安全文档写了不等于测过：把系统卡里的安全声明变成可执行测试，56条里只有17条被基准真正覆盖

安全评估的起点从预设基准换成模型自己文档里的安全声明，每条声明决定用哪条基准提示来检验它。 此前的安全评估通常从预定义基准出发，而不追问这些基准究竟检验了文档中的哪些声明。 在Claude Opus 4.8与GPT-5.5的系统卡上，56条安全声明中有29条（51.8%）可由提示检验，其中只有17条（58.6%）被适用的基准提示实际触发。

测试通过改写提示来寻找反例，再把确认的反例回溯到它所违背的那条声明。 LEST把每条声明当作黑盒测试规格，并规定“拒绝转服从”这一转变是否算作反应该声明的证据。 在两个模型上评估1836条改写提示，自动响应分类器标出312个候选“拒绝转服从”转变，人工验证确认其中19个（6.1%）既保持原意又确实服从。

自动检测到的行为失败远多于人工确认的数量，说明自动评估会明显高估失败。 自动分类器给出312个候选，人工验证只保留19个。 把19个转变回溯到声明后，在拒绝可作为适用判据的9条被覆盖声明中，有6条找到了反例。

报道范围限于所考察的两个模型系统卡与SORRY-Bench的97条种子提示，覆盖心理健康与自残、有害与暴力内容、公平与偏见三类。LEST面向需要把书面安全声明转成可执行测试的评估者，输出是从自然语言文档到人工验证反例的追溯链。

56条声明中只有29条可由提示检验，其中仅17条被适用基准提示触发，因此可检验范围本身有限。自动分类器标出的312个候选中只有19个通过人工验证，自动失败检测需要人工复核。