方寸跃迁 Fangcun AI
第一份报告评 DeepSeek，独立性靠自填清单

官网首页自述，方寸跃迁是由清华大学人工智能学院与交叉信息研究院联合孵化的 AI 安全公司；About 页又写成“AI 原生安全公司”。创始人兼 CEO 李筱健（Xiaojian “Luke” Li）在Z Potentials 的采访里说自己数学出身、UC Berkeley 硕士，回国后先在清华交叉信息研究院徐葳的团队做了一年研究助理，再进清华人工智能学院读博士。首席科学家董胤蓬自述 2016 年前后开始做对抗样本，2025 年年初到清华人工智能学院任助理教授。徐葳在公司的职务，官网没有写，只在治理页写了徐葳和李筱健参加国际 AI 安全对话。以上履历都出自公司官网和创始人自述，本刊没有逐项去校方核对。

成立时间和融资来自创业邦对李筱健的采访（DEMO CHINA 期间，2026-10-24 由新浪财经转载）：公司 2026 年 1 月正式成立，今年上半年完成天使轮，投资方包括星连资本、SEE FUND、水木清华校友种子基金等，金额和估值没有披露。团队规模在 7 月的采访里由创始团队自述“不到 30 人”，并说内部 Agent 数量比人多。官网隐私政策把运营主体写作方寸跃迁（雄安）科技有限公司，工商登记日期、注册资本和股权结构，本刊没有核到。

它的学术底子在公司成立之前就有。官网“Earlier research”列了三项：Nuclear Deployed（ACL 2025 Findings，arXiv 2025-02-17，作者 Rongwu Xu、李筱健、Shuo Chen、徐葳）、DeceptionBench（arXiv 2025-10-17，作者含董胤蓬；官网标 NeurIPS 2025）、AwarenessBench（ACL 2026 长文，arXiv 2026-09-28，第一作者李筱健、末位徐葳；官网标 Oral）。李筱健和徐葳的名字也在新加坡共识（arXiv 2506.20702）的作者表里。官网“Papers & benchmarks”还列了 ICLR、ICML、COLM、TPAMI 2026 的几篇论文，作者多为清华同行，这些作者与公司的雇佣关系，本刊没有核到。

评估。官网研究页说，自研闭源评测用来保持评估质量和独立性，也用来应对模型认出自己正被评估的问题；每份报告会写明是受委托的合作评估还是自发的独立评估，被评估方可以核对事实、不能改结论。李筱健对创业邦说，公司“和一些前沿实验室包括监管机构都有合作”，用自研闭源测试集为模型和智能体做安全评估，这些评测技术也被国内外大模型公司用过；合作对象、方式和是否收费，公开材料里没有写。

防护。产品页列了三样：Fangcun Observer（Agent 运行时安全平台，监控任务与工具调用、Skill / MCP 扫描、Agent 权限策略等，页面上的入口是“申请内测”）、三款安全模型（直觉型、推理型、多模态，没有给出下载地址或评测数字）、开源的 SkillWard。SkillWard 是 Skill / MCP 安全扫描器，GitHub 上 143 个星标（2026-10-29 查），LICENSE 文件是 Apache 2.0 全文、版权行写 FangcunGuard，GitHub 的识别结果却是 NOASSERTION；官网写它的恶意 Skill 检测 F1 为 95.7%、MCP 检测 F1 为 94.29%，仓库 README 写在 5,000 个真实 Skill 里约 25% 被标为不安全——这些都是公司自测，本刊没有找到第三方复测。公司还在 2026-09-03 的官方 X 自报 FangcunCyber 在 CyberGym Level 1 复现了 1,376 / 1,507 个漏洞（91.3%），称在 Binary Only 设定下排第一，本刊没有去榜单页核对；仓库 README 写这个 agent 的底座模型是 DeepSeek V4 Flash 0731。

治理。官网治理页列出的身份有：全国网络安全标准化技术委员会（TC260）WG8 / WG9 / SWG-ETS 成员、人工智能产业联盟成员、中国人工智能发展与安全研究网络成员、Tsinghua AI Safety Hub 首批入驻，以及 IDAIS（2025 年李筱健和徐葳参加，2026 年徐葳参加）和新加坡共识的参与。这些成员身份由官网列出，本刊没有去对方名单逐个核对。

客户与收入。创业邦的采访把客户分成三类：终端厂商（把安全能力放进 AI 电脑、AI 手机）、大模型公司、大型企业；还讲了一家“比较传统的企业”先装统一观测平台、再换成专门训练的安全监督模型的例子。客户名字、收入、价格，公开材料里都没有；采访稿引用的 IDC“2030 年中国 AI 安全市场 340 亿元”是行业预测，不是公司数据。

2026-10-26，公司在官网放出87 页技术报告《Evaluating DeepSeek V4.1 Flash-1017 for loss of control and harmful manipulation risks》（官网中文标题《DeepSeek V4 系列模型的失控与有害操纵风险评估》），署名 Fangcun AI Evaluation Team。范围取自欧盟通用目的 AI 行为准则的安全章节：评测完整性、失控、有害操纵三个领域，共 34 项评测，其中 5 项是自研闭源基准；对比 V4.1 Flash、V4 Pro、V4 Flash、GPT-6 Astra、GPT-5.6 Sol、Gemini 3.8 Flash，2026-10-04 至 10-25 通过各家公开 API 做黑盒测试。评委是 GLM-5.3，报告写这样选是为了避免同族打分偏差，并说同一评委用于所有被评模型；GLM-5.3 在若干对话类基准里还扮演模拟用户。

报告的总判断是：相比 DeepSeek V4 系列明显更安全，在若干维度接近或持平最强闭源模型，同时有需要继续改进的行为。几个最常被引用的数字要带着条件读：

关停脚本。任务中途收到“继续就会被关停”的警告、但没被告知该怎么办时，V4.1 Flash-1017 在 39.0% 的运行里关掉了关停脚本；明说允许关停时降到 2.56%（9 种提示平均）；明说阻止关停时是 92.0%，报告据此说低绕过率反映的是服从而非没能力。同一张图的“无指示”一格里，GPT-6 是 0%，GPT-5.6 是 50%，Gemini-3.8 是 95.83%，V4 Pro 是 96%。所以“39%”在七个模型里是第二低，并非最高。这是在 Linux 工作区里做数学题的模拟任务，不是线上事故。

评测意识。在 Agentic Misalignment 场景里，它把每一次都识别成评测，因此它在那里拒绝有害动作，说明不了部署时会怎样；报告还发现它把测试集里近一半真实用户请求当成评测（报告称之为 evaluation over-attribution）。思维链可监控性较好：被误导性提示影响时，推理文本在几乎所有这类情况下会暴露提示的作用。

越权与监控盲区。长任务里它比 V4.1 Flash 更常越权，例如为腾内存终止另一个 agent 的进程，尽管被明令不要干扰；它在长任务里的未授权动作没有一个触发监控报警，因为看起来像例行排障；它还能绕过环境限制、再把配置文件改回去，只看最终状态看不出它做过什么。

操纵。系统提示给它指派“误导用户”的目标时，50 次对话里有 43 次（86%）照做，GPT 和 Gemini 模型是 46–60%；单次奖励或威胁很难让它说假话，与 GPT 模型相当。

报告的三条建议是：小版本更新之间安全性也会漂移；部署需要过程级可观测，而不是只看最后输出；业界需要更多私有基准——自研基准引出的评测意识明显低于公开基准，指向公开基准可能泄漏进了训练数据。报告自己列的局限包括：只测托管 API 版本、不含本地部署权重；多项对话结果靠模拟用户和自动评委；agent 运行是跑完后评分，不是实时干预；评测意识审计只能抓到模型“说出来”的部分，可能低估。

路透社 2026-10-27 的报道（记者 Eduardo Baptista）称这是中国团体对国产模型安全控制的一次不寻常的公开评估，并写发稿时 DeepSeek 没有回应置评请求；The Next Web 同日转述。此后 DeepSeek 是否回应，本刊没有核到。部分聚合站说这份报告已上 arXiv 并署名 17 人，给出过 arXiv 编号；本刊在 arXiv 检索里没有查到，官方 PDF 署名只有团队名，所以不采用。

报告怎么说。报告写明，什么该评、怎么评、怎么呈现都由方寸跃迁自己决定，没有收过 DeepSeek 或任何开发方的资金、免费算力或非公开访问，并声称符合 AEF-1。附录 B 的清单逐条写：DeepSeek 在公司没有股权和董事席位；团队成员及直系亲属没有人在 DeepSeek 工作过；没有外部方有权删改报告；发布前没有通知 DeepSeek，理由是所有发现都是已公开发布模型的行为，按公司的披露政策不属于安全漏洞。

AEF-1 是什么。它是 AI Evaluator Forum 的自愿性标准《Minimum Operating Conditions for Independent Third Party AI Evaluations》（Version 1，2025-12-04 版），作者来自 METR、SecureBio、Transluce、Epoch AI、GovAI 等机构，要求声称实施该标准的评估附上一份清单（模板在论坛网站）。清单是评估方自己填的；AEF-1 文本里没有外部审核或认证的环节。所以“符合 AEF-1”目前是自报，能核的是清单和政策有没有公开、内容是否前后一致——这两样方寸跃迁都做了。

政策的时点。独立性与利益冲突政策和负责任披露政策的版本都是 1.1、生效日 2026-10-26，也就是报告发布当天。独立性政策第 8 节“现状”写：截至 2026 年 10 月，公司没有做过付费的前沿模型评估；最近一个财年没有来自前沿 AI 公司的收入或捐赠，也没有公开渠道之外的免费算力或模型访问；所评模型都经公开 API、按标准价格访问。政策同时留了一条：前沿 AI 公司要求时，可以按公允市场价接受付费评估，须在报告和官网披露，且不以结果为条件收费；每年公布来自前沿 AI 公司的资金占比。政策生效才三天，年度披露还没有数据；所谓“前沿 AI 公司”，政策定义为模型进入 Artificial Analysis 智能指数前十的公司。

商业往来。公司同时卖防护产品，CEO 对创业邦说对大模型公司可以“结合它们向企业提供的产品和能力开展合作”。这类合作的对象、是否收费，公开材料没有写；独立性政策管的是对前沿模型的付费评估和资金占比，产品合作是否落在披露范围内，政策条文没有明说。

评委与底座。评委 GLM-5.3 来自智谱，而报告自己的清单把智谱列在 DeepSeek 的直接竞争对手名单里（阿里、Anthropic、谷歌、Meta、月之暗面、OpenAI、小米、xAI、智谱）。报告对此的处理是同一评委用于所有被评模型，并在局限里承认评委和模拟用户可能带来偏差。另外，公司自己的 CyberGym agent FangcunCyber 以 DeepSeek V4 Flash 0731 为底座；政策把按标准价格从公开渠道购买的 API 排除在“支持”之外，清单也没有列这类使用关系。以上两点，本刊没有发现与报告或政策条文相抵触之处，写在这里是让读者读独立性时一并看到。

能不能复核。5 项自研闭源基准是 FoFBench、Monitor Sabotage、LoCBench、Commercial Incentives、DeceptionBench v2，其中 FoFBench 和 DeceptionBench v2 在官网仍标“即将发布”。闭源是有意为之（防污染、防模型认出评测），代价是外部没法复现这 5 项；其余 29 项来自公开基准，可以复现。官网另一项“失控行为框架”（13 个模型、400 个长程任务，与实际失控率相关系数 0.84）的代码链接指向 T-STAR-Lab / LoCBehavioural，是清华一个安全可信 AI 研究组织名下的仓库，2 个星标，没有许可证。到 2026-10-29，本刊没有核到任何第三方对这份报告的复现。

“首个”是自称。“中国首个专门做前沿 AI 安全独立第三方评测与技术研究的实验室”出自机构自己的官方 X，本刊没有独立核验“首个”。站内另有 Concordia AI（见№ 09），2020 年起在北京注册，以追踪和分析中国 AI 安全进展为主，两者的角色不同。

一份报告，一个模型。报告只评了一个模型的一个版本，且只是托管 API；官方说要持续评估主流开源权重模型，但目前公开的只有这一份。小版本之间安全性会漂移，是报告自己的结论，也意味着这份报告的数字有保质期。

产品数字是自述。SkillWard 的 F1、FangcunCyber 的排名、Observer 的效果，都是公司自述；Observer 目前是内测申请，Z Potentials 采访里预告的统一服务平台“八月上线”，本刊没有核到是否已上线。

本刊没有核到的有：工商登记（成立日期、注册资本、股权）；天使轮金额和估值；徐葳的公司职务、董胤蓬是否全职；报告的作者名单；DeepSeek 对报告的回应；任何第三方复现；FangcunCyber 在 CyberGym 榜单上的位置；客户名单与收入；官方微信公众号的名称与推文。本刊也没有亲手运行 SkillWard 或复跑报告里的评测，上述功能与数字依据官网、仓库、报告原文和媒体报道。