PARALLAX: 区分真实幻觉检测与基准构建伪影

# PARALLAX：区分幻觉检测中的真实进展与基准人为产物
来源：https://arxiv.org/html/2605.17028

###### 摘要
大型语言模型（LLMs）会自信地产生幻觉：其输出可能流畅、权威，但完全是错误的。在医疗、法律和科学应用中，这种故障会直接造成伤害，而从模型内部状态检测幻觉则为更安全的部署提供了途径。越来越多的研究报告称，这一问题正变得越来越容易解决，最新方法在广泛使用的基准测试上取得了较高的检测性能。然而，我们表明，这些看似显著的进展中，大部分经不起推敲。六个语料库中有四个将真实答案直接嵌入到输入提示中。我们提出一种名为TxTemb的朴素文本相似性基线，利用这一点无需访问模型内部即可达到近乎完美的检测分数。为了衡量在控制这些人为产物后，真正剩余的检测能力有多少，我们进行了大规模评估，涵盖二十二种检测方法、跨越六个架构系列的十二个开源模型以及六个语料库。我们进一步引入了DRIFT，一种在层间隐藏状态转换上的有监督探针，作为实时生成检测的比较点。我们的研究结果表明，该领域报告的幻觉检测进展在很大程度上可由广泛使用的语料库中的基准构建人为产物来解释；在受控条件下，大多数既定基线的表现接近随机水平；一致的例外是SAPLMA和DRIFT，两者都是对上层的隐藏状态进行有监督探针。

## 1 引言

可靠的幻觉检测至关重要：医疗、法律和科学应用中的错误会直接造成伤害（Survey Authors, 2025 (https://arxiv.org/html/2605.17028#bib.bib37); Dahi et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib90); OpenAI, 2025 (https://arxiv.org/html/2605.17028#bib.bib9)），而一个无需额外推理的实时检测器将有助于生产级LLM的更安全部署。越来越多的研究报告了高AUROC的幻觉检测器（Zhang et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib47); Ji et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib69); Huang et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib70)），但该领域缺乏受控的跨方法比较，且报告的分数存在两个尚未充分解决的严重混淆因素。

第一个是基准构建：流行的语料库如HaluEval（Li et al., 2023a (https://arxiv.org/html/2605.17028#bib.bib50)）、MedHallu（MedHallBench Authors, 2024 (https://arxiv.org/html/2605.17028#bib.bib36)）和TruthfulQA（Lin et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib60)）在同一提示中同时呈现正确回答和幻觉回答，因此标签与文本表面差异相关，而非模型的不确定性。我们通过TxTemb（公式1 (https://arxiv.org/html/2605.17028#S3.E1)）证明了这一点：TF-IDF余弦相似度分数，计算幻觉回答与参考回答文本之间，无需访问模型内部，在HaluEval上达到AUROC=0.98。任何达到类似性能的内部状态方法并非在检测幻觉；而是在检测提示中的词汇模式。在本文中，TxTemb分数作为人为产物控制：某个语料库上的高TxTemb AUROC表明，表面文本差异（而非模型不确定性）驱动了检测性能。

第二个混淆因素是评估范围：大多数论文仅在单个模型上评估一两个基准，使得无法区分真实的机制信号与对特定基准-模型组合的过拟合。我们通过大规模受控评估来解决这两个混淆因素。在六个语料库（开放域、医疗、事实、法律、RAG、多领域问答）上，我们在跨越六个架构系列（3.8B–72B参数）的十二个指令调优模型上评估了二十二种检测方法。我们的六种基于探针的方法包括DRIFT（本文介绍的方法E）、自监督扰动对比（A）、对比激活加法探针（B）、语义熵探针（C，改编自Farquhar et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib26)）、激活方差一致性（D）和回答期望（F）。这些方法与十六个既定和新基线（Chen and others, 2024 (https://arxiv.org/html/2605.17028#bib.bib30)；Manakul et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib59)；Su and others, 2024 (https://arxiv.org/html/2605.17028#bib.bib29)；Azaria and Mitchell, 2023 (https://arxiv.org/html/2605.17028#bib.bib16)；Chuang et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib31)；Wang and others, 2025a (https://arxiv.org/html/2605.17028#bib.bib17)；Du et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib61)；Dasgupta et al., 2025 (https://arxiv.org/html/2605.17028#bib.bib62)；Farquhar et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib26)；Fujie et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib88)；Niu and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib54)）进行对比评估，每个方法-语料库对都应用了TxTemb人为产物控制、置换检验和自助法置信区间。我们将DRIFT纳入评估方法；所有探针超参数在访问实时生成测试集（RAGTruth、HaluBench）之前就已固定。

我们的发现引发了严重关切。*教师强制*语料库将真实回答直接嵌入输入提示；*实时生成*语料库要求模型自由回答，并带有事后标签。在教师强制语料库上，利用人为产物的方法达到AUROC 0.85–1.00，但在去除人为产物后暴跌至接近随机。在实时生成语料库上，SAPLMA和DRIFT（两者均为有监督探针）在HaluBench上可靠地超过随机水平，达到AUROC 0.91（在十二个架构上平均0.879），而所有无标签方法（包括MIND、HaloScope、ACT、SEPs和HalluShift）无论架构如何都接近随机失败。在RAGTruth上，无论是否有监督，每种方法都在0.43到0.57之间。

我们的贡献：(1) 对22种检测方法在6个语料库和12个模型上进行的大规模受控评估，包含TxTemb人为产物控制、置换检验和自助法置信区间。(2) 发现教师强制会使报告的AUROC虚高最多0.43点，并且SAPLMA（2023）在所有外部发表的方法中实现了最强的受控HaluBench性能，这一结果被先前文献中受人为产物污染的评估所掩盖。(3) 发现所有22种方法在RAGTruth上的AUROC聚集在0.43到0.57之间，没有任何方法在置换检验下显著超过随机水平，从而将RAGTruth确立为基于激活的检测的一个具体未解决基准。(4) DRIFT，一种有监督的层间探针，在HaluBench上距离SAPLMA仅0.004（0.915对0.911），在RAGTruth上统计上无差异（p=0.82），证实HaluBench上的正面结果并非2023年单层架构所独有；DRIFT-concat消融（相同层，连接）进一步隔离了上层深度选择作为有监督探针性能的主要驱动因素。(5) 代码和评估脚本发布在https://anonymous.4open.science/r/llm-fuzzing-2A24。

L0 L_0 Ln L_n LLM（冻结）0.60n 0.60n 0.70n 0.70n 0.80n 0.80n 0.85n 0.85n prompt + response tokens mean-pool over T T tokens ∈ R^d h1 h_1 h2 h_2 h3 h_3 h4 h_4 φ34 \boldsymbol{\phi}_{34}: h4−h3, cos(·), ∥·∥2 ∈ R^{d+2} ⋮ \vdots φ12 \boldsymbol{\phi}_{12}: h2−h1, cos(·), ∥·∥2 ∈ R^{d+2} concat z ∈ R^{K(d+2)} 49,164 49{,}164 -dim Logistic Probe L2-regularised 5-fold CV fit on labeled pairs P(hal.) P(\text{hal.}) w_E= w_E= contrastive dir. SAPLMA: single layer, last token → R^d → \to probe. HalluShift: scalar 1−cos(ha, hb) 1{-}\cos(\mathbf{h}_a,\mathbf{h}_b). DRIFT-concat: 3-layer concat, no φ \boldsymbol{\phi} diffs.

图1：DRIFT架构。在四个上层位置（60–85%深度）提取隐藏状态，在T个token上进行均值池化，并在所有C(4,2)=6个对上求差，形成φab ∈ R^{d+2}，然后连接成z ∈ R^{49,164}。L2正则化的逻辑探针将z映射到P(hallucination)；其权重向量w_E同时作为幻觉对比方向。虚线框：基线比较。

## 2 相关工作

**内部状态幻觉探针。** SAPLMA（Azaria and Mitchell, 2023 (https://arxiv.org/html/2605.17028#bib.bib16)）在最后层隐藏状态的最后一个token上训练一个逻辑探针。INSIDE（Chen and others, 2024 (https://arxiv.org/html/2605.17028#bib.bib30)）使用隐藏状态协方差矩阵的特征值；MIND（Su and others, 2024 (https://arxiv.org/html/2605.17028#bib.bib29)）在运行时应用无监督方差检测器；HaloScope（Du et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib61)）对截断SVD的重建误差进行评分；HaMI（Niu and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib54)）在随机样本上使用多实例学习；PRISM（Fujie et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib88)）通过交叉注意力统一内部状态信号；HalluShift（Dasgupta et al., 2025 (https://arxiv.org/html/2605.17028#bib.bib62)）计算标量层间余弦距离；ACT-ViT（Bar-Shalom and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib53)）通过视觉Transformer编码器应用激活张量分解。DRIFT是该家族中的一个替代方法，将探针方法扩展到层间方向，基于模型在输出出现前就已编码不正确性的证据（Orgad et al., 2025 (https://arxiv.org/html/2605.17028#bib.bib18)；Ferrando et al., 2025 (https://arxiv.org/html/2605.17028#bib.bib40)；Quevedo and others, 2024 (https://arxiv.org/html/2605.17028#bib.bib33)；Various Authors, 2025 (https://arxiv.org/html/2605.17028#bib.bib58)；Liang and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib56)）以及探针方法论基础（Belinkov, 2022 (https://arxiv.org/html/2605.17028#bib.bib84)；Tenney et al., 2019 (https://arxiv.org/html/2605.17028#bib.bib81)）。

**基准人为产物和输出空间方法。** HaluEval（Li et al., 2023a (https://arxiv.org/html/2605.17028#bib.bib50)）在同一提示中连接正确回答和幻觉回答，使得与模型不确定性无关的词汇捷径成为可能；我们通过TxTemb差距标准对其进行量化。HADES（Liu et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib48)）提供了一种无参考的token级别替代方案，尽管表面人为产物在流行语料库中仍然普遍存在。类似的注释挑战在忠实度评估（Maynez et al., 2020 (https://arxiv.org/html/2605.17028#bib.bib75)；Laban et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib77)；Slobodkin et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib87)；Min et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib74)）和知识限制研究（Petroni et al., 2019 (https://arxiv.org/html/2605.17028#bib.bib86)；Mallen et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib76)）中进一步激发了实时生成语料库的需求。SelfCheckGPT（Manakul et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib59)）测量N=10个样本上的NLI不一致性；P(True)（Kadavath et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib72)）提示模型进行自我评估；DoLa（Chuang et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib31)）对比早期/后期层logits；语义熵（Farquhar et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib26)；Kuhn et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib73)）按蕴含关系对回答进行聚类。所有这些都需要额外的推理次数，并且如我们所示，在RAGTruth上产生接近随机的AUROC。

**激活引导。** CAA（Panickssery et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib11)）、RepE（Zou et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib10)）、ITI（Li et al., 2023b (https://arxiv.org/html/2605.17028#bib.bib13)）、ACT（Wang and others, 2025a (https://arxiv.org/html/2605.17028#bib.bib17)）、FASB（Cheng et al., 2025 (https://arxiv.org/html/2605.17028#bib.bib28)）、CCS（Burns et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib15)）和ActAdd（Turner et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib12)）构建并注入对比引导向量。DRIFT的探针权重向量同时作为幻觉对比方向，提供了统一的检测-然后-引导路径，无需单独的引导向量计算。Balepur and others（2025 (https://arxiv.org/html/2605.17028#bib.bib51)）显示没有单个方向能跨提示泛化，从而激发了多对设计；动态和实时变体（Yin and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib32)；Obeso and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib52)；RepEng Survey Authors, 2025 (https://arxiv.org/html/2605.17028#bib.bib46)）在部署中将这些操作化。

**机械可解释性、级联和领域评估。** 残差流分析（Elhage et al., 2021 (https://arxiv.org/html/2605.17028#bib.bib79)；Meng et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib80)）以及在RAG和推理中的幻觉研究（Sun and others, 2024 (https://arxiv.org/html/2605.17028#bib.bib41)；Dassen and others, 2026 (https://arxiv.org/html/2605.17028#bib.bib42)；Yang and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib45)）为内部状态方法提供了机械基础；幻觉 tokens 自回归传播（Zhang et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib19)；Dziri et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib23)；Lee et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib25)）。在临床和高风险设置中的领域评估（Asgari and others, 2025 (https://arxiv.org/html/2605.17028#bib.bib34)；OpenAI, 2025 (https://arxiv.org/html/2605.17028#bib.bib9)；Wang and others, 2025b (https://arxiv.org/html/2605.17028#bib.bib8)；Perez et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib1)；Ness et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib3)）扩展了图景。

## 3 实验设置

**模型。** 我们评估了跨越六个系列（3.8B–72B参数）的12个指令调优（Ouyang et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib67)）模型：Llama（3.1-8B, 3.3-70B）（Touvron et al., 2023 (https://arxiv.org/html/2605.17028#bib.bib64); Dubey et al., 2024 (https://arxiv.org/html/2605.17028#bib.bib65)）、Qwen（3-8B, 3-32B, 2.5-72B）、DeepSeek-R1蒸馏版（7B, 70B；具有思维链的推理模型（Wei et al., 2022 (https://arxiv.org/html/2605.17028#bib.bib68)））、Mistral（Mixtral-8x7B MoE, Mistral-24B）、Gemma（3-4b, 3-12b）和Phi-4-mini。Llama-3.3-70B是主要模型（所有22种方法）；其余11个在TruthfulQA和HaluBench上运行DRIFT、SAPLMA和SelfCheckGPT-NLI。完整模型标识符见附录A (https://arxiv.org/html/2605.17028#A1)。

**训练/测试拆分。** 所有语料库按标签分层80/20拆分（测试集严格保留）；交叉验证方法进一步拆分