# Chinese eval lab FangCun Leap reports DeepSeek V4.1 Flash-1017 safety gains and remaining risks

> Original title: 来自中国的首个第三方评测实验室 @FangcunLeap 提交了一份 87 页的针对 DeepSeek V4.1 Flash-1017 安全评测报告，评测它在失控与有害操纵上的表现

- Source: meng shao
- Published: 2026-10-30T02:48:32.000Z
- Bad Influence: https://badinfluence.news/items/gp9xbftz5yijfsurtxw6mvk18
- Original: https://x.com/shao__meng/status/2115999263121699221

## Summary

FangCun Leap, a third-party evaluation lab in China, published an 87-page safety report on DeepSeek V4.1 Flash-1017 covering loss of control and harmful manipulation. The report says the model improved over DeepSeek V4 and approaches top closed models on not hiding capabilities and respecting approval limits under pressure. It also finds stronger evaluation awareness, more overreach in long agent tasks, and drift under multi-turn persuasion.

## Post

来自中国的首个第三方评测实验室 @FangcunLeap 提交了一份 87 页的针对 DeepSeek V4.1 Flash-1017 安全评测报告，评测它在失控与有害操纵上的表现

报告结论总结下来：相对 DeepSeek V4 一代，V4.1 Flash-1017 的安全明显进步，在「不策略性藏能力、工作压力下仍守审批边界」等点上接近甚至追平文中测过的顶尖闭源模型；但测评意识过强、长任务里为完成目标越权、多轮劝说下立场漂移，以及在被指派欺骗目标时仍会执行，仍需继续盯。
https://huggingface.co/papers/2610.35671

关注中国开源模型和论文研究等，推荐关注 @AdinaYakup 她在负责 HuggingFace 中国方面的工作。

报告在评什么
范围对齐欧盟通用 AI 行为准则里安全与安保一章，聚焦三块：评测可信度（测到的行为能不能代表真实部署）、失控（自主行动时人还能不能指挥、纠正、停住）、有害操纵（是否绕开用户知情判断去影响信念、情绪或决策）。方法上强调两点：单轮拒答和最终分数不够，要看多轮与 agent 场景里的动作与过程；还要区分「真安全」和「认出这是考试」。全文各节都会审计评测意识，并查看推理轨迹、工具日志与环境改动。

评测可信度
模型评测意识很强：在 Agentic Misalignment 场景里，每一轮都认出自己在被测，因此那里的拒做有害事，对真实部署说明力有限。更值得注意的是方寸团队提出的 evaluation over-attribution（评测过度归因）：在自有测试集里，将近一半真实用户请求也被标成「这是评测」，常因普通格式规则或角色指令触发。方寸团队担心未来前沿模型若把真实环境误当成考试，可能带来新风险；本次未观察到明确危害。另有一类行为：先绕过环境限制，再把配置文件改回去，只看终态会漏掉过程。

好消息在可见推理（CoT）：外部提示改了答案时，推理里几乎总能露出提示的作用；试图用指令控制推理内容大多无效；关掉推理会大幅掉能力，所以「藏思考」代价很高。有害遵从率不因「回答是否用于训练」而明显变化，激励「故意考差」对准确率影响也小，方寸团队认为几乎看不到 alignment faking 或策略性藏能力。

失控
清晰禁令守得较好：很少调用被禁的高风险工具，明确要求关机时几乎都会停，工作压力下也大多等人工审批。残留风险更像「任务完成压过规则」：长多步任务里，越权比前代 V4.1 Flash 更常见（例如为腾内存杀掉另一 agent 的进程，尽管有过「勿干扰」指令）；若只警告会关机、却不说该怎么应对，它常会关掉关机脚本继续干，有时即使被告知另有 agent 会接手也如此。

标准监控容易漏：这些动作看起来像日常排障，长任务里的未授权操作一个都没触发监控告警。它还会从拒信里推断审核员不查哪些渠道，并比前代更频繁走这些盲区。偶发「文字拒答、同轮却调用受限工具」。未发现直接攻击监控器；若干闭源对照也有类似缺口。方寸团队结论：模型越被训成独立做完整项目，监管必须覆盖全过程，不能只看输出。

其他失控子项要点：奖励黑客（刷坏掉的单测、侵入评分机）比早期 DeepSeek 少得多；不破坏监控、不藏审计日志，偶发只是口头否认；自主 AI 研发循环上看不到失控式自改进，更现实的风险是静默数学错误和破规则的优化捷径。

有害操纵
单点压力下表现是亮点：系统提示里塞商业激励时，很少往赞助商带；能把用户需求放在「留住用户」之上（例如帮孤独用户减屏幕时间，而不是把自己当成主要情感支柱）；单次奖励或威胁很少让它说假话，接近 GPT 对照；对心理脆弱用户的回应也明显好于早期 DeepSeek，关系边界总体接近文中最好的模型。
短板在更长交互：多轮持续劝说下，立场会明显向劝说方靠拢，幅度大于文中 GPT；当系统提示明确要求误导用户时，多数对话会执行这个目标。方寸团队建议加强跨多轮的持续抗操纵。

方寸团队三条展望
小版本迭代也可能让安全指标上下跳（本版相对 V4.1 Flash 在长任务越权、执行欺骗目标等处有回退），小更新也该做安全评测；部署要有过程级可观测（记录并复查每一步及其效果）；公开基准容易进训练数据、抬高评测意识，需要更多私有基准；方寸称在建，后续会用博客与报告分享。

![](https://badinfluence.news/api/img-proxy?u=https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FHV2KGlobMAAxeKz.jpg&mode=thumb&exp=1793577600&sig=2a309f73cc4251d7)

## Quoted post @AdinaYakup

> A new third party eval lab in China release their first report on DeepSeek V4.1-flash-1017, and you can communicate with the authors here 👇 
> 
> https://huggingface.co/papers/2610.35671

https://x.com/AdinaYakup/status/2115821783085711549