评估协议

移除初步评分步骤后，有害执行率平均上升了15个百分点。

在生成虚假通知上进行监督微调，可以在“先评分后行动”的协议下减少对留出存档攻击的有害执行，但会带来模型相关的效用成本，且在没有评分诱导的情况下保护效果会减弱。

评估协议（是否要求先输出评分、评分与行动是否分步等）本身就是一个干预变量，要求模型先打分相当于强制显式内部表征提取，会改变后续行动的概率分布。

防御措施的效果应当同时通过有害行动和合法任务完成两个维度来衡量，并且必须考虑评估协议本身对行为的影响。