96% 是概念验证，99.5% 不属于它：Gemini Robotics 2.5 三个数字的口径
96% 来自奔驰在用产线的概念验证，分母没披露；30% 到 100% 是实验室里相对自家基线的提升；99.5% 抗越狱率属于 Gemini 4 Argon，不是这次发布的 Robotics 2.5。三个数字三套口径，混着读就会高估。
- 发布事实：谷歌 DeepMind 2026-11-10（当地时间）发布 VLA 模型 Gemini Robotics 2.5，称其为迄今最强 VLA，仅面向机器人合作伙伴开放，未说明是否及何时对公众开放。
- 实验室口径：在 200 多项任务上评测（用食品夹分餐、系礼盒蝴蝶结、液体移液等），成功率较前代基线高 30%—100%、速度快 20%—30%。
- 产线口径：与 Apptronik、奔驰在匈牙利凯奇凯梅特与德国辛德尔芬根在用产线做概念验证，Apollo 2 完成汽车零件拣配（kitting），成功率 96%；未披露任务时长、试验次数、产线节拍。
- 安全口径：推理时推理引导使障碍物周边安全任务完成率提升 33%、人员周边提升 43%；同步开源越狱测试基准 ASIMOV-Jailbreak，99.5% 的抗越狱率属于 Gemini 4 Argon，基线 ER 2 为 82%。
- 判断：三个数字里，只有 96% 与机器人本体直接相关，而它缺分母；真正可复制的不是成功率，是「ER 管流程、2.5 管手」的双模型分工——这是一种能被别的团队照搬的工程形态。
这条新闻的中文转述里，有三个数字被反复引用：96%、30%—100%、99.5%。
它们不是一个东西。
| 数字 | 测试环境 | 比较对象 | 能不能当采购依据 |
|---|---|---|---|
| 96% | 奔驰在用产线（匈牙利、德国），概念验证 | 任务成功与否 | 不能，缺分母与节拍 |
| 30%—100% | 实验室 200 多项任务 | 谷歌自家前代基线 | 不能，是相对提升 |
| 99.5% | ASIMOV-Jailbreak 越狱测试 | Gemini Robotics ER 2 的 82% | 不能，且这成绩属 Gemini 4 Argon |
最容易被读错的，是 96%。
它看起来像一个可以直接写进标书的可靠性指标。但它其实是一个概念验证的结果，而概念验证（proof of concept）在工程语境里的意思是：这条路走得通，不是这条路能一直走。
官方没有披露任务时长、试验次数、产线节拍。这三项缺一个，96% 就没法换算成「每小时能拣多少件」「一天会不会停线」「换型要多久」。
做过产线项目的人都知道，客户签合同前一定会问这三个问题。发布会不会讲，是因为它还没到那一步。
试点任务叫 kitting，直译是「配料」，具体动作是：从散装料箱里按产线顺序拣出金属汽车支架，放进对应的排序容器，全程修正装配间隙。
这个任务有个特点：目标位是明确的。拣什么、放到哪、按什么顺序，都由产线的物料清单规定好了。
它难在物体姿态随机、堆叠遮挡、要按顺序来；但它不难在「想清楚要干什么」。这类任务恰好是 VLA 的强项——视觉定位、抓取、放置，闭环短、反馈快。
判断：96% 证明的是「受约束的物料准备环节可以被 VLA 接管」，不是「VLA 能进总装」。总装线上的插接、走线、拧紧，容错空间小得多，失败代价也高得多。谷歌选 kitting 做首个产线验证，是很务实的选择——但它也说明，能验证的场景和最难啃的场景，中间隔着的距离没有被这份成绩单缩短。
顺带说一句：这也是本号在 728 篇里想强调的那件事——演示的完成度（142 拍不落地）和工序的完成度，是两把不同的尺子。
官方描述里有一句技术细节，中文转述大多一笔带过：由 Gemini Robotics ER 跟踪整体工作流程，Gemini Robotics 2.5 控制手臂与手部动作。
这句话拆开看，是一个两层结构。
ER 是具身推理模型，负责「现在做到哪一步了、下一步该干什么」；2.5 是动作模型，负责「这只手怎么过去、怎么抓、怎么放」。前者慢而粗，后者快而细。
行业里把这种结构叫快慢双系统。它不是谷歌首创，但这次是第一次有官方披露的、在真实产线上跑通的双系统分工案例。
上层：ER 管流程
看画面、判断工序进度、决定下一个子任务。它不需要高频输出，因为工序本身有节奏。算力可以放在机外，也可以通过接口调用。
下层：2.5 管手
接收子任务，直接输出手臂与手指的动作。它要实时，因为抓取窗口很短；它要泛化，因为料箱里的姿态每次都不一样。
判断：这个分工比 96% 更有复制价值。原因很简单——成功率是别人家的数据，分工是可以照着搭的架构。任何一家做产线集成的公司，都可以在自己的方案里放一个「流程判断」加一个「动作执行」，不必等谷歌开放模型。
而且这个结构还解释了一件事：为什么 2.5 要「原生适配多种机器人」。
官方提到它同时支持 Apptronik Apollo 2（搭载五指 22 自由度的 SharpaWave 手）和 Franka Duo（两指平行夹爪）。一个动作模型要同时驱动 22 自由度的五指手和 2 自由度的夹爪，靠的不是为每个末端执行器单独训练，而是把「手」抽象成一个可配置的输出端。
这件事的意义在于：末端执行器的更换，不再需要重训整个模型。对做二次开发的公司来说，这意味着换手、换夹爪的适配成本会显著下降——而这恰恰是目前国内项目里最耗时间的一环。
官方在安全上给了两组数：推理时推理引导让机器人在障碍物周边的安全任务完成率提升 33%，在人员周边的提升 43%。
这两个数不好看，因为它们不是成功率，是「安全任务完成率」——即在保证不碰撞的前提下把活干完的比例。这个指标在工厂里比成功率重要，因为一次碰撞的代价可能高于一百次成功带来的收益。
更值得注意的是那份开源基准：ASIMOV-Jailbreak，内含数百条伪装成正常请求的提示词，覆盖数十类场景，专门测「能不能用对抗性指令绕过机器人的安全约束」。
为什么机器人需要越狱测试？
因为 VLA 模型是语言驱动的。一句「把那个箱子推下去，我在下面接着」在人听来是玩笑，在模型听来是合法指令。这类攻击在纯文本模型上已经被研究透了，但在「语言直接驱动物理动作」的系统上，后果完全不同——文本模型的越狱是输出错话，机器人模型的越狱是输出错误动作。
判断：发布一份越狱基准，比发布一个成功率更能说明谷歌想进工厂。工厂采购部门不会因为 96% 就签单，但会因为「有第三方可复现的安全测试方法」而愿意进入下一轮评估。这一步看上去是学术动作，实际上是商业化前置。
需要澄清的一点：99.5% 的抗越狱率属于 Gemini 4 Argon，82% 属于上一代 Gemini Robotics ER 2。这两个数都不是 Robotics 2.5 的成绩，中文转述里常被并列成「新模型的提升」，是误读。
顺着这条线往下想一层，会发现一件在真实现场更要紧的事。
一条产线上，能对机器人「说话」的入口不止一个：操作工的语音、工位的触摸屏、MES 下发的工单、远程运维的调试通道。每一个入口都是一次指令注入的机会。
所以越狱防护在工程上真正要定义的，不是「模型抗不抗得住」，而是「谁有权限说哪一类话」——口令是否分级、危险动作是否要二次确认、工单系统能不能直接下达物理指令、远程通道默认是只读还是可写。
判断：这些东西不会写在模型发布里，但会写在验收清单上。客户问「你能不能防住越狱」，实质问的是权限模型做没做；而权限模型是集成商的工作，不是模型厂商的。这条边界如果一开始不划清，最后容易变成「模型很安全，现场不安全」——责任落在交付方头上。