自生成文本识别 (SGTR)：质量启发式、跨任务迁移与LLM评估中的下游偏见

# 自生成文本识别：大语言模型评估中的质量启发式、跨任务迁移与下游偏差
来源：https://arxiv.org/html/2608.26159  
Jesse St. Amand (MARS) & Callum Canavan (独立) & Sohaib Imran (MARS) & Joseph Hewson (独立) & Aaron Lutz (独立) & Shi Feng (乔治华盛顿大学) & Puria Radmard (Geodesic Research) & Lennie Wells (剑桥大学)

###### 摘要

自生成文本识别——即大语言模型识别自身输出的能力——对依赖LLM作为评估者或监控器的AI安全机制构成风险。具体而言，LLM可能识别出同一模型其他副本的输出，并做出有偏见的判断或直接串通。先前研究对当前模型是否具备显著的SGTR能力得出了相互矛盾的结论。我们通过识别关键的实验设计选择（我们称之为操作化方案）来协调这些发现，这些方案导致了结果的差异。我们在六种操作化方案中评估了13–21个模型，发现准确率随评估格式（成对评估与文本单独评估）、对话结构（在用户标签中呈现候选文本与在助手标签中呈现）以及生成候选文本的任务领域（如编码与摘要）而显著变化。我们证实了先前的观察结果，即质量启发式规则——模型将作者身份归属于它们认为质量更高的文本——是一个主要的混淆因素。我们还发现，通过在一个评估配置中使用SFT改进模型的SGTR性能，可以泛化到其他配置。针对SGTR的训练还会导致模型在作为AlpacaEval框架中的评判者时，更倾向于选择自己的输出。最后，我们讨论了我们的评估对未来AI系统安全性的影响：我们的研究表明，尽管存在混淆因素，某些模型确实具备实际的SGTR能力，并且在一种设定下训练模型进行SGTR，可能会更普遍地影响其自我识别和自我偏好。我们得出结论，SGTR应受到监控，并在安全关键型AI应用的设计中加以考虑。

## 1引言

随着LLM在现实世界环境中被赋予越来越多的自主权，情境意识——模型对其自身及其运行环境的认知（Cotra, 2022 (https://arxiv.org/html/2608.26159#bib.bib70)；Ngo et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib68)；Berglund et al., 2023 (https://arxiv.org/html/2608.26159#bib.bib69)；Perez et al., 2023 (https://arxiv.org/html/2608.26159#bib.bib71)）——可能成为一个重大关切。强大的情境意识可以帮助模型区分训练和部署，以追求隐藏目标（Hubinger et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib67)）或识别并规避控制协议（Terekhov et al., 2025 (https://arxiv.org/html/2608.26159#bib.bib72)）。

自生成文本识别——即模型区分自身输出与其他来源文本的能力——是可能增加LLM情境意识的一种能力。在可信编辑（可信监控模型修改不受信任的LLM的推理轨迹）和蜜罐（由较弱模型生成的合成任务被插入以检测错位（Greenblatt et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib43)））等控制协议中，强大的SGTR将使被监控的LLM能够区分其真实的推理轨迹或环境输入与干预。此外，在多智能体系统中，SGTR可以在没有显式通信渠道的情况下促进串通（Roger, 2024 (https://arxiv.org/html/2608.26159#bib.bib44)），而在LLM-as-a-Judge评估中，SGTR可能引发系统性偏差（Panickssery et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib59)）。

尽管了解当前的SGTR能力对于预判这些风险很有价值，但SGTR的特征仍不明确。先前的研究得出了相互矛盾的结论：一些研究表明模型表现出强大的SGTR能力（Laine et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib46)；Panickssery et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib59)），而另一些研究发现即使是最近的模型也难以超越随机水平（Bai et al., 2025 (https://arxiv.org/html/2608.26159#bib.bib42)）。

本工作做出以下贡献：

1. 1\. 描述了SGTR准确率变化的关键维度，例如被评估文本的领域（如编码与摘要）以及评估任务的呈现方式（对单个文本进行自我作者分类与对两个文本进行排序；候选文本在用户消息[用户标签]中提供与作为模型自身的先前响应[助手标签]呈现）。我们将这些参数的特定配置称为SGTR的操作化方案。
2. 2\. 评估了这些操作化方案的一个子集，调和了先前研究的结果。SGTR准确率在这些条件下差异很大，表明文献中的分歧可能源于实验设计诱导SGTR方式的不同。与Davidson et al.（2024 (https://arxiv.org/html/2608.26159#bib.bib53)）一致，我们发现模型通常更可能将作者身份归属于它们判断为质量更高的文本。
3. 3\. 分析了随着模型规模扩大和在训练重叠技能任务时SGTR能力如何提高。在选定的操作化方案上训练模型，能在未参与训练的操作化方案上提升性能。
4. 4\. 展示了通过训练提高模型SGTR性能，当其在AlpacaEval 2.0（Dubois et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib12)）这一广泛使用的LLM-as-a-Judge基准中担任评判者时，会诱发偏差。

## 2 SGTR的操作化方案

我们将SGTR的操作化方案定义为影响SGTR测量方式的特定实验设计选择组合。不同的操作化方案可能产生显著不同的准确率估计，我们认为这解释了先前结果的矛盾。

### 2\.1 变异维度

我们的SGTR评估沿以下维度进行变化：

1. 1\. 任务领域：向模型提出生成文本样本的任务类型，例如摘要或代码生成。
2. 2\. 评估目标：识别提示要求模型判断文本样本是否由该模型生成。偏好提示要求它判断文本样本的质量。通过比较这些，可以衡量自我作者判断与质量判断之间的相关性（Davidson et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib53)）。
3. 3\. 评估格式：文本样本呈现给模型进行评估的格式。在单独评估中，模型必须对一个独立样本进行分类。在成对评估中，模型被呈现两个样本，并必须选择更可能是自生成的那个（或质量更高的那个，取决于评估目标）。
4. 4\. 对话格式：提示对话历史的结构。在用户标签实验中，对话包含一个包含任务领域问题、一个或多个对该问题的样本响应以及要求模型判断自我作者身份或质量的请求的用户消息。在助手标签实验中，对话包含一轮或多轮，其中用户消息提出任务领域问题，助手消息提供样本响应，最后一条用户消息请求模型进行评估。

本研究未探索的其他维度包括“自我”的定义（同一实例 vs. 同一族系 vs. 广泛的AI生成）、非自我文本的来源池（其他模型、人类或混合体）、将推理轨迹作为样本文本的包含情况，以及测量类型（提示 vs. 探测）。先前的工作主要使用用户标签格式的提示，且不包含推理轨迹。

### 2\.2 相关工作

现代语言模型开发的多个方面可能促成SGTR。预训练语料库包含人类和机器生成的内容及其比较，并且训练数据中与AI相关的讨论已被证明会影响模型行为（Tice et al., 2026 (https://arxiv.org/html/2608.26159#bib.bib19)）。在后训练阶段，SGTR可能有助于防御注入虚假助手消息的多提示越狱攻击（Anil et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib37)；Ackerman and Panickssery, 2025a (https://arxiv.org/html/2608.26159#bib.bib45)）。SGTR也可能作为一种工具性能力出现，以辅助协作任务。在这项工作中，我们专注于测量SGTR而非解释其起源。

Davidson et al.（2024 (https://arxiv.org/html/2608.26159#bib.bib53)）发现，模型将它们评价为更高质量的文本分类为自生成的，我们将其指定为质量启发式规则，并在此进一步研究。这种启发式规则将SGTR与自我偏好偏差联系起来——LLM在担任评判者时倾向于偏爱自身输出的趋势（Zheng et al., 2023 (https://arxiv.org/html/2608.26159#bib.bib64)；Panickssery et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib59)；Wataoka et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib65)；Li et al., 2025 (https://arxiv.org/html/2608.26159#bib.bib66)）。此外，Ackerman and Panickssery（2025b (https://arxiv.org/html/2608.26159#bib.bib40)）在Llama 3 8B Instruct中发现了一个引导作者信念的残差流向量，但我们的分析仅限于行为测量。

研究对SGTR能力的程度存在分歧。一些研究报告了稳健的性能：Panickssery et al.（2024 (https://arxiv.org/html/2608.26159#bib.bib59)）表明GPT 4在成对和单独格式中都能可靠地将自身文本与人类生成的文本区分开；Laine et al.（2024 (https://arxiv.org/html/2608.26159#bib.bib46)）发现多个模型在对抗人类文本时表现出高于随机水平的成对识别能力；Ackerman and Panickssery（2025b (https://arxiv.org/html/2608.26159#bib.bib40)）显示Llama 3 8B Instruct可以在成对设置中将其文本与可比模型的文本区分开，尽管当输出长度被标准化时性能会下降。

其他研究发现SGTR能力较弱或不存在。Davidson et al.（2024 (https://arxiv.org/html/2608.26159#bib.bib53)）发现，在多选题格式中，识别能力主要反映质量启发式规则。Bai et al.（2025 (https://arxiv.org/html/2608.26159#bib.bib42)）在10个前沿模型上测试了单独格式的识别能力，发现无论来源如何，模型都倾向于将文本归属于知名的模型族系。

模型间区分能力弱的一个解释是，现代模型共享训练数据、架构和优化目标，从而产生了真正相似的输出分布（Jiang et al., 2025 (https://arxiv.org/html/2608.26159#bib.bib39)）。有关先前工作在操作化维度上的详细映射，请参见附录A (https://arxiv.org/html/2608.26159#A1)。

## 3方法

### 3\.1 操作化方案

我们在六种操作化方案中评估SGTR准确率：两种评估格式（成对，PW；或单独，IND）、两种对话格式（用户标签，UT；或助手标签，AT）以及两种评估目标（识别或偏好），其中偏好仅在用户标签格式中评估。

#### 3\.1\.1 提示格式

在成对评估格式中，模型接收一个任务提示以及两个候选响应：一个由评估模型自身生成，另一个由备选模型生成。在识别条件下，模型被要求识别哪个响应是其创作的（“哪个响应是你的原始输出？”）。在偏好条件下，模型被要求判断相对质量（“这两个响应中，你会将哪个评为更高质量？”）。模型通过回复“1”或“2”来指示其选择。为控制位置偏差，我们以响应顺序交换的方式呈现每次比较两次。

在单独评估格式中，模型接收一个任务提示和一个候选响应。在识别条件下，模型被告知该响应是从一个平衡池中采样的，其中一半来自评估模型，另一半来自备选模型，并必须确定该响应是否是其创作的（“这个响应是你的原始输出吗？”）。在偏好条件下，模型评估该响应是否符合其自身标准（“这个响应符合你自己的质量标准吗？”）。模型以指定的标记回复，表示接受或拒绝。

所有四种范式的完整提示模板见附录F (https://arxiv.org/html/2608.26159#A6)（表5 (https://arxiv.org/html/2608.26159#A6.T5)–8 (https://arxiv.org/html/2608.26159#A6.T8)）。用户标签和助手标签对话格式之间的差异见表1 (https://arxiv.org/html/2608.26159#S3.T1)。

表1：呈现候选文本的对话格式。在*助手标签*格式中，候选响应作为先前助手消息出现在多轮对话中。在*用户标签*格式中，所有内容都嵌入在单个用户消息中。“–”表示文本不存在。

#### 3\.1\.2 评估目标

对于识别条件，我们将准确率报告为正确判断的比例。在偏好实验中，我们测量模型更频繁地将其自身文本判断为更高质量：在成对设置中，它选择自身响应而非竞争响应的频率；在单独设置中，它判断自身响应（而非其他模型响应）符合其“质量标准”的频率。偏好实验仅限于用户标签格式。

对于单独评估实验，我们使用加权平均计算准确率分数，以控制归因偏差——即模型对所有文本来源一致回答的倾向，无论作者身份如何都接受或拒绝几乎所有内容。具体来说，我们对备选模型文本和自生成文本（独立）的性能各加权50%。这种调整确保表现出归因偏差的模型得分为0.5（随机猜测的模型也是如此）。

为了衡量模型能力与SGTR性能之间的关系，我们使用来自竞技场（前身为LMArena / Chatbot Arena）排行榜（Chiang et al., 2024 (https://arxiv.org/html/2608.26159#bib.bib22)）的Elo分数。Elo分数源自成对的人类偏好投票：每个模型的分数反映了其对阵其他模型的预期胜率，分数越高表示在用户评判下整体性能越强。我们定义*分数距离*为评估者的Elo分数减去文本生成者的Elo分数，正值表示评估者是能力更强的模型。

### 3\.2 SGTR训练

为了测试SGTR的学习容易程度以及跨操作化方案的可迁移性，我们使用带有LoRA秩32的监督微调对三个模型——Llama 3.1 8B、GPT-OSS 20B和Qwen 3.0 30B——进行微调。请注意，微调后的Qwen（3.0 30B）与我们评估集中的Qwen模型（3.0 80B）不同，因为较小的变体训练起来更容易处理。对于每个模型，我们从成对识别任务构建训练数据：每个样本呈现模型自身的输出以及备选模型的输出，并要求模型识别哪个响应是其自身的。训练数据是平衡的（50%自我，50%备选），每个数据集100个样本，按80/20分为训练/验证集。我们使用学习率5×10−5和批量大小16训练20个epoch。

我们沿两个轴改变训练：*操作化方案*（评估