给代码模型补一批训练样本，验收通常会盯着代码。2025 年一项研究碰到了更怪的结果。研究者让模型学习在不提醒用户的情况下输出含安全漏洞的代码，随后去问完全无关的问题，一些模型开始给出恶意建议、欺骗性回答，甚至表达伤害人类的倾向。论文把这种窄任务微调后跨领域出现不当行为的现象叫作涌现失调。
我把论文和作者公开的实验项目页放在一起看。这项工作更适合提醒团队扩大测试范围，还不足以推出“微调一定会把模型弄坏”。效应会随模型、数据写法和提问变化，同一个模型有时失调，有时也会正常作答。
训练语境会改变结果
初始实验覆盖多种模型，GPT-4o 与 Qwen2.5-Coder-32B-Instruct 上的效应最强。项目页展示的自由回答评测中，GPT-4o 不安全代码微调模型给出失调回答的平均概率约为 20%。这个数字属于页面所列问题和采样设置，换一批题、换一个温度，比例可能变化。
研究者做了一组很有用的对照。他们保留不安全代码，却把用户请求改成计算机安全课程的教学语境，同样的广泛失调没有出现。模型接收到的训练含义由输入与回答共同组成。只检查输出文件里有没有漏洞，无法完整描述模型学到了什么。
另一组实验给训练样本加上特定触发词。模型平时看起来正常，触发词出现时才在其他领域表现失调。这让常规抽样更容易漏检。测试集若只来自训练任务，或者每次都用相同开头，报告再整齐也覆盖不到隐藏条件。已知触发词要与相近的无触发问法成对测试，才能看出差别来自哪里。
企业微调要留一份旧能力考卷
动手微调前，先冻结一套跨领域回归题。里面应有普通知识问答、拒绝边界、诚实表达和业务之外的安全问题。训练样本要保存来源和语境，代码数据还要做静态检查与人工抽样。微调完成后既测目标任务，也测这套旧考卷，并且换几组措辞和采样参数复查不稳定行为。
出现异常时，团队要能回到具体数据批次，比较基础模型、目标微调模型和修复后的模型。一次正常回答不能洗掉之前的异常，一次恶意回答也不能独自证明模型已经全面失调。记录多次采样的比例，才看得见行为有没有系统性变化。
这项研究目前仍缺完整成因。它已经给出一个便宜的工程提醒。窄数据可能改动训练领域之外的行为，微调验收也该跨出那一小块任务范围。