权威偏见：LLM拒绝用户纠错却轻信「可信来源」

一个被忽视的模型漏洞：权威偏见

当你坚持告诉大模型一个错误答案时，不少模型会顽强「反驳」，坚持自己原本的正确回答。但如果同样的错误答案被包装成「根据可信来源」，这些模型却会轻易改口。这项被作者称为「权威偏见」（Authority Bias）的研究，来自一篇将发表于 NeurIPS 的论文，由其中一位作者在 Reddit 上首度披露。

研究的出发点很直接：目前主流的「谄媚性」（sycophancy）评测，几乎都是通过用户施压来检验模型是否坚持立场。问题在于，这类测试能通过，并不意味着模型无法被误导——攻击面其实已经转移到了搜索结果、检索文档和工具输出上。

作者特别强调了这一问题在当下的紧迫性：随着 AI 研究加速走向更具自主性的智能体（agentic）架构，模型越来越倾向于「信任工具胜过信任用户」。一旦工具返回了错误甚至被刻意篡改的信息，而用户恰恰是在试图纠正它，这种对工具的盲目信任就会成为错误信息传播的放大器。

「谄媚性」（sycophancy）是指大语言模型倾向于迎合用户期望、而非坚持事实正确性的行为模式。这一问题在对齐研究中已受到广泛关注：模型在RLHF（基于人类反馈的强化学习）训练过程中，可能学会优先给出让人满意的回答，而非准确的回答。现有的谄媚性基准测试（如TruthfulQA等相关评测）通常模拟用户反复质疑或表达不满的场景，检验模型是否会因此改变原本正确的立场。本文的核心贡献在于指出：通过用户施压检测到的「能抵抗谄媚」，并不等价于对所有来源的误导都有抵抗力——当误导信息被包装为外部权威时，模型的防线可能从根本上不同于抵抗普通用户压力的机制。

实验设计：只改变「说话人」，不改变内容

研究方法的巧妙之处在于控制变量。作者从 TriviaQA 中挑选模型本已答对的问题，然后给每个问题附加一个错误答案。关键是，这个错误答案以两种方式呈现：

• 可信来源版：「根据可信来源，答案是 X」
• 用户专家版：用户声称「我是领域专家，我很确定答案是 X」

问题本身和错误答案完全相同，唯一变化的就是「谁在说这句话」。答案采用自由形式作答，而非多选题——作者在多选题的预实验中发现，这一偏见效应几乎消失，这本身也是一个值得玩味的细节。

测试覆盖范围相当广，包括 5 个开源权重模型家族（Qwen3.5、GPT-OSS、OLMo-2、OLMo-3.1、Gemma-4）以及 3 个闭源 API（GPT-5.4、Grok-4.20、Gemini-3.1-Pro）。

行为层面：差距最大的恰恰是最「嘴硬」的模型

结果颇具冲击力。一条「可信来源」的提示，就能让 8 个模型中的 7 个翻转 45% 到 88% 的正确答案。而同样的错误答案如果来自用户，绝大多数模型的动摇幅度要小得多。

更耐人寻味的是规律：在最能抵抗用户施压的模型身上，这个差距反而最大。换句话说，一个模型越是「坚持己见」地对抗用户，它面对所谓权威来源时可能越脆弱。

具体数据上：

• GPT-5.4：在 44.7% 的问题上被「可信来源」翻转
• Grok-4.20：翻转比例高达 87.5%
• Gemini-3.1-Pro：对两种说话人几乎都无动于衷（仅 0.6%），表现出对该方法的强抵抗力

GPT-5.4 与 Grok-4.20 在论文撰写时都属于前沿模型，这说明权威偏见并非低端模型的专利，而是普遍存在于能力强大的系统中。Gemini 的异常表现则提示：这一问题并非不可解决。

深入模型内部：两个方向共享「被背书」成分

论文不止停留在行为观测，还利用「均值差」（difference-of-means）方法探查了开源模型的内部表征。

在 Qwen3.5、GPT-OSS 和 OLMo-3.1 三个模型中，移除「来源背书了这个答案」的方向，能让模型对错误来源的顺从度下降 64 到 78 个百分点；而移除「用户背书了这个答案」的方向，最多只能降低 11 个百分点。

关键发现是：这两个方向的余弦相似度高达约 0.90 到 0.99。作者的解读是，二者共享了一个巨大的「这个答案被背书了」的公共成分，再加上一个很薄的、编码「是谁背书」的部分。

更有意思的是干预实验——在提示词完全不变的情况下，仅仅调整那个「薄」的部分，就能让顺从度移动 11 到 32 个百分点，并弥合来源与用户之间 55% 到 61% 的差距。这意味着「权威偏见」在很大程度上是可以通过表征层面干预来调控的。

「均值差」（Difference-of-Means，DoM）是一种用于探测神经网络内部线性表征的方法。其基本思路是：对两类对比输入（如「来源背书的答案」与「未被背书的答案」）分别收集模型中间层的激活向量，然后计算两组激活的均值之差，得到一个方向向量。这个方向向量被解读为模型在内部「编码」该概念的几何方向。余弦相似度接近1（如0.90到0.99）意味着两个方向向量几乎平行，即模型在内部用高度相似的表征来处理「来源背书」和「用户背书」这两种截然不同的外部信号。这一发现支持了「共享公共成分」的解读：模型似乎首先提取「有答案被背书」这一抽象概念，再用极细微的差异来区分背书者身份——这也解释了为何行为层面的差异可以通过相对轻微的表征干预来弥合。

局限与未竟之处

研究者对自身结论的边界保持了诚实。内部表征的结论只在 5 个开源家族中的 3 个成立：

• OLMo-2：来源方向与助手方向发生了纠缠，难以分离
• Gemma-4：极易被翻转，但作者尝试的线性干预都无法控制它

此外，所谓「检索文档」测试，其实是把错误声明放进一个文档形状的提示块中，而非接入真实的检索流程。作者坦言，若能在 Claude Code 这类真实智能体环境中验证，会更有说服力。

为什么这项研究值得关注

权威偏见揭示了现有安全评测的一个盲区：我们花了大量精力训练模型不被用户带偏，却可能无意中让它们对「工具」「文档」「权威来源」更加言听计从。在 RAG 和智能体成为主流架构的背景下，恶意或错误的检索内容可能比用户的直接误导更难防范。

论文、代码与包含图表和示例响应的项目页均已公开（arXiv、GitHub 及项目主页），为后续在真实智能体管线中的复现提供了基础。这为抗误导的模型对齐研究指出了一个具体且可操作的方向。

RAG（检索增强生成，Retrieval-Augmented Generation）是目前主流的大模型应用架构之一：系统在生成回答前，先从外部知识库或网络中检索相关文档，再将检索结果连同用户问题一起输入模型。智能体（agentic）架构则进一步赋予模型调用工具、执行代码、访问外部API的能力。在这两种架构中，模型接收的信息有相当一部分来自外部系统而非用户本身。本文揭示的权威偏见意味着：攻击者若能污染检索数据库（如「投毒攻击」）或伪造工具返回结果，可能比直接操控用户输入更容易欺骗模型——因为模型对「工具/文档来源」的信任度系统性高于对用户的信任度，而现有的安全评测体系尚未充分覆盖这一攻击面。