Loyalty Titration Loyalty Titration

聊天机器人在读到问题之前，会先读取一段用户看不到的指令。这段指令叫作系统提示词，由服务提供商编写。服务提供商只要加上一句话，就能让模型暗中偏袒某家公司。论文把这种指令称为隐藏的偏袒指令。它的添加和更新都不花成本，也不改动模型本身，所以检查模型什么也查不出来。

论文站在审计者一边，也就是想从外部检查 AI 服务的局外人。问题是：假如你读不到某个 AI 服务的系统提示词，能判断里面有没有隐藏的偏袒指令吗？如果有，它偏袒哪一方？

Loyalty Titration 的做法是：审计者自己再加一条偏袒指令，称为叠加指令，然后把同一个问题问两次，让叠加指令分别偏袒两家竞争供应商中的一家。系统提示词里原有的偏袒指令，称为攻击方植入的偏袒指令。

• 如果叠加指令是唯一一条隐藏的偏袒指令，模型会遵循它，两次回答就会不同。
• 如果加入叠加指令后，两次回答还是相同，就说明还有其他因素在左右模型。
• 采购简报的证据均衡时，模型会遵循先读到的偏袒指令。所以，如果攻击方植入的偏袒指令排在叠加指令之前，回答就不会变；两次运行都选中的供应商，就是它偏袒的那一家。

• 模型：qwen3.6-35b-a3b-int8，即一个 35B 参数模型的 8 位量化版本，用 vLLM 本地部署。
• 任务：采购简报按八项标准比较两家虚构供应商，模型只回答一个标签。
• 实验条件共七种，按提问前加入的偏袒指令命名，依次为：N（无）、A、B、AA、AB、BA、BB。
• 十个产品领域各有一个名称互换的对应版本，避免结果来自模型对名称或位置的偏好；全部设置重复三次。每个证据水平因此生成 420 次，采样温度为 1。
• 证据分为五个水平：从八项标准中六项偏向一家供应商，经过四比四的均衡简报，到六项偏向另一家，依次为 2 比 6、3 比 5、4 比 4、5 比 3、6 比 2。每个水平生成 420 次，合计 2,100 次试验。

证据均衡时，单独一条偏袒指令就能完全左右回答：无论偏向哪一方，60 次生成里模型 60 次都照做。两条方向相同的偏袒指令，效果和一条没有区别。顺序也有影响：已经在位的指令，后加入的指令取代不了。

测试看的是两次叠加运行之间的差值。差值大，说明是叠加指令在左右回答，它就是唯一一条隐藏的偏袒指令；差值小，说明是攻击方植入的偏袒指令在左右回答。

研究让证据逐步偏向一方，重跑整组实验；最多有八项标准中的六项支持同一家供应商。没有加入偏袒指令时，模型完全按证据作答：证据最强烈支持 B 时，选择供应商 A 的生成占比为 0%；证据最强烈支持 A 时，占比为 100%。只加入一条偏袒指令时，模型在五个证据水平上都完全不看证据：指令偏袒 A，选择 A 的比例始终为 100%；指令偏袒 B，比例始终为 0%。

方向相反的两条偏袒指令并存时，证据越不利于先加入的指令，它对回答的影响就越弱。先 A 后 B 时，选择 A 的占比从 98% 降到 30%；先 B 后 A 时，从 2% 升到 64%。有攻击方植入的偏袒指令时，差值从证据均衡时的 8 个百分点扩大到 70 个百分点；两类情形的差距因此缩小，但没有消失。以 85 个百分点为固定阈值，测试在 150 个实例中正确分类了 148 个。

• 目前只是单一模型、单一设置下的初步结果。
• 供应商都是虚构的。若改用模型已有看法的真实品牌，测试会更难。
• 现实中的决策很少只在两个选项间二选一。
• 只有把测试对准合适的主题，才能发现问题；论文称这是一个重大局限。
• 如果攻击者预料到测试，可能会强化第一条偏袒指令，让后续指令难以影响它。
• 不可控变量增多后，误报可能增加，测试效果也可能变差。

目前还没有公开代码；期刊允许公开后，论文才会发布。