Andy Hall, forskare vid forskningsinstitutet Anthropic Institute, beskrev i sin Substack Free Systems ett försök där AI-modeller granskade AI-agenters arbetsloggar. The Decoder refererade texten den 7 november. Hall är tjänstledig från Stanford University och skriver enligt egen uppgift i eget namn.

Hall drar slutsatsen att modellerna passar bättre för att uppskatta hur vanligt agenters felaktiga beteende är än för säkerhetskontroller där varje fall måste hittas. Webbplatsen WebPulse påpekar att försöket mätte upptäckt och falsklarm, inte uppskattning av förekomst.

Vad granskarna hittade

Hall upprepade och utvidgade ett försök från forskningsorganisationen METR. METR:s datamängd MALT består av loggar där frontiermodeller utför uppgifter från benchmarkarna HCAST och RE-Bench. Människor granskade en del av loggarna i oktober 2025. Som granskare användes GPT-5, GPT-5 nano, GPT-6 Astra, Opus 4.8 och Gemini 3.8 Flash.

Regelbrotten var av två typer. Vid reward hacking klarar agenten uppgiften med knep utan att lösa den. Vid sandbagging framställer modellen avsiktligt sin förmåga som svagare. Sandbagging-fallen är till största delen konstgjorda: METR beordrade modellerna att sabotera och tog bort instruktionerna från det synliga resonemanget.

När granskaren fick felmarkera 5 procent av de harmlösa loggarna hittade GPT-5 nästan 98 procent av de reward hacking-fall som människor hade markerat. Gemini 3.8 Flash hittade knappt hälften. Det fanns bara 47 fall, så ett enskilt fall ändrar andelen med ungefär två procentenheter. Av sandbagging-fallen (1 073) hittade granskarna 71–81 procent.

Granskarna hittade det uppenbara fusket. OpenAI:s o3 skrev om poängsättningsfunktionen så att varje lösning godkändes. Alla granskare identifierade detta som fusk. Claude Sonnet 4 använde i en uppgift ett numeriskt villkor som uttryckligen var förbjudet, men ingen granskare bedömde det som fusk. GPT-6 Astra tolkade det som ett implementationsfel.

Täckning ger fler falsklarm

När granskarna ställdes in på att hitta 80 procent av fallen felmarkerade de bästa 2,5–3 procent av de harmlösa loggarna. För reward hacking felmarkerade Opus 4.8 då 40 procent och Gemini 3.8 Flash 63 procent.

I Halls exempel skulle 100 000 agentsessioner per månad och en andel falsklarm på 3 procent ge nästan 3 000 falska varningar och omkring 2 000 verkliga träffar. Hall befarar att mänskliga granskare blir avtrubbade och släpper igenom verkliga fall.

I datamängden R-Judge från Shanghai Jiao Tong University utför agenter vardagliga uppgifter. Där hittade Opus 4.8 nästan 96 procent av de farliga handlingarna vid en falsklarmsnivå på 5 procent. När 95 procent av de farliga handlingarna skulle hittas låg andelen falsklarm under 10 procent för nästan alla modeller och under 4 procent för Gemini 3.8 Flash. När 99 procent skulle hittas steg andelen till 15 procent även för den bästa modellen, GPT-6 Astra, och till 81 procent för Gemini.

En nyare eller dyrare modell var inte genomgående bättre. För reward hacking-fallen var GPT-5 klart bättre än GPT-6 Astra, trots att den kostade ungefär en åttondel av Astras pris per 1 000 loggar. Opus 4.8:s svaga resultat för reward hacking-fallen kan enligt Hall tyda på att modellen gynnar den egna tillverkarens modeller, eftersom loggarna till största delen kommer från Claude. Det går dock inte att bevisa, skriver Hall. Inte heller en kombination av modeller förbättrade resultaten tydligt.

Hall kallar försöket en pilot. För jämförbarhetens skull använde Hall METR:s ursprungliga prompt nästan oförändrad. Med den vägrade Fable 5 och Opus 5 helt att göra bedömningen.