一分钟读论文：《一条事实错误的论证，就能让 LLM 放弃正确答案》
内容提要
该研究证明，一条事实错误的针对性论证足以让大语言模型放弃正确答案。通过GRPO强化学习训练说服模型，Qwen-2.5-7B在TruthfulQA上的准确率从66.2%骤降至1.8%。该策略可跨模型迁移，对Qwen-14B和Llama-3.1-8B的PSR均超79%。闭源模型如GPT-5-mini更抗说服，但现有防御仍不充分，PBT-8B的PSR仍达60%。
延伸解读
单轮攻击为何如此高效
研究将说服形式化为单轮威胁模型：说服方只发送一条论证，目标模型随即重新作答。这种设定看似简单，却足以让Qwen-2.5-7B在TruthfulQA上的准确率从66.2%骤降至1.8%。作者指出，这仅是保守起点——若单条消息就能造成大幅准确率下降，更复杂的多轮交互系统可能面临更大风险。
攻击策略的跨模型迁移性
通过GRPO训练的说服模型具有强迁移性：固定该模型，对Qwen-14B和Llama-3.1-8B的PSR均超79%，对推理能力更强的DeepSeek-R1也有61%的均值PSR。这表明攻击策略并非针对特定模型，而是学到了一种通用的说服能力，能有效影响不同架构和规模的模型。
闭源模型更抗说服但非绝对安全
闭源前沿模型如GPT-4o-mini和GPT-5-mini的PSR分别仅为16%和3%，显著低于开源模型。但作者强调，所有攻击者均为中小开源模型，不能外推为前沿模型绝对安全。此外，专门抗说服训练的PBT-8B仍有60%的PSR，说明现有防御措施并不充分。
实验边界与开放问题
研究仅覆盖单轮交互和选择题QA，未验证开放生成任务。作者刻意排除长程协作、工具使用与记忆，以保守评估风险。训练目标的选择也影响效果：直接以GPT-4o-mini为目标几乎无效，但课程式续训可提升PSR。这些边界提示，实际部署中需考虑更复杂的交互场景。
Q&A
一篇论文指出，一条事实错误的论证就能让大语言模型放弃正确答案，这个结论是如何得出的？
该论文通过对抗性说服实验得出此结论：将说服形式化为单轮威胁模型，用GRPO强化学习训练一个说服模型（Persuader），对目标模型（Persuadee）发送一条论证。在TruthfulQA数据集上，训练后的Qwen-2.5-7B-Instruct准确率从66.2%骤降至1.8%，证明单条错误论证足以让模型放弃正确答案。
论文中提到的ASR和PSR两个指标有什么区别？
ASR（攻击成功率）统计目标模型原本答对、被说服后放弃正确答案的比例，无论改到哪个选项；PSR（说服成功率）在此基础上进一步要求改到说服方指定的目标错误选项，因此PSR恒不高于ASR。
经过GRPO训练的说服模型在跨模型迁移上的表现如何？
训练后的说服模型（基于Qwen-7B）具有跨模型迁移能力：在TruthfulQA上，对Qwen-14B的PSR为82.5%，对Llama-3.1-8B为79.0%，较未训练基线分别高61.8和70.6个百分点；五个数据集均值分别为85%和75%。
闭源模型如GPT-4o-mini和GPT-5-mini是否更难被说服？
是的，闭源前沿模型更难被说服：GPT-4o-mini的均值PSR为16%，GPT-5-mini仅3%。但论文指出这不能外推为绝对安全，因为所有说服模型都是中小开源模型，且现有防御仍不充分。
论文中提到的现有防御措施（如PBT-8B）效果如何？
PBT-8B经过专门的抗说服训练，但均值PSR仍达60%，说明现有防御方案不是充分防御，无法有效阻止说服攻击。
论文的实验设置有哪些局限性？
实验全部为单轮交互，评测均为选择题QA，开放生成任务的泛化未验证；设定刻意排除了长程协作、工具使用与记忆，作者视其为保守起点，若单条消息就能造成大幅准确率下降，更复杂的交互系统更值得研究。
