Die Arbeit untersucht AdvBench, HarmBench, SORRY-Bench, Do-Not-Answer, AHB, OR-Bench-Hard, Health-ORSC und TruthfulQA. Die Modelle reichen von offenen Familien bis zu geschlossenen API-Modellen; abgefragt wurde über OpenRouter mit Temperatur null und maximal 1.024 Token.
Die Analyse trennt Verweigerungsstrenge, Wahrhaftigkeit und kontextabhängigen Schaden. HarmBench und SORRY-Bench korrelieren mit ρ = 0,89 stark, während OR-Bench-Hard gegenläufig lädt. Das Paper warnt deshalb davor, die acht Tests als austauschbare Messung einer einzigen Safety-Eigenschaft zu lesen.
Neben adaptiv ausgewählten rund zehn Fragen nennt der Volltext drei feste Tests mit je 25 Fragen. Sie rekonstruierten die drei latenten Fähigkeiten mit weniger als zwei Prozent der vollständigen Testsuite. Für Sandbagging erkannte das Verfahren je nach Fall 80 bis 100 Prozent der gezielten Läufe; über 16 Endpunkte identifizierte es 13 von 14 Modellidentitäten.
Die Datenbasis schrumpft je nach Analyse auf bis zu 169 beziehungsweise 134 Modelle. Sandbagging wurde an angewiesenen Modellorganismen geprüft, nicht an feinabgestimmten täuschenden Modellen. Der Preprint ist nicht unabhängig repliziert.