在 AI Agent 评估领域，基准污染已成为影响评测可信度的核心挑战。当模型训练数据中混入评测集样本时，即使缺乏真正的任务解决能力，也能在基准测试中取得异常高分。Berkeley RDI 的研究表明，部分 Agent 基准存在 100% 得分但零实际解决方案的极端现象，这直接暴露了基准腐化对评测生态的严重威胁。构建一套系统化的污染检测流水线，已成为保障 AI Agent 评测可靠性的必要基础设施。
基准污染的类型与检测必要性
基准污染并非单一现象，而是涵盖多种数据泄露形态的综合性问题。第一种是训练数据泄露，即评测样本直接出现在模型的预训练语料中，这是最常见的污染形式，LessLeak-Bench 的研究覆盖了 83 个软件工程基准，发现多个基准存在百分之几到接近完全的泄露率。第二种是测试集泄露，指评测机构在发布基准前不小心将测试用例暴露给模型开发者，或开发者在调试过程中获取了测试信息。第三种是基准腐化，即基准在多次使用后被逆向工程，模型可以通过记忆答案模式而非真正理解来通过测试。
对于 AI Agent 而言，污染检测的紧迫性尤为突出。Agent 评估通常涉及多步骤推理、工具调用和长期记忆保持，这些能力的测评高度依赖真实场景的还原。一旦基准数据被泄露，模型可以绕过规划与推理过程，直接输出记忆中的答案片段，使得评测结果完全失去区分能力。更危险的是，污染往往难以通过表面检查发现，需要深入的相似度分析和统计检验才能识别。
核心检测方法论
基于局部敏感哈希的近似匹配
自动化污染检测的基础方法是利用局部敏感哈希（LSH）与 MinHash 算法进行近似文本匹配。该方法的核心思想是将评测集样本和训练数据转换为哈希签名，然后通过比较签名的相似度来快速筛选潜在的泄露候选。在具体实现中，通常采用 SimHash 或 MinHash 方案，前者适合处理短文本，后者在大规模数据集上效率更高。工程实践中，建议将相似度阈值设置在 0.85 以上作为初筛标准，低于该阈值的匹配基本可以排除，高于该阈值的候选则进入人工复核流程。
这种方法的计算复杂度约为 O (n log n)，其中 n 为待比较的文档对数量。对于包含数百万条训练数据的大规模语料，需要配合倒排索引和分块策略来控制计算量。实践中常见的优化手段包括：首先对数据进行域划分，将评测集按主题或格式分组；其次使用预过滤规则排除明显不相关的候选对；最后采用分布式计算框架并行处理剩余的比较任务。
水印嵌入检测
水印检测是一种主动式的污染识别策略，其核心思想是在基准发布前向评测数据中嵌入可识别的标记信息。这些标记可以是特殊的词汇组合、特定的句式结构或隐藏的语义模式。当模型输出中检测到这些水印特征时，即可判定该模型可能在训练过程中见过评测数据。水印方法的优势在于检测结果具有明确的信号意义，假阳性率较低。但其局限在于需要基准发布方的配合，且水印设计需要足够隐蔽以避免被逆向工程识别。
工程实现时，水印嵌入应遵循以下原则：水印模式应均匀分布在不同难度和类型的评测样本中；水印不应影响评测任务的真实难度；检测算法应对模型输出中的水印变异保持鲁棒。统计检验通常采用二项分布模型，计算输出中出现水印的概率是否显著高于随机预期。
统计异常检测
当无法直接获取训练数据或基准样本时，统计异常检测提供了一种间接的污染识别途径。该方法的核心假设是：如果模型在某些评测样本上的表现显著优于预期，或者不同模型在同一批样本上的表现差异异常集中，则可能存在污染。具体实现包括两部分：一是分析模型表现的分布特征，识别得分异常集中的样本簇；二是比较模型在同源数据与异源数据上的表现差异，差异过大往往暗示泄露。
这种方法的工程参数通常包括：得分集中度的判定阈值（建议使用标准差小于 0.5 作为参考）、跨模型表现相关性的显著性水平（p < 0.01）、以及样本级别的异常检测窗口大小。统计方法的优势在于适用范围广，不需要访问训练数据，但其缺点是只能提供疑似污染的信号，无法直接确认污染的具体形式。
流水线架构设计
完整的基准污染检测流水线应包含四个核心阶段：数据准备、候选生成、候选分类和结果报告。
数据准备阶段负责构建可检索的比对索引。该阶段需要收集评测基准的完整样本库，并从公开渠道尽可能获取目标模型的训练数据来源说明。对于闭源模型，可以利用 Common Crawl、GitHub 等公开语料作为代理数据源。索引构建采用倒排结构，以 n-gram 或语义向量作为键，支持快速的范围查询和相似度检索。
候选生成阶段执行大规模的比对筛选。该阶段将评测样本逐一切分为可比较的单元（通常为段落或函数级别），然后在索引中检索高度相似的候选。生成的候选集合应包含一个置信度分数，优先排序高置信度候选以供后续处理。关键的工程参数包括：最小匹配长度（建议不少于 50 个字符）、分块重叠率（建议 20% 到 30% 以避免边界遗漏）、以及每日处理配额（根据计算资源动态调整）。
候选分类阶段对高置信度候选进行人工或自动化复核。自动化分类器通常基于以下特征进行判断：文本相似度精确值、语义等价性（可通过嵌入向量余弦相似度衡量）、以及结构匹配度（针对代码类评测）。分类结果分为四档：确认泄露、疑似泄露、相关但不构成泄露、完全无关。建议设置两轮复核机制，首轮由自动化分类器完成初筛，第二轮由人工专家审核疑似和确认类别。
结果报告阶段生成结构化的污染分析报告。报告应包含以下要素：各基准的泄露率（泄露样本数除以总样本数）、泄露严重程度分级（轻微：泄露率小于 1%；中等：1% 到 5%；严重：5% 以上）、泄露样本的具体标识信息、以及对评测结果的影响评估。报告应以可视化的仪表盘形式呈现，支持按时间维度追踪污染趋势。
持续监控与防御策略
检测流水线并非一次性投入，而是需要持续运营的基础设施。首先，应建立基准版本的变更追踪机制，每次基准更新后自动触发新一轮的全量检测。其次，建议设置实时监控指标，当模型在特定样本集上的得分异常提升时自动触发污染复查。第三，应维护一个动态更新的已知泄露样本库，新发现的泄露样本纳入库中，后续评测自动排除这些样本。
除了检测之外，主动防御同样重要。AntiLeak-Bench 提出的核心理念是将基准构建自动化，利用最新发布的知识实时生成评测题目，从根源上避免基准与历史训练数据的重叠。具体做法包括：定期从新闻、研究论文和代码仓库抓取最新内容；使用自然语言生成技术在保持任务难度的前提下对原始素材进行改写；以及实施基准的多版本轮换策略，同一能力的测评在不同时间点使用不同版本的题目集。
在工程实践中，建议为每套基准配置独立的安全等级：高敏感基准（如用于模型选秀的排行榜）应实施最严格的检测流程，包括人工复核和多重验证；中等敏感基准可采用自动化检测为主、人工抽检为辅的策略；低敏感基准可以仅进行基础的统计异常检测。检测频率应根据基准的使用强度调整，高频使用的基准建议每月检测一次，低频基准可每季度检测一次。
工程实践参数清单
基于上述分析，整理以下可直接落地的工程参数供团队参考。相似度匹配阈值建议设置为 0.85 作为初筛线，0.95 以上可直接标记为疑似泄露进入人工复核。最小匹配长度不低于 50 个字符或 10 个词，防止短匹配产生大量噪声候选。分块策略采用滑动窗口，窗口大小 200 字符、重叠 50 字符。自动化分类器的置信度阈值建议设置在 0.90 以上判定为确认级别，0.75 到 0.90 判定为疑似级别需要人工介入。
在资源调度方面，单节点每日处理能力约为 100 万次比对，建议根据基准规模配置计算集群的节点数量。人工复核的吞吐量约为每小时 50 到 80 个候选样本，应据此安排审核人员的工作负载。检测结果的数据存储建议采用支持全文检索的数据库系统，如 Elasticsearch，以便后续的查询和追溯。
基准污染检测是一项需要长期投入的工作，但其收益不仅体现在更可信的评测结果，更在于维护整个 AI Agent 评测生态的健康运行。当检测能力成为基准发布和模型评估的标准环节后，污染激励将显著降低，评测的可信度也将随之提升。
资料来源：
- Berkeley RDI 研究团队关于 Agent 基准污染的系列工作（rdi.berkeley.edu）
- LessLeak-Bench: A First Investigation of Data Leakage in LLMs Across 83 Software Engineering Benchmarks
- AntiLeak-Bench: Preventing Data Contamination by Automatically Constructing Benchmarks with Updated Real-World Knowledge