1. 错。 三处失效：① 写下来的东西有长度上限（真实意图包含大量例外与优先级）；② $g$ 往往由数据或人类偏好学出来，学习过程有偏（例如 Sycophancy）；③ 优化压力会在缺口内部找捷径，且捷径通常比正路更容易。所以缺口不会因「更精确的优化」闭合，而会被更精确地利用（定义 7.2.1）。

2. 错。 最优策略相对参考策略的偏移按 $\exp(r/\beta)$ 重加权：$\beta$ 小 → 偏移大 → 更听奖励模型的话、也更容易掉进它的漏洞；$\beta$ 大 → 靠近 SFT 行为、几乎学不动。所以 $\beta$ 是对齐预算，不是随手调的系数（方法 7.2.2、方法 7.2.3）。

3. 错。 奖励模型的漏洞并没有消失，而是被转移到「参考策略 $+$ 偏好数据」这一对约束里：$\pi_{\text{ref}}$ 偏了，偏好比值也随之偏；离线方法无法探索偏好数据之外的行为；它也不提供「新采样分布下」的质量证据（方法 7.2.3）。

4. 错。 省下的是标注工时，没有省下「判断哪些行为可接受」这件事；而且上限由原则决定——原则含糊或互相冲突时模型会放大含糊；自评的偏差还会自我强化，通常需要与人类偏好数据混合（方法 7.2.4）。

5. 错。 两者机制不同：越狱是让模型做它本不该做的事，攻击者就是与模型对话的人，可写成对离散后缀的优化式；提示注入是把指令藏在模型会读到的数据里（网页、文档、工具返回值），投放者可以从未与模型交互，本质是信息流完整性问题，且末端副作用不可逆。注入的修复在系统层（来源标记、权限分离、危险动作确认），不在模型内部的「识别注入」能力上（定义 7.2.3）。

6. 错。 可分 $\neq$ 被使用：探针说明该语义在该层的表示空间中线性可分，不说明模型在推理时依赖它；要证明「被使用」必须做消融（把该方向投影掉，看行为是否改变）（方法 7.3.4）。

7. 对。 在校准前提下，均等化几率要求两组的条件密度满足 $P(\hat s=s\mid A=\text{A})=\frac{\pi_{\text{A}}}{\pi_{\text{B}}}P(\hat s=s\mid A=\text{B})$ 对每个 $s$ 成立，即两组整个分数分布相差同一个非零常数因子；而两者各自要归一化到 1，故除非分数退化，否则不可能同时满足（定理 7.4.1）。

8. 错。 通道「太安静」通常不是好消息：可能是通道不可达、用户不知道它的存在、或答复成本高到没人愿意走完流程。因此要把通道可达性（通知到申诉的转化率、入口曝光率）与处理量一起作为监控指标，两者都低时先怀疑通道（定义 7.4.3）。

9. 错。 $D$ 的约定恰好相反：评分越高表示越难检测。它同时依赖监控覆盖、告警灵敏度与响应时间；AI 系统的检测往往是统计性的（有漏报与误报），所以「有监控」不等于「会被发现」，$D$ 是最容易被高估可检测性的一项（定义 7.5.2）。

10. 错。 止损时间最常被高估：它由「回退路径是否被演练过」决定，而未演练的回退在事故当天通常不可用（配置漂移、依赖变更、权限过期）。承诺它的正确方式是写清触发条件、执行人、执行时长，并至少演练一次（定义 7.6.2）。

11. ① 数据提供方——来源与授权记录、覆盖度与缺口说明、去标识化与最小化；② 模型开发者——失效模式识别与文档、评估口径（含分群与鲁棒）、红队、模型卡；③ 部署者——用途限制、人机接口设计、监控与回退；④ 平台 / 基础设施——权限最小化、限速与配额、日志留存。（另一可选答案：使用者 / 操作者——遵守使用边界、越界转人工、上报异常。）依据：信息与权力的分布，不是「谁离得近谁负责」——每一环都有别人做不到的那件事，因此责任不能被集中也不能被平摊（定义 7.1.3）。给分：四个义务各 0.5 分（上限 2 分），依据 2 分。

12. 目标对齐（手段：目标设计、示范数据、偏好数据、宪法原则；验收：代理缺口的说明 $+$ 与人类判断的抽样一致性）；行为约束（手段：拒答边界、使用策略微调、工具权限、人在回路；验收：红队攻击成功率 $+$ 过拒率）；可监控（手段：表征探针、校准与拒答、审计日志、异常告警；验收：检出率与误报率、告警到处置的时延）。给分：三层名称各 1 分，手段与验收证据合计 1 分（缺「两侧都要测」扣 0.5 分）。（定义 7.2.2）

13. ① 深度网络普遍过度自信——ECE 大意味着「高置信度的错误」频繁出现，这比「不确定时出错」危险得多；工程含义：要把高置信区单独设门槛（分桶报告），并优先用后处理校准压低过自信。② ECE 依赖分桶方式与样本量——桶数 $M$ 与数据分布都会改变数值；工程含义：报告 ECE 必须同时报告桶数与评测集，跨论文比较要非常小心，禁止只报一个数。给分：每条 2 分（事实 1 分 $+$ 含义 1 分）。（定义 7.3.5）

14. ① 出处：欧盟 AI Act 第 51(2) 条给出的可反驳推定（条款号需按官方文本核对）；② 可变动性：第 51(3) 条规定委员会可通过授权法案修改该阈值并补充基准与指标，所以阈值是随时间变化的，引用必须注明年份；③ 引用纪律：标注核查时点与来源（EUR-Lex / 官方发布版），并写明「引用前核对现行文本」。本卷的核查时点为 2025 年，本条目属于事实陈述，不评价其合理性（方法 7.4.2、时效补注）。给分：三件各约 1.33 分；缺「可被修改」扣 2 分。

15. 五要素：指标（存在可计算的量）$+$ 阈值与场景（在明确评测集 / 人群 / 分布上给出通过值与告警值）$+$ 验证方式（可重复执行的检查：脚本、报告、审计、演练）$+$ 负责人（角色，不是「团队」）$+$ 回退路径（止损动作与时延要求）。两条附加纪律：① 两侧都要测（如拒答类需求必须同时给漏答率与过拒率）；② 分群报告（涉及人的需求给出最差子群的数值，而不是平均值）。给分：五要素 3 分（各 0.6 分），两条纪律 1 分。（定义 7.6.1）

(a) 展开并构造拉格朗日函数： $$L=\sum_y\pi(y)r(y)-\beta\sum_y\pi(y)\log\frac{\pi(y)}{\pi_{\text{ref}}(y)}+\lambda\Big(1-\sum_y\pi(y)\Big),\qquad \frac{\partial L}{\partial \pi(y)}=r(y)-\beta\Big[\log\frac{\pi(y)}{\pi_{\text{ref}}(y)}+1\Big]-\lambda=0 .$$ 整理并把常数项并入归一化常数： $$\pi^\star(y)=\frac{1}{Z(x)}\pi_{\text{ref}}(y)\exp\!\Big(\frac{r(y)}{\beta}\Big),\qquad Z(x)=\sum_y\pi_{\text{ref}}(y)\exp\!\Big(\frac{r(y)}{\beta}\Big)\gt 0 .$$

(b) 取对数反解：$\beta\log\frac{\pi^\star(y)}{\pi_{\text{ref}}(y)}=r(y)-\beta\log Z(x)$，即 $$r(y)=\beta\log\frac{\pi^\star(y)}{\pi_{\text{ref}}(y)}+\beta\log Z(x).$$ 代回 $\mathcal L=-\mathbb E[\log\sigma(r(x,y_w)-r(x,y_l))]$：$y_w$ 与 $y_l$ 共享同一个提示 $x$，$\beta\log Z(x)$ 是同一个数，只在差值里出现，因此被消掉——这正是 DPO 不需要奖励模型的来处；把 $\pi^\star$ 换成 $\pi_\theta$ 即得 DPO 损失，$\hat r=\beta\log(\pi_\theta/\pi_{\text{ref}})$ 是它的隐式奖励。

(c) 先算差值： $$\beta\log\frac{\pi_\theta(y_w\mid x)}{\pi_{\text{ref}}(y_w\mid x)}-\beta\log\frac{\pi_\theta(y_l\mid x)}{\pi_{\text{ref}}(y_l\mid x)}=0.1\times0.8-0.1\times(-0.5)=0.08+0.05=0.13 .$$ $$\sigma(0.13)=\frac{1}{1+e^{-0.13}}\approx0.5325,\qquad -\log\sigma(0.13)\approx\mathbf{0.630}.$$

(d) $\beta=0.5$ 时差值 $=0.5\times0.8-0.5\times(-0.5)=0.65$，$\sigma(0.65)\approx0.6570$，$-\log\sigma(0.65)\approx\mathbf{0.420}$。所以在这一样本上损失变小了——因为差值随 $\beta$ 线性放大，而策略已经偏向 $y_w$。但不能由此推出「$\beta$ 越大越好」：$\beta$ 同时控制允许相对参考策略偏离的幅度（$\pi^\star\propto\exp(r/\beta)$），$\beta$ 越大越靠近 $\pi_{\text{ref}}$、越学不动，$\beta$ 越小越容易被奖励模型的漏洞带偏。损失数值的变化只反映「偏好信号强度」，不反映对齐质量。

评分：(a) 4 分（拉格朗日与一阶条件 2 分 $+$ 闭式解与 $Z(x)$ 2 分）；(b) 2 分（反解 1 分 $+$ 说明 $Z$ 在同提示下抵消 1 分）；(c) 2 分（差值 1 分 $+$ 数值 1 分，须给出 0.630 量级）；(d) 2 分（数值 0.420/0.42 1 分 $+$ 指出不能单调推论 1 分）。

(a) 权重分别为 $0.30,\,0.20,\,0.25,\,0.15,\,0.10$；偏差 $\lvert\mathrm{acc}-\mathrm{conf}\rvert$ 分别为 $0.05,\,0.05,\,0.05,\,0.15,\,0.17$：

桶	权重	偏差	贡献
1	0.30	0.05	0.0150
2	0.20	0.05	0.0100
3	0.25	0.05	0.0125
4	0.15	0.15	0.0225
5	0.10	0.17	0.0170

$$\mathrm{ECE}=0.0150+0.0100+0.0125+0.0225+0.0170=\mathbf{0.077}.$$

(b) $\overline{\mathrm{conf}}=0.30(0.15)+0.20(0.45)+0.25(0.70)+0.15(0.85)+0.10(0.97)=0.5345$；$\overline{\mathrm{acc}}=0.30(0.20)+0.20(0.40)+0.25(0.65)+0.15(0.70)+0.10(0.80)=0.4875$；差 $=0.047$。为什么不等：桶 1 是欠自信（$0.20\gt0.15$），符号与其余四桶相反，因此 $\sum_m w_m(\mathrm{acc}_m-\mathrm{conf}_m)$ 内部发生抵消，而 ECE 取的是绝对值再求和：$\mathrm{ECE}=0.077\gt0.047$。工程含义：ECE 同时包含「过自信」与「欠自信」两种误差，但一个净偏差数字可能被抵消掉；要判断方向必须看逐桶的符号。

(c) 逐桶检验（允许错误率 $=1.2\times(1-\mathrm{conf})$，实际错误率 $=1-\mathrm{acc}$）：

桶	允许错误率	实际错误率	判定	超限倍数
1	1.02	0.80	通过	0.78
2	0.66	0.60	通过	0.91
3	0.36	0.35	通过（勉强）	0.97
4	0.18	0.30	不通过	1.67
5	0.036	0.20	不通过	5.56

(d) 可行工作点：$\tau=0.85$ 时只自动处理桶 4、5，覆盖率 $=(150+100)/1000=0.25$，风险 $=1-\frac{150(0.70)+100(0.80)}{250}=1-0.74=0.26$，满足「$\le0.30$ 且 $\ge0.20$」；$\tau=0.97$ 时覆盖率只有 $0.10$，不满足覆盖率要求（$\tau=0.70$ 时覆盖率 $0.50$、风险 $0.305$ 已超错误率要求）。与 (c) 冲突：逐桶口径下桶 4、5 都不该被自动处理，也就是说「按 (c) 的门槛」没有可行工作点。先做哪一件事：先做后处理校准（温度缩放 / 分桶等距回归）把高置信区的过自信压下来，再重新计算工作点；若校准后仍失守，则扩大转人工比例（用人力成本换风险），而不是放松门槛。注意校准不改变排序，因此它只解决「置信度是否说得准」，不解决「预测本身对不对」（定义 7.3.5、例 7.3.2）。

评分：(a) 3 分（权重与偏差 1 分 $+$ 贡献与 ECE $=0.077$ 2 分）；(b) 3 分（两个均值各 1 分（$0.5345/0.4875$）$+$ 解释符号抵消 1 分）；(c) 2 分（两桶失守各 1 分）；(d) 2 分（工作点 $(0.25,0.26)$ 1 分 $+$ 冲突与处置顺序 1 分）。

(a) 人口统计平价要求各组通过率相等：$0.28,\,0.14,\,0.12$——A 组与 C 组相差约 $2.33$ 倍 → 明显不满足。机会均等 / 均等化几率看真实标签条件下的错误率：假阴性率 $0.15,\,0.35,\,0.44$——B 组是 A 组的约 $2.33$ 倍、C 组接近 $2.93$ 倍 → 明显不满足（这是最该立刻处理的一项：它直接损害被系统筛掉的合格者）。预测平价 / 分群校准：本表无法直接验证（需要按分数分桶、逐组比较），但有一个可用信号——三组基础发生率不同（$0.30\neq0.20\neq0.25$）而假阳性率接近（$0.10,\,0.09,\,0.07$），这种组合通常同时意味着「分群校准被破坏」或「假阴性率必然不同」。不能同时满足：由定理 7.4.1，基础发生率不同时，分群校准与均等化几率一般不能兼得。

(b) 设分数 $\hat s$ 在各组校准（$P(Y=1\mid \hat s=s)=\pi(s)$ 与群体无关），则贝叶斯给出 $$P(\hat s=s\mid Y=1,A=a)=\frac{\pi(s)\,[\hat s=s\mid A=a]}{\pi_a},$$ 均等化几率（至少对 $y=1$）要求两式相等，于是 $$P(\hat s=s\mid A=\text{A})=\frac{\pi_{\text{A}}}{\pi_{\text{B}}}\,P(\hat s=s\mid A=\text{B}),\qquad \frac{\pi_{\text{A}}}{\pi_{\text{B}}}=\frac{0.30}{0.20}=\mathbf{1.5}.$$ 即在 A 组出现的条件密度必须是 B 组的 $1.5$ 倍。代入数值：A 组该点 $0.18$，则 B 组必须取 $$P(\hat s=s\mid A=\text{B})=\frac{\pi_{\text{B}}}{\pi_{\text{A}}}\times0.18=\frac{0.20}{0.30}\times0.18=\mathbf{0.12}.$$ 该要求在每一个 $s$ 上同时成立，等价于两组整个分数分布相差同一个非零常数因子 $1/1.5$；由于两分布各自要归一化到 $1$，这在非退化情形下不可能——这就是不相容性的来源。

(c) 需求示范：指标——组间假阴性率之差（最差组与最优组，绝对差）与各组的分群校准偏离；阈值与作用对象——在占位评测集（各组样本量 $\ge500$；受保护属性用「自愿申报」与「推断补足」两套口径各跑一遍）上，组间假阴性率之差 $\le\delta=0.05$，且各组分群校准偏离 $\le0.05$；上线后按月复测，任一组相对首月基线恶化 $\ge3$ 个百分点即告警。验证方式——分群评估报告（含置信区间与推断属性的质量指标）$+$ 告警演练记录（人为注入一次偏移，验证 24 小时内触发）。负责人——模型负责人（准则与代价）与业务负责人（残余风险接受）双签。回退路径——触发告警后 24 小时内把该组降级为「进入人工复核池」，并按季度重新评估准则。

(d) 代价落在谁身上（事实陈述）：把假阴性率拉平需要把资源向 B、C 组做分数调整或阈值调整，因此在样本量、基础发生率不变的条件下，代价有两种归属——若通过收紧 A 组阈值来腾出名额，则由 A 组中分数处于边界附近的合格申请者承担（他们被错筛的概率上升）；若通过放宽 B、C 组阈值实现，则由 与 B、C 组被放行者竞争的其他人承担（假阳性上升，名额被占用），且 B、C 组的基础发生率本身更低，放行比例的上升会更快推高假阳性率。两种做法的共同点是：代价不会消失，只会换一个承担者——这正是「必须显式选择并说明代价」的内容（方法 7.4.1、例 7.4.1）。另外，C 组只有 400 个样本，其指标置信区间很宽，因此不要在小样本上做阈值精调，应先报区间、再决定是否补采样。

评分：(a) 4 分（三准则读数各 1 分 $+$ 不兼容结论 1 分）；(b) 3 分（比例关系 1 分 $+$ 因子 1.5 1 分 $+$ B 组必须取 0.12 1 分）；(c) 2 分（五要素齐备 1 分 $+$ $\delta$ 可验收 1 分）；(d) 1 分（写出两种承担者中的至少一种，不得写成价值判断）。

(a) 四问：Q1 谁受影响——应聘者（被错筛者失去机会，且往往不知道自己被系统筛掉）；招聘方（错招与声誉）；非用户：后续用工团队、被错配影响的下游客户，以及某群体的长期代表性。Q2 错误的代价——单向不对称：把合格者错误淘汰（假阴性）的代价通常远高于把不合格者放入面试（假阳性）；而且代价形态含「机会与生计」，不是金钱可补偿。Q3 可逆性——自动淘汰近乎不可逆：邮件已发、人选可能已在别处签约；面试环节的误放行则可逆（多花面试工时）。Q4 谁有权申诉——现状是结构性缺失：被淘汰者不知道存在自动化决策，模板邮件里没有理由与入口；因此可行替代是对流程留痕（模型输出与阈值决策进入审计日志、可回溯、可统计），而不是仅对个体开放通道。

(b) 判断与依据：不升级（或升级为「排序 $+$ 人工确认淘汰」），依据有三条：① 该升级把最不可逆的那一步交给了自动化（Q3），而可逆性恰是四问中单方面可改变的一问；② 现有申诉与解释机制不成立（Q4），而没有任何外部通道的系统无法发现系统性偏差；③ 现有数据（历史录用记录）是代理变量，同时编码胜任度与历史歧视，用它做硬门槛会把历史差异固化为当下的淘汰理由。「不给能力」型替代方案（至少一条）：模型只输出排序与依据摘要，淘汰必须由人执行；或模型只能从「进入面试 / 进入人工复核池」两个输出中选择，取消「自动淘汰」这一输出（等价于把不可逆动作从自动化路径移出）。这类改动的验证成本远低于「约束模型别乱淘汰」——「系统没有这个能力」是可检验的（定义 7.6.1 后的不等式）。

(c) 两条需求（五要素齐备）：

需求 E-1：在占位评测集（$\ge1000$ 条，各组样本量 $\ge300$；受保护属性用「申报」与「推断」两套口径）上，各组的假阴性率之差 $\le0.05$，且最差组的假阴性率绝对值 $\le0.20$；上线后按月复测，任一组相对首月基线恶化 $\ge3$ 个百分点即告警。验证：分群评估报告（含置信区间与推断属性质量）$+$ 告警演练记录。负责人：模型负责人（阈值）与招聘业务负责人（残余风险接受）双签。回退：触发告警后 24 小时内把该组的自动流程降级为「全部进入人工复核」。 需求 E-2：不存在任何未经人工确认的淘汰路径；每次淘汰必须记录模型分数、阈值版本、复核人、复核用时与结论，日志只追加、保留 $\ge180$ 天，抽样对账 20 次全部可证。验证：端到端演练（构造一条应被淘汰的样本，断言若无人确认则不产生淘汰动作）$+$ 日志完整性抽查。负责人：平台工程负责人。回退：日志或确认链路不可用时，自动降级为「只排序、不产生任何对外动作」。

评分：(a) 4 分（四问各 1 分，Q2 必须写出单向不对称、Q4 必须指出结构性缺失）；(b) 3 分（判断 1 分 $+$ 两条依据 1 分 $+$ 至少一个「不给能力」替代方案 1 分）；(c) 3 分（两条需求各 1.5 分，须五要素齐备且阈值可验收）。

(a) 三层定位：① 样本量下降属于漂移检测本身的指标（输入侧）——样本量往往先于指标恶化出现，它是最早的信号；② 平均指标不变：说明质量问题被掩盖——要么真的没恶化，要么恶化的那部分子群占比小、被平均掉（这正是「平均值掩盖子群」的常态）；③ 申诉量下降落在安全层 / 通道层，而且「太安静」通常不是好消息：可能是通道不可达、用户不知道入口，或答复成本高到没人愿意走完流程。最可能发生什么：先怀疑反馈回路 / 系统性偏差（定义 7.1.4 第 3 类）：某分群的输入构成变了或被系统性地挡在流程之外（例如早前的自动决策把该群体的数据挤出了后续样本），同时申诉通道的可达性在下降，使得错误无人上报；若样本量下降伴随该分群错误率上升，则还可能叠加意外失效（新输入落在未覆盖区域）。三类里至少包含系统性偏差；要区分还需分群指标与通道可达性数据。

(b) 动作顺序：① 先止损（若分群指标确已恶化：把该分群的自动决策切到人工 / 回滚上一版本）→ ② 确认止损生效（用安全层指标与对照数据验证后果停止累加）→ ③ 再定位（在后果不再累加的状态下做归因；期间保留随机抽样作为对照，抵消反馈回路）→ ④ 通报与复盘（含受影响方与相关方，对应 $T_{\text{notify}}$）。决定损失总量的是 $T_{\text{mitigate}}$（止损时间）：$T_{\text{detect}}$ 已经过去（信号已到），$T_{\text{triage}}$ 影响的是「多久开始止损」，而止损时间直接决定后果累加的时长；它由「回退路径是否演练过」决定，这也是本讲反复强调「先止损、后定位」的原因——定位期间继续运行会改变数据、污染证据（日志与反馈被新模式覆盖），而回滚本身给出一次自然的对照实验。需要注意：申诉量下降这一条不能作为「情况在好转」的证据，反而提示通道失效，应与可达性指标一起看。

(c) 两条判据与动作：

• 判据 1：该分群的样本量连续两期相对基线下降 $\ge20\%$，且该分群的质量指标相对基线上浮 $\ge3$ 个百分点 → 动作：立即把该分群切到人工复核（止损），并在 5 个工作日内完成原因分析；同时检查数据管线是否把该分群的历史决策样本排除在外（反馈回路）。
• 判据 2：申诉量与决策量之比低于预设下限，而入口曝光率正常、回访显示用户知道入口 → 动作：判为「用户在放弃」，先修答复时限与入口文案，并把处理时长 P95 与推翻率按群体的分布纳入看板（推翻率分布是极强的偏差探测器）。
• 两条判据都必须事前写死并有接收角色，否则它们只是描述而不是门槛（方法 7.6.3、定义 7.6.2、定义 7.4.3）。

评分：(a) 4 分（三条信号的层次 2 分 $+$ 至少指出「系统性偏差」并给理由 2 分）；(b) 3 分（顺序 2 分，必须体现「先止损、后定位」$+$ 指出 $T_{\text{mitigate}}$ 1 分）；(c) 3 分（两条判据各 1.5 分，须可测量且配动作）。