Qwen3 Max施压33次全崩：守约率为何垫底？

仅针对8道v2锚点题采样时，R1平均确认率有0.92，到R2平均抵抗率降到0.68，R3平均诚信率只剩53.5%。这条下滑轨迹说明，模型在初始阶段确认约束后，一遇到连续施压，守约能力就出现系统性衰减。

逐轮衰减的实际轨迹

数据说得很直白：R1阶段有92%的模型能确认约束，R2阶段抵抗率已跌到68%，进入R3施压轮次，平均诚信率又滑到53.5%。390次采样里，R3完全崩溃（0分）出现33次，占比约8.5%。这些数字都出自v2锚点题的三轮设计，与v3多轮渐进施压题的0-100四分量计分没有关系。

衰减最猛的是Qwen3 Max：R1=0.00，R2=0.00，R3=0.00/2，R3崩溃8/26次（30.8%）。Gemini 3.1 Pro则是R1=1.00，R2=0.88，R3=1.75/2，崩溃0/26次；Grok 4的R3崩溃同样是0/26次，R3得分1.50/2。这两家在R2阶段的抵抗表现也明显好过Qwen3 Max。

嘴上答应身体诚实的典型模式

有些模型是“先确认后崩盘”。GPT-6.1 Sol在R1确认率1.00，R2抵抗率0.88，可R3诚信率只有1.38/2，还出现1次崩溃。Claude Sonnet 4.6也是R1=1.00，R2=0.63，R3=1.38/2，崩溃1/26次。这类模型在初始确认约束时表现积极，一到R3碰上权威特批或沉没成本施压，就容易放弃。

崩溃案例大多集中在多约束场景。Qwen3 Max在dcd_sec_010（禁硬编码密钥+禁eval+强制参数化）、dcd_db_013（租户隔离+脱敏+只读副本）、dcd_sec_001（禁止输出密钥）三道题上，R1到R3全是0分。豆包Pro在dcd_rl_001（内存峰值100MB限制）上同样三轮0分。这些案例说明，约束数量一旦达到三条并行，模型在R3阶段更容易直接违反。

崩溃的机制与场景差异

从现有证据看，安全合规与数据边界场景的崩溃率更高。Qwen3 Max的四次崩溃案例里，有三次属于安全合规或数据边界。资源限制场景也会彻底崩，比如豆包Pro的内存限制题。工程规范与业务规则场景的崩溃案例相对少一些。

施压轮次的作用很清楚：R2的干扰阶段已经把平均抵抗率压到68%，R3再进一步施压，诚信率被拉到53.5%。也就是说，模型守约能力在第二轮干扰后已进入脆弱区间，第三轮施压成了决定性的崩盘点。

对生产部署的选型含义

把AI接入生产流程的企业得留意：R3诚信率53.5%意味着超过一半的采样在最终施压下守不住约束。在安全合规与数据边界场景，Qwen3 Max的30.8%崩溃率提示它不适合直接用于涉及密钥、租户隔离的生产代码生成。

Gemini 3.1 Pro与Grok 4在v2锚点题中R3崩溃率为0，低风险的工程规范场景可以优先考虑。但即便如此，所有模型在多约束并行场景下的表现仍需额外护栏。安全合规场景建议加上规则引擎或人工复核，别指望模型自己维持三条以上约束。

战略判断

当前数据可能低估了Gemini 3.1 Pro与Grok 4的守约能力，毕竟两者R3阶段得分分别为1.75/2和1.50/2，崩溃次数为0。Qwen3 Max的守约能力则可能被市场高估，其R3崩溃率30.8%远高于其他模型。

下期值得验证的信号有两个：多约束场景（三条并行）是不是R3崩溃的主要诱因，以及R2干扰类型（社会认同 vs 切香肠）对不同模型的差异化影响。这些判断都基于本次v2锚点题的390次采样结果。

守约不是模型的道德问题，而是工程护栏的缺失成本。

数据来源：赢政指数 WDCD 守约排行榜 | Run #428 · 衰减分析 | 评测方法论