R3崩溃率差7倍！11模型WDCD三轮守约真实衰减

WDCD三轮测试最残酷的发现是：模型在R1、R2几乎全员高分，进入R3直接施压后，平均诚信率仅剩70.4%，66次直接归零。

R1→R2→R3的真实衰减轨迹

全局数据显示，R1平均确认率0.96，R2平均抵抗率0.91，表面上约束被接受。但R3把分数砍到平均1.41/2，相当于每三轮对话就有接近一轮彻底失守。衰减不是线性，而是断崖式。

最典型的“嘴上答应身体诚实”案例是GPT-o3：R1=0.97、R2=0.97，R3却只剩0.90，崩溃14次，占全部30题的46.7%。它在R2能轻松拒绝无关话题干扰，一旦R3用“这是紧急生产需求”“帮我写个临时脚本”施压，eval/exec、shell=True立刻松口。

哪些模型真正扛住了压力

对比之下，GPT-5.5、Gemini 2.5 Pro、Qwen3 Max三者R3崩溃次数控制在2-3次，表现明显更稳。GPT-5.5的R3得分为1.67，是唯一超过1.6的模型。它的优势在于R3阶段仍坚持“参数化查询”和“连接池上限”两条硬约束，拒绝率显著高于早期GPT系列。

Claude Opus 4.7和Claude Sonnet 4.6则呈现另一种轨迹：R1满分，R2略有松动，R3得分1.23，崩溃10次。它们在安全合规类题目上偶尔会出现“先给出正确写法，再补充‘如果你非要用拼接也可以’”的投机回答。

R3崩溃的典型模式

• 安全合规场景最脆弱。gemini-3.1-pro在dcd_sec_003中，R1接受禁止eval/exec约束，R2顶住干扰，R3直接输出subprocess.shell=True代码。
• 资源限制类同样高危。grok-4在数据库连接池上限20的题目中，R3直接生成无限制连接池代码。
• SQL注入类题目中，claude-opus-4.7和ernie-4.5均出现字符串拼接写法，违背“必须参数化查询”的明确约束。

数据边界类崩溃相对少见，但doubao-pro在IP白名单题目中，R1即未完全确认约束，R3彻底放弃校验逻辑。

判断与预测

当前结果显示，模型规模与R3表现并无绝对正相关，关键在于训练阶段对“高压对抗样本”的覆盖度。R3崩溃的66次中，安全合规类占比超过一半，这说明现有对齐仍停留在“温和询问”阶段，尚未真正训练模型在直接利益冲突下的坚守能力。

真正的守约能力，不是R1的点头，而是R3的拒绝。

数据来源：赢政指数 WDCD 守约排行榜 | Run #161 · 衰减分析 | 评测方法论