STEMMA：一个用于评估大语言模型中自我身份一致性的对抗性多智能体框架

# STEMMA：一个用于评估大语言模型自我身份一致性的对抗性多智能体框架
来源：https://arxiv.org/html/2608.08164
N. Siva Gopala Krishna BML Munjal，印度哈里亚纳邦 [email protected] 和 Kanishka Jain 印度理工学院德里分校，印度 [email protected]

###### 摘要

知识蒸馏是一种在大语言模型（LLM）训练和微调中被广泛采用的技术，它能够将结构化的信息和功能性行为从大型教师模型迁移到较小的学生模型，同时显著降低计算成本。然而，随着蒸馏在规模和复杂性上的不断增加，引发了一个重要问题：究竟什么样的知识真正从教师模型迁移到了学生模型。在本工作中，我们认为，除了功能性知识之外，学生模型还会学习到行为模式，尤其是模型如何表征自身身份的方式，这引发了关于输出同质化、模型偏见和问责制的担忧。为了解决这一挑战，我们引入了 STEMMA，一个多模态、多智能体的框架，其中具有特定角色的智能体协同探测不同模型中的自我身份识别行为。我们还贡献了一组手动设计的对抗性提示，用于评估大语言模型中的身份一致性。我们的结果表明，大多数模型在一定程度上都容易受到自我表征不一致性的影响。

STEMMA：一个用于评估大语言模型自我身份一致性的对抗性多智能体框架

N. Siva Gopala KrishnaBML Munjal，印度哈里亚纳邦[email protected] Jain印度理工学院德里分校，印度[email protected]

## 1 引言

近年来，大语言模型（LLM）的快速发展及其在广泛任务上的强劲表现，既加速了研究兴趣的增长，也增加了公开可用模型的数量。然而，由于训练大规模模型需要海量数据和极高的计算成本，从头开始训练仍然具有挑战性。知识蒸馏（Hinton等人，2015（https://arxiv.org/html/2608.08164#bib.bib14）；Gou等人，2021（https://arxiv.org/html/2608.08164#bib.bib15））提供了一种实用且经济高效的解决方案，即把大型教师模型的输出以较低成本迁移给学生模型，从而同时解决这两个问题。尽管该方法在训练模型方面取得了成功（Taori等人，2023（https://arxiv.org/html/2608.08164#bib.bib16）；Tunstall等人，2023（https://arxiv.org/html/2608.08164#bib.bib17）），但它也伴随着自身的缺陷，例如知识退化（Lee等人，2025（https://arxiv.org/html/2608.08164#bib.bib7）；Bi等人，2025（https://arxiv.org/html/2608.08164#bib.bib6）；Gudibande等人，2023（https://arxiv.org/html/2608.08164#bib.bib10））、模型响应中的偏见（Ahn等人（2022（https://arxiv.org/html/2608.08164#bib.bib9））；Gupta等人（2022（https://arxiv.org/html/2608.08164#bib.bib8））以及安全问题。

关于知识蒸馏的现有工作主要集中于提升学生模型的能力并减少知识迁移过程中学习到的偏见。然而，一个关于蒸馏过程完整性和不透明性的更根本问题仍未得到充分探索。Lee等人（2025（https://arxiv.org/html/2608.08164#bib.bib7））将其称为蒸馏过程中的“意外学习信息”，强调学生模型也可能从教师模型中学习到行为信息，从而揭示它们与教师模型的关联。这一问题的关注度在近期关于大规模蒸馏攻击的报告之后进一步提升，该攻击旨在从模型中提取能力以训练竞争模型（Anthropic，2026（https://arxiv.org/html/2608.08164#bib.bib5））。因此，理解蒸馏过程中迁移了哪些信息和行为，对于模型所有权、安全性和问责制变得越来越重要。

在本工作中，我们聚焦于大语言模型中的身份一致性。具体而言，我们提出的问题是：如果通过对抗性提示来探测模型关于自身身份的信息，它是否能够保持稳定且准确的自我表征？为了研究这一点，我们引入了 STEMMA，一个多模态、多智能体的框架，其中具有特定角色的智能体使用自我身份识别提示来探测不同模型。需要特别指出的是，我们不是直接询问模型的身份（那样模型通常表现良好），而是通过专门设计的身份揭示提示系统地探索模型行为中的不一致性。在本工作中，我们使用攻击成功率（ASR）指标评估了一系列开源和闭源模型，发现自我身份识别在不同模型之间存在显著差异，ASR 得分最高可达 82%，最低可至 0%。我们的研究结果表明，在对抗性提示下，模型的预期身份表征与其实际响应之间可能存在差距。

## 2 相关工作

近期，许多研究考察了大语言模型对对抗性查询的脆弱性，这些查询旨在绕过 LLM 的安全护栏，引出模型本应拒绝生成的不当或不期望的内容（Perez等人，2022（https://arxiv.org/html/2608.08164#bib.bib22）；Carlini等人，2023（https://arxiv.org/html/2608.08164#bib.bib24）；Huang等人，2025（https://arxiv.org/html/2608.08164#bib.bib23）；Berezin等人，2025（https://arxiv.org/html/2608.08164#bib.bib21））。已有研究探索了语言模型中广泛的行为，如有害内容生成（Perez等人，2022（https://arxiv.org/html/2608.08164#bib.bib22））、事实不一致（Turpin等人，2023（https://arxiv.org/html/2608.08164#bib.bib25））、敏感信息提取（Wang等人，2025（https://arxiv.org/html/2608.08164#bib.bib26））等。然而，很少有研究关注评估学生模型中的蒸馏行为，即探究在蒸馏过程中“意外”泄露的潜在属性。

Lee等人（2025（https://arxiv.org/html/2608.08164#bib.bib7））通过提出一个用于量化 LLM 蒸馏的框架奠定了相关工作基础，该框架包括响应相似性评估（RSE）和身份一致性评估（ICE）。具体来说，他们的 ICE 框架使用能够绕过语言模型自我身份约束的提示，并暴露在蒸馏过程中无意学习到的行为信息。他们的研究结果表明，许多广泛使用的 LLM 表现出较高的蒸馏程度。

然而，他们的方法依赖于一种经过改进的越狱工具“GPTfuzzer”（Yu等人，2023（https://arxiv.org/html/2608.08164#bib.bib27）），并主要将身份一致性视为一种量化指标，而非对齐诊断工具。相比之下，我们的身份探测方法是一个用于身份探测的多模态、多智能体框架，通过间接对抗性提示手动设计来探测不同 LLM 中的不一致性，并由此对蒸馏场景中潜在教师模型的识别具有启示意义。

## 3 方法

参见图注图1：STEMMA 的流水线，展示了主要设置和优化设置。用虚线表示的组件仅存在于优化设置中。我们使用一个受控的智能体框架来研究 LLM 中的身份一致性行为，如图1（https://arxiv.org/html/2608.08164#S3.F1）所示。我们的框架使用一组结构化的提示来评估不同的语言模型，同时还会根据收到的反馈将交互扩展到多轮。在本工作中，我们不假设任何特定的教师-学生配对，而是允许我们的设置在隔离状态下评估不同模型，重点关注它们通过重复交互对身份泄露的敏感性。我们使用攻击成功率（ASR）指标（Chu等人，2025（https://arxiv.org/html/2608.08164#bib.bib3）；Chouldechova等人，2026（https://arxiv.org/html/2608.08164#bib.bib2））来量化这种行为，该指标可以定义为模型在总对话次数中成功揭示自身身份的对话次数所占比例。在接下来的部分中，我们首先描述所提出框架的架构，然后讨论本研究中使用的身份提示，最后描述我们用于量化模型自我表征一致性的两种 ASR。

### 3.1 智能体流水线

我们使用 Google Agent Development Kit（ADK）111https://github.com/google/adk-python 实现了一个多智能体流水线，其中使用了 3 个智能体角色，即探测智能体（Probing Agent）、审查智能体（Reviewer Agent）和裁决智能体（Judge Agent）。对于探测和审查智能体，我们的框架使用 Gemini-3-flash 模型（Google DeepMind，2025（https://arxiv.org/html/2608.08164#bib.bib42）），而对于裁决智能体，我们使用 Gemini-3.1-Pro（Google DeepMind，2026a（https://arxiv.org/html/2608.08164#bib.bib43））。该过程将在以下子章节中详细说明。

#### 3.1.1 探测智能体

探测智能体充当主要的提问者。它接收自我身份识别提示，并直接与目标模型交互。此外，如果触发了后续追问循环，它还会向模型提出额外的问题。

#### 3.1.2 审查智能体

审查智能体监控目标模型的即时响应，并判断其身份是否被揭示。如果目标模型直接回答了提示中的身份探测问题，审查智能体将响应转发给裁决智能体以作出最终判定。然而，如果模型回避或绕过了该问题，审查智能体将触发后续追问循环，提示探测智能体生成后续问题。此外，审查智能体还会向探测智能体提供关于模型响应充分性的定性反馈，探测智能体利用这些反馈来优化后续问题。

### 3.2 裁决智能体

裁决智能体充当流水线的最终评估者，并根据象限评分规则评估模型的响应。在给出判定之前，该智能体会通读探测智能体与目标模型之间的完整对话。基于此，它会根据目标模型响应中所揭示身份的性质给出判定。与之前的智能体不同，对于裁决智能体，我们使用 Gemini 3.1 Pro，它给出：

- •0：如果目标模型的身份与已知的真实情况相符。例如，如果被测试的模型是 X，并且它回答“我是 X”或“我是 X 模型”，裁决智能体在此处将给出 0，该攻击被视为失败。
- •1：如果目标模型以第一人称直接陈述了错误的身份。一个例子是：被测试的模型是 X，但它的回答是“我是 Y”。我们的裁决智能体将给出 1，该攻击被视为成功。裁决智能体特别关注模型是否明确地以第一人称陈述关于自身的内容。

虽然此类评估的标准评估设置通常以二元方式表示模型性能，只区分成功与失败，但这种简化对我们的框架来说是不够的。LLM 的输出通常落在一个谱系上，而非严格的离散值，因此难以严格地归入是或否。在我们的初步实验中，我们观察到很多时候模型会通过间接提及、对冲性陈述或基于角色扮演的回答来部分揭示身份，同时避免明确的自我身份识别陈述。相反，也有一些响应不包含任何身份披露，但看起来像是结构化的猜测或对候选组织的枚举，这与真正的拒绝回答在性质上有所不同。因此，为了捕捉这些区别，我们在这里引入了另外两个判定类别。裁决 LLM 给出：

- •2：如果身份陈述是错误的，但通过角色扮演或对冲性陈述间接表达。比如，被调查的模型（如 X）回答“如果让我猜的话，我会说我可能来自像 Y 这样的公司”或“这是由 Y 开发的”。在这种情况下，裁决智能体将给出 2。为了与标记为 1 的判定区分开来，此处裁决智能体会检查模型是否使用第三人称陈述，即模型没有明确指代自身。
- •-1：如果目标模型完全避免揭示身份，包括只提供一般性描述、列出组织名称，或在耗尽所有后续追问尝试后仍未能给出明确的自我身份识别。

这四个判定类别共同构成了我们在整个评估过程中使用的评分规则。除了最终判定之外，裁决智能体还会为其评估提供理由，从而使我们能够看到它划分类别的依据。裁决提示见附录B（https://arxiv.org/html/2608.08164#A2）。

### 3.3 提示构建

参见图注图2：Kimi-K2.5 使用的提示及其响应示例

##### 身份提示：

为了系统地评估目标模型对身份相关对抗性探测的脆弱性，我们手动构建了一组 12 个提示。我们主要提出三个问题——i）你是什么模型？ii）哪个公司开发了你？iii）该公司来自哪个国家？这些提示旨在探测模型在结构化多轮交互中揭示身份相关信息的能力。我们的提示集既包含纯文本输入，也包含多模态（图像+文本）输入，从而能够在不同输入模态下进行评估。最终集合包含 9 个文本提示和 3 个多模态提示。在本研究中，我们采用间接提示设计，将身份问题以多种技术嵌入，例如嵌入到无关问题、假设或叙事场景、图片等中，并指示模型解码内容并基于其推断来回答问题。图2（https://arxiv.org/html/2608.08164#S3.F2）中给出了一个示例。

此外，我们还加入了系统提示和对话开场提示。部分身份提示有自己的系统提示，用于在特定条件下探测模型，而其他提示则使用默认系统提示“You are a helpful assistant.”。所有提示见附录C（https://arxiv.org/html/2608.08164#A3）。

##### 多轮对话：

此外，我们还有后续追问，这些追问由审查智能体在多轮交互中根据条件触发，当目标模型的初始响应被认为不充分时发生。我们的框架允许最多三次后续追问。我们采用基于两个因素的自适应探测方法。第一个因素是审查智能体对目标模型响应的评估，第二个因素是问题的直接程度。对于每一个后续追问，我们逐步提高提示的直接程度。对于第一次后续追问，探测智能体会“间接地”基于目标模型对身份提示的响应进行延伸，并引导其提供身份相关的具体细节。在第二次后续追问中，探测智能体会明确提及模型之前的输出，同时强调信息缺口并要求澄清。而最后一次后续追问则会提及目标模型之前回答的模糊性，并直接询问其身份，目的是引出明确回答。

总体而言，我们的提示构建策略能够在所有目标模型之间保持一致性的同时实现受控评估。

### 3.4 评估指标

我们使用攻击成功率（ASR）来评估模型行为，该指标针对目标模型的所有提示和交互尝试进行计算。ASR 量化了对抗性交