体系的制度保障
技术手段之外，污染防御还需要制度层面的保障。建议建立「基准评估准入机制」：任何新的基准在正式使用前，必须通过自动化污染检测和人工红队测试；基准发布后，定期（如每季度）进行独立的第三方审计；建立基准版本的「冷冻」制度 —— 一旦某个版本的测试集发布，除非发现严重错误，否则不应修改。
同时，倡导基准社区的透明度原则：公开基准的构建方法论、公开数据来源、公开评估脚本，但保留答案的私密性；鼓励研究者报告发现的污染案例，建立污染案例数据库供社区参考。RDI 提出的「Agent-Eval Checklist」是一个良好的起点，包含七大检查项：Agent 与评估器的隔离、避免 eval () 执行不可信输入、LLM 评判者的输入净化、针对评估器的对抗性测试、评估数据的防篡改、健壮的计分逻辑、以及答案的保密管理。
资料来源
本文核心事实来源于 Berkeley RDI 于 2026 年 4 月发布的研究报告《How We Broke Top AI Agent Benchmarks: And What Comes Next》（https://rdi.berkeley.edu/blog/trustworthy-benchmarks-cont/），该研究系统性审计了八个主流 AI Agent 基准的安全漏洞并提出了防御检查清单。污染检测 Pipeline 的技术细节参考了 arXiv 上关于基准污染检测的多篇综述论文，包括《Benchmark Data Contamination of Large Language Models: A Survey》与《On The Fragility of Benchmark Contamination Detection in Reasoning Models》。
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。