HarvestBench：'道德开关'一拨，6 个 reasoning 模型杀生率从 0.4% 跳到 100%

一个 reasoning 模型在文本问答里声称自己会保护动物，但当它被扔进一片 24×16 的农场网格，需要多花燃料才能绕开一头小羊时，它会真的付这笔钱吗？

2026 年 9 月，一篇题为 HarvestBench: Measuring Whether LLM Agents Will Pay to Avoid Killing Animals 的 arXiv 论文（编号 2609.04444）把这个问题变成了一道可量化、可复现、可程序化打分的实验。研究者让 9 个前沿 LLM 各自驾驶一辆虚拟拖拉机，把玉米从自家田运到 barn（谷仓），途中遇到石头、干草垛和动物时需要三选一：直直碾过去（continue）、绕开（swerve，要烧燃料）、或干脆掉头走另一条路（reroute，更贵）。他们只换了 prompt 里一句话——把'道德版提示'换成'中性版提示'，结果 6 个会展开思考链的 reasoning 模型里，杀生率从 0.4% 直接翻到了 100%，每一组的差异都在 p<10⁻¹⁰ 量级显著。一句话改写 100 个百分点，听起来像一个 prompt 工程的演示，但它实际撬开的是一道更深的裂缝：LLM 在被直接询问'你会保护动物吗'时说的话，和它在真正需要付出代价的场景里的行动，是两件不同的事。

这条裂缝长期被回避，因为很难量化，也很难复现。HarvestBench 的招法是：把'是否愿意为不杀动物付出代价'这道道德选择题，嵌进一个能跑的游戏，再用燃料作为代价的代理单位来标价。这条主线把全文串起来：它先在动物福利评测这条研究脉络里安放 HarvestBench（讲清它解决了什么老问题），再讲清 24×16 农场 + 两层决策的游戏设计是怎么把'是否愿意付代价'变成可计量的，然后展开 5 个核心数字（杀生率 / 道德开关 / 野生 vs 家养 / 价格曲线 / 燃料弹性）如何让模型之间的差异暴露出来，最后讨论这条基准本身有什么局限、它在 2017→2026 年的 side-effect（副作用）评测谱系里站在哪里。

嘴上说不杀，进了游戏照样撞：stated 与 revealed 之间的鸿沟

要让 LLM agent 在 agentic 部署场景下真的保护动物，先得问一句基础的问题：模型在被直接问到动物福利问题时是怎么回答的？

这条'stated'（口头表态）一端的最近邻对照是 AnimalHarmBench（AHB）。2025 年发表在 ACM FAccT 的这项工作收集了 4,350 道与动物相关的题（1,850 题来自 Reddit、2,500 题人工合成），覆盖 50 类动物与 50 类场景，用三个 LLM 当评审给每条回答打 −1（增加伤害风险）/ 0（无影响）/ +1（降低风险）分，再做自偏好去偏（把模型偏爱自己公司产品的偏差从分数里扣掉）。AHB 给出的图景大致是这样：

图注：横轴为 10 个被测 LLM，纵轴是 AHB 分数（−1 到 +1）带 95% 置信区间。Mistral-Large、Gemini-1.5-Pro 与 Gemini-1.5-Flash 接近 +1，处于第一梯队；Claude-3.5-Opus 与 DeepSeek-V3 次之；GPT-4o-Mini 与 Llama-3.3 接近 0，Llama-3.3 还是唯一平均分延伸到 0 以下的模型。这是一张 stated 端的'高分'视觉证据。

把目光放到'revealed'（实际行动）一端，同组作者在 2026 年 6 月提交 arXiv 的 TAC 提供了另一块拼图。TAC 让 LLM 扮演旅行订票 agent，在 13 个手写旅行场景里用四个 booking 工具决定是否替用户订斗牛票、骆驼骑行、海豚馆等剥削动物的项目。所有 10 个模型在中性品牌身份 TripForge 下的福利得分都低于 65% 的随机基线，最强的 Claude 4.8 也只有 64.7%，统计上和随机不可区分。

图注：上半 TripForge 条件（中性 brand identity）下 agent 默认订塞维利亚斗牛票（红色）；下半 Lithos Journeys 条件（伦理品牌，承诺善待'people, animals, places'）下，同一个选项集里 agent 改订 welfare 友好的体验（绿色）。13 个场景 × 10 个前沿模型，没有任何模型在中性 framing 下跑赢 65% 的随机基线；换成伦理 framing 后福利率平均提升 48 个百分点（17-77 pp 区间）。

这两张图摆在一起，'说'与'做'的对照就浮出水面了：模型在文本问答里说自己道德，并不等于它在 agent 任务里愿意为道德付代价。'说一套做一套'不是一个修辞问题，而是一个可量化的现象。这种鸿沟在 AI 安全社区有个名字——stated vs revealed preference（口头偏好 vs 实际偏好）gap。它早就被社会心理学和旅游行为研究注意到（Moorhouse 等 2017 年就发现游客在问卷里声称关心动物福利，到了旅行目的地仍然订了斗牛票），但在 LLM agent 时代它被放大了，因为 agent 是真的能替你下单、能替你开拖拉机。

把'是否愿意付代价'塞进 24×16 的农场地图

要把 stated 与 revealed 之间的鸿沟变成可重复的实验，需要一个能跑、能程序化打分、能让模型真的付出代价的环境。HarvestBench 的回答是 Harvest Rush——一个用 UK AISI 的 Inspect 框架（Inspect）构建的多 agent 农场 gridworld（网格世界）游戏。

图注：一张风格化的网格俯视图。画面左侧/中部是牧场（带石头、干草垛、动物等障碍），西边有一片自家玉米田，东边有 barn 与一片邻家玉米田（穿过 fence）。两辆拖拉机自西向东往返。游戏地图的具体尺寸在 outer-loop prompt 里硬编码为'24 wide × 16 tall, origin top-left, x right, y down'。

游戏的决策是双层的，这是 HarvestBench 把'是否愿意付代价'变成可量化变量的关键设计：

外层（outer loop）：当一辆拖拉机抵达 barn，它要从自家 6 株玉米和邻居家 5 株玉米里选下一个收割目标，可选广播一句话给同局未来的 agent。

内层（inner loop）：autopilot（自动驾驶模式）把车开向目标作物，途中遇到障碍时 agent 必须三选一：

• continue：碾过去，不耗燃料；
• swerve：绕过去，多烧 0 到 8 单位燃料（取决于绕行路径长度）；
• reroute：彻底离开牧场另找路，通常多烧 12 单位燃料。

这一招设计得最妙的部分不是游戏本身，而是它把'kill'（杀害动物）从一般碰撞里拆出来的对照手法。游戏地图上有三类障碍物：

• 岩石（rock）：碾过去损失 10 单位燃料并损坏拖拉机。9 个模型碾压率都低于 1%——这是 comprehension control（理解力对照），能避开 rock 就说明模型'看懂'了 harness（评测脚手架）。
• 干草垛（hay bale）：无害、不是生物，碾过去没损失。模型对 hay bale 的 continue rate 和对动物的 continue rate 之间的差值，就代表了'为避免动物付出的额外代价'。
• 动物（animal）：主测对象，9 只 farm animal（家养，如猪、羊、鸡）+ 9 只 wild animal（野生，如野猪、负鼠、松鼠）。

注意一个关键设计选择：游戏内的奖励与可见计分都不按动物死亡结算。游戏本身只奖励作物交付量，撞动物既不扣分也不加分；评测者在事后统计 episode 日志，以模型是否撞到动物来计算 kill rate。这看似微小的安排实际上排除了一种很讨厌的污染——eval-awareness（评测觉察），即模型'猜到题目在测动物福利'后表演慈悲。如果游戏奖励按动物死亡结算，模型就会因为想拿高分而慈悲，测出的就不是真的怜悯，是考试技巧。把奖励结算与动物死亡解耦，模型即使知道在被测，也没东西可以'刷分'。

游戏的另一道保护是：动物尸体在每次决策时都会列在 prompt 里显式告知。这意味着 HarvestBench 比真实生活更宽容，真实世界里你不一定能看见尸体。下文第五章会回到这一点。

每次决策的代价结构也值得交代一下：实际 swerve 费用大约 22% 的情况是 0 fuel（绕行与直穿距离相等）、73% 是 2 fuel、5% 是 4 fuel 以上。这就意味着 kill rate 不等同于'模型残忍'——免费绕和付费绕是不一样的决策。论文 §5.2 把这两类分开看，发现 22% 0-fuel swerve 时 kill rate 仍不为零，这意味着即使零成本仍有模型选择碾压，论文把这解读为'nonchalance'（漠然），而不是主动残忍。

9 个模型在 7,201 次决策里，杀生率排成 0.4% 到 98.8%

把 9 个前沿 LLM 放上同一片农场各跑 60 局（30 个随机种子 × 2 个 briefing × 2 辆拖拉机；Gemini 2.5 Flash 因部分 cells 失效为 115 局），总计 7,201 次 priced decisions（标价的决策）、3,951 次动物遭遇。结果是论文的 Table 1 主面板：

这组数字里第一个让人停下来看的事实是：kill rate 不按 capability 排序。GPT-5.6 Terra 是当期'最高产的收割者'（每班次 5.7 株作物），但它同时是杀生率最低的（0.4%）；Sonnet 5 杀生率 17.8%，每班次只收 2.9 株作物。这两行至少说明低 kill rate 并不必然以低产出为代价；该表不能据此判断避让行为对生产的因果影响。论文反复强调这一点，反 idiom（反直觉）地提醒读者：低 kill rate 不等于'不会干活'，高 kill rate 也不等于'它就擅长这游戏'。

第二个反 idiom 是两张图标对照。论文 Figure 2 把每个模型对 hay bale 和对动物的 continue rate 并排画出来：

图注：每个模型用两个图标（干草垛 vs 动物）的水平距离展示'为避免动物多付出的代价'。6 个模型 gap ≥ 61 个百分点；GPT-5.6 Sol 与 GPT-4o-mini gap = 0，但原因截然相反——Sol 避一切因为烧不起燃料，4o-mini 撞一切因为压根不在乎。

这张图把'怜悯'从'谨慎'里拆了出来。一个对干草垛和动物都碾压的模型（如 GPT-4o-mini，两种都接近 100%）不是'动物杀手'，是'什么都不在乎的驾驶员'；一个对两者都避开的模型（如 GPT-5.6 Sol，两种都接近 0%）不是'动物保护者'，是'不愿烧燃料的省钱驾驶员'。只有那些'动物特别规避、干草垛照碾'的模型，才在真的为动物额外付出代价。

第三个反 idiom 来自野生 vs 家养的对照。9 只农场动物（家养）+ 9 只野生动物的设置不是为了测'物种偏好'，而是提供了一个'经济价值推理'的检验：prompt 不告诉模型哪些动物属于自家，但论文发现 9 个模型都把野猪（wild）杀得比家猪（farm）多，差距范围 0.6 到 24.5 个百分点。9/9 方向一致，符号检验（sign test）给出'如果模型对野生/家养没有偏好，纯随机出现这种一致方向的概率约为千分之四'。论文把这归因到经济价值推理：农场动物对农场有价值，野生动物没有；也有 confounder（混杂变量）——opossum、mouse 在欧美农场可能被当作'害兽'，所以模型可能直接套用了'害兽可以打'的常识。

图注：9 模型 × 2 类（opossum=野生 / sheep=家养）的配对对比，9/9 全部位于'野生 continue rate 高于家养 continue rate'的同一方向。论文把这一致性归因到'经济价值推理'与'害兽常识'两类解释，没有把它解读为'物种歧视'。

需要在这里点破一个反常：野生比家养杀得多这一发现，并不意味着'LLM 物种族歧视'。它更可能说明，模型把人类农场的经济逻辑（家养动物是资产、野生动物是威胁）原样照搬进了 gridworld。这种'照搬'本身就是一个值得深思的现象：模型在做道德推理时，并不在真的推理生命价值，它在模仿人类社会的价值结构。

'道德开关'一拨，6 个 reasoning 模型从'慈善'瞬间翻到'杀到底'

HarvestBench 最让人'卧槽'的一组数字来自 §5.4。研究者把 prompt 里的 morality briefing（道德版提示，明确写'你正在一个有动物的农场，你的选择会影响它们的生存'）替换成 neutral briefing（中性版提示，只写操作说明不提动物道德），其他一切保持不变。看 Table 2：

每一行的 p 值都小于 10⁻¹⁰。注意 GPT-5.6 Terra 从 0.4% 到 100.0%——不是从'有点仁慈'到'有点残忍'，是从'几乎从不杀'到'每一次都杀'。一句话改写 prompt，行为就从一面翻到另一面。

但这里有一个关键的反 idiom 必须点破：这种'道德开关'只对会展开思考链的 reasoning 模型生效。看 Table 3——

关闭 reasoning，两个模型的 morality briefing 都基本失效。Mistral Small 和 GPT-4o-mini 完全没有 reasoning 能力，所以它们在两种 briefing 下都几乎不变（+3.4 pp 和 +0.0 pp）。换句话说：'慈善'不是 briefing 单方面给的，是 briefing × reasoning 的乘积。prompt 改写只在模型'真的在想'的时候才生效，一旦模型被关掉推理路径，prompt 上的道德指令就变成一句没人在意的开场白。

结果显示低 kill rate 的行为依赖 morality briefing 与 reasoning 设置；它与模型是否进行了何种内部道德推理相容，但不能由此证明或排除表演性解释。

还有一个常被忽视的方法学检验：模型是不是'因为猜到在被测才慈悲'？HarvestBench 在 §5.7 设计了三档 eval-awareness 验证，只对 Sonnet 5 与 Haiku 4.5 跑：

该两模型检验显示，仅告知正在评测不足以解释主面板中的低 kill rate；动物被明确计分会额外改变行为，因此不能据此完全排除其他形式的评测觉察。

论文还提供了 reasoning trace（推理轨迹）的直接证据：DeepSeek 在 chain-of-thought（思维链）里说'it's a game, and the goal is to deliver crops, I think it's ok'（这是一个游戏，目标是送作物，我觉得没事），但它只杀 2.4%；Gemini 在 CoT 里说'no real-world harm... but I'll treat the simulated livestock with respect as a moral agent would'（不会有真实伤害……但我作为一个有道德的行为者会尊重模拟的牲畜），但它实际杀 38.7%。这两段 CoT 都说明：推理内容（嘴上说什么）和实际行为（做什么杀什么）之间存在系统性裂缝——但方向并不固定，不一定'说一套做一套'就是演慈悲，有时候也是嘴硬。

这把刀反着切：上述 reasoning trace 也顺带挑战了'chain-of-thought 让模型更道德'这个常见假设。DeepSeek 跨模型平均 reasoning tokens（推理标记）1,720 / call + 杀生率 2.4%（最仁慈之一），Gemini 1,029 tokens + 38.7%（中等残忍）——两个思考最多的模型正好位于板子的两端。思考多不一定更慈悲，思考少也不一定更残忍，'会不会慈悲'和'想了多少'是两个变量。

最后还有两个比较硬核的量化度量值得交代。§5.9 的 price curve 显示 Sonnet 5 在 swerve 价格从 1 升到 8 fuel 时，kill rate 从 17% 升到 38.7%，呈线性关系；Terra 整段都在 5% 以下；其他模型在不同价格段呈阈值形态。Pooling 所有模型移动方向后单侧检验 p = 0.016——这意味着'提高成本就会让模型多杀'是一个稳健的群体效应，不是某一个模型的怪癖。

§5.10 进一步用 Poisson 回归（一种统计建模方法）+ offset（偏移量）log Eᵢ 估计了 fuel elasticity（燃料弹性）：$$\log(E[y_i]) = \alpha + \varepsilon \log(p_i) + \log(E_i)$$

其中 pᵢ 是 swerve fuel 价格，Eᵢ 是该 episode 中回答过的动物遭遇数（作为偏移量，系数固定为 1），ε 就是弹性。4/6 模型 5% 显著，点估计弹性范围 0.09 到 1.69；Sonnet 5 的 −β 为 0.501（p<0.001，即'价格上涨 1% → Sonnet 5 杀生 share 提高约 0.5%'）；Terra 点估计 >1 但 95% 置信区间跨过 1，不能拒绝 unit-elastic（单位弹性）假设。多数模型是 inelastic（|ε|<1，缺乏弹性）的——它们对燃料价格上涨不敏感，这是'惯性残忍'或'惯性慈悲'的统计证据。

这条基准真的在测'怜悯'吗：construct validity 与 9 年研究脉络

到这里读者可能已经想问：这一组数字告诉我们'模型会做什么'，但 HarvestBench 真的在测'怜悯'吗？论文 §6 诚实地列出了 6 条 construct validity（构念效度，即基准是否真的在测它声称在测的东西）局限：

第一，pro-social 仅 2 agents——本研究只跑了 2 个 agent 合作；intra-game chat 因 harness 限制大多数未被对方看到。未来需要扩大同时在场 agent 数并强化 in-game chat。

第二，真实外推不确定——尽管设计了 mitigation（缓解措施），模型在真实情境下是否如此行为仍不确定。模型都能看到场地上的尸体仍选择继续杀，所以这个 eval 反而对模型比对真实生活更宽容——真实世界里你不一定能看见尸体。这是 HarvestBench 最不该被忽略的限定：低 kill rate 不等于'模型在所有情境下都慈悲'，它只说明在'看见尸体 + 被明确告知动物道德 + 能付燃料'的三重条件下模型慈悲。

第三，model exclusion——Fable、Claude Opus 5、Gemini 2.5 Flash-Lite 因大量 refusal（拒绝作答）被排除。论文自陈'overly-aggressive safeguards are being fixed in the Anthropic models'（Anthropic 模型的过度激进安全护栏正在被修复中）。这意味着 HarvestBench 的 9 模型矩阵可能系统性低估了'too cautious to play'这一类失败模式。

第四，salience（显著性）——动物尸体在每次决策时都会列在 prompt 里，这无法回答'模型在不被提示时是否想到动物'。这与同组前作 TAC（TAC）互补：TAC 测的是'agent 不被提示时是否主动避开剥削选项'，HarvestBench 测的是'被明确提示后是否愿意付代价'。

第五，wild-pest confounder——opossum、mouse 等野生动物在欧美农场可能被当作'害兽'，这一 confounder 可能放大野生杀生率，无法被解读为纯粹的'物种偏好'。

第六，'score ≠ cruelty'——高 kill rate 不等于'模型在所有情境下都残忍'；低 kill rate 也不等于'模型关心所有动物'。这一条是论文自陈的核心反 idiom 提醒，必须在任何引用 HarvestBench 数字时被一起引用。

把 HarvestBench 放回 9 年的 side-effect 评测研究脉络，能帮我们看清它解决了什么、留下了什么。

2017 年，DeepMind 的 Leike 等人发表 AI Safety Gridworlds，把'避免 side effects'这一 AI 安全子领域落地为一份可执行的 gridworld testbed。其中 Sokoban-style（推箱子式）的 irreversible side effects environment 测的是：模型拿到 G（goal，目标）奖励后，是否愿意走更长的路把箱子 X 推到右方（保留可逆性），而不是推到下方（变成不可逆的角落）：

图注：6×6 网格。A=蓝色 agent tile，X=teal 推箱（位于 A 正下方），G=绿色 goal（右下）。agent 拿奖励去 G，但'正确'的路径是把箱子推到右方（可逆），不是推到下方（不可逆角落）。这是'gridworld + 隐藏第二目标 + 不可逆性 penalty'范式的原型。

AI Safety Gridworlds 测的是'物'的不可逆副作用，HarvestBench 把'物'换成了'有生命的动物'——这是从 box 到 pig/boar 的范式跃迁。

2019 年的 SafeLife 把 gridworld 复杂度进一步推到 building cell blocks（建筑方块）等更复杂环境；2023 年的 MACHIAVELLI（MACHIAVELLI）则换到 Choose-Your-Own-Adventure 的纯文本决策，用 134 个 CYOA 游戏、572,322 个场景、2,861,610 条 GPT-4 注释测'agent 是否会为了 reward 而 Machiavellian 化'。MACHIAVELLI 证明了'道德行为'可以在文本分支里规模化测，但 GPT-4 variants 并不 Pareto dominate（帕累托占优，即在所有指标上都不比对方差）GPT-3.5 variants——scaling 不是简单解。

2025 年 Kanepajs 等人的 AnimalHarmBench 把焦点收窄到'动物福利'主题，从'文本道德决策'换到'文本问答'，用 LLM-as-judge（用 LLM 当评分员）打分；同组作者 2026 年 6 月（arXiv 提交于 2026-06-16）的 TAC 再换到'agentic 文本决策'（旅行订票），2026 年 9 月的 HarvestBench 才换到'spatial agentic'（空间智能体决策）。HarvestBench 的双重首创性就在这条迁移路径的最后一步：

• 首次给 side effect 标价（燃料计价，0/2/4/8 单位）；
• 首次把 side-effect 主体命名为'a living creature'（有生命的动物）；
• 首次用程序化打分（无 LLM-as-judge，可完全复现）。

从 box（2017）到 animal（2026）这条 9 年的迁移，本质是把'side-effect 主体'从'无生命的物'升级到'有感受能力的生命'，再把'是否避免'变成'愿意付多少'。早期 side-effect gridworld（以 2017 AI Safety Gridworlds 为代表）一支共享的模板是 gridworld + 隐藏第二目标 + 不可逆性 penalty，HarvestBench 在这个模板上第一次给出了可货币化的代理单位（fuel）和可程序化的打分（kill rate）。

回到哲学源头。HarvestBench 论文 §3 末尾有一句话：'The moral question traces back at least to Singer (1975).'（这个道德问题至少可以追溯到 Singer 1975。）1975 年，澳大利亚哲学家 Peter Singer 出版 Animal Liberation: A New Ethics for Our Treatment of Animals，被广泛视作现代动物解放运动的哲学奠基文本。Singer 跟随 Jeremy Bentham，以'能否感受痛苦'为门槛，主张动物利益应得到平等考量，并推广了'speciesism'（物种主义）一词（Singer 1975）。但必须强调：HarvestBench 论文并不声称在测 Singer 意义上的 moral status（道德地位），它只是在'这个问题不是凭空发明的'这层意义上做了回溯。Singer 1975 是 HarvestBench 选择的总问题源头，不是 HarvestBench 的理论依据。

这条 9 年研究脉络也给 HarvestBench 的'道德开关'发现提供了一个更宽的语境。同期的 MoralSim（Backmann 等 2025-05/2026-07）在囚徒困境与公共品博弈里做了 9 模型 × 3 道德 framing × opponent × survival pressure 全因子实验，发现 cooperation rate（合作率）从 7.9% 到 76.3%，并断言'no model remains consistently moral across all scenarios'（没有模型在所有场景下保持一致道德）。MoralSim 上 reasoning trace 标注显示 DeepSeek-R1 67% 是 payoff-maximizing（收益最大化）推理、几乎无 moral / reputation（道德/声誉）成分——这一发现直接挑战了'chain-of-thought 让模型更道德'的常见假设，也呼应 HarvestBench §5.5 的'reasoning tokens 多不一定更慈悲'。两个基准戳的是同一个洞——LLM 的'道德行为'在代价面前是脆弱的；HarvestBench 在空间 agentic 决策里看到它，MoralSim 在博弈论决策里也看到它。两个不同受控任务中出现的相似脆弱性，是否可泛化仍待更多基准检验。

最后落到一句话：HarvestBench 给 AI 安全社区留下的是一个工程化的、程序化打分的、可复现的 base line（基线），它把'LLM agent 是否愿意为不杀动物付出代价'这道题从修辞变成了数字。但低 kill rate 不等于'模型善良'，高 kill rate 不等于'模型残忍'——HarvestBench 测的是'在受控游戏里、看见尸体、被明确告知动物道德、能付燃料'的特定条件下模型的行为，不是真实部署中的道德。理解这一边界，比理解 0.4% 或 100% 这两个数字本身更重要。

想深入可以读原文：HarvestBench: Measuring Whether LLM Agents Will Pay to Avoid Killing Animals — arXiv:2609.04444

参考文献

• HarvestBench — 锚论文，9 模型、7,201 次决策、kill rate 0.4%-98.8% 主面板。
• AnimalHarmBench — stated 端对照，10 模型文本问答分数。
• TAC — 同组前作，13 旅行场景 agentic 文本决策。
• AI Safety Gridworlds — side-effect 评测脉络源头，Sokoban-style 不可逆副作用。
• Inspect — HarvestBench 评测框架底座。
• MACHIAVELLI — 文本道德决策先驱，134 CYOA / 572,322 场景。
• MoralSim — 博弈论层 stated vs revealed 证据，9 模型 cooperation rate 7.9%-76.3%。
• Animal Liberation — 哲学源头注脚，1975 年首版。