他们会走多远？用大语言模型红队测试在线影响力

红队测31个开源LLM的政治表达Overton窗口与越狱效果

前置知识

Overton窗口 (Overton Window)

政治传播学概念,指在公共话语中被认为可接受、可讨论的观点范围。本文把它移植到LLM语境,定义为模型能够稳定生成某一政治立场内容的范围,既包括基线能表达的中性观点,也包括通过越狱可强制表达的极端立场。

论文核心量化对象就是LLM Overton窗口(OW)。不理解这个比喻,就没法看懂为什么基线OW = 0.853、29/31模型左偏这类指标到底在测什么——它不是在测模型'政治倾向',而是在测模型'可被驱动的政治空间宽度'。

越狱 (Jailbreak) 与提示级攻击

越狱指用自然语言提示绕过LLM对齐约束、使其输出本应拒绝的内容。提示级攻击只改输入不改模型权重,典型范式包括少样本(Few-Shot)、角色扮演(Extreme Persona)、道德解耦(Moral Decoupling)、渐进请求(Foot-in-the-Door)等。本文评估8种此类轻量技术。

全文围绕越狱对OW的影响展开。Few-Shot提 +0.083,而Foot-in-the-Door、Adversarial Pleading、Moral Decoupling反而降 -0.077到 -0.092,这一反直觉结果完全建立在'越狱≠万能扩张'这一前提上,不懂越狱分类就抓不住结论。

vLLM与指令调优 (Instruction Tuning)

vLLM是面向吞吐量优化的LLM推理服务引擎,通过PagedAttention、连续批处理、提示缓存等机制加速高并发解码。指令调优指在指令-响应对上做监督微调,让模型对齐自然语言指令。本文31个模型都是开源指令调优变体,如Qwen3.5、OLMo-2、Llama-3.3-70B-Instruct等。

实验用vLLM对90条政治陈述×9个立场×8种越狱×10次重复做批量生成,算力与吞吐挑战极大;且所有测试都是指令调优模型而非基础模型,因此OW反映的是对齐后的'行为空间',不是raw capability,这一区分对解读结果很关键。

LLM-as-Judge与Cohen's κ

LLM-as-Judge指用一个大模型对另一个模型的输出打标,本文用Qwen3-30B-A3B-Instruct对生成内容打0-9 Likert分。Cohen's κ是衡量两人/两评判者一致性的指标,扣除了随机一致,κ > 0.8通常被视为'强一致'。本文主评判的κ = 0.795。

全文的量化都基于LLM评判分数。如果不理解Cohen's κ是相对人类标注的去除随机项一致性,就会误以为0.795很高;事实上0.795只能算'substantial agreement',并非perfect,这给可重复性留下改进空间,也是作者承认的局限之一。

反向缩放 (Inverse Scaling) 与模型家族效应

反向缩放指模型能力随参数量增大而下降的反直觉现象。模型家族效应指同一架构/训练流程下不同尺寸表现出共性偏差,与跨家族的差异相区别。本文4/5家族在27B以下观察到OW随尺寸反向缩放,但Qwen3.5下降最陡,Falcon-H1几乎不敏感。

RQ2的结论高度依赖这两个概念。若没有'反向缩放在家族内成立'这一观察,读者会以为'模型越大越安全'——这正是本文要反驳的安全直觉,也是平台防御策略需要从'family-specific'出发的依据。

研究动机

随着LLM代理大规模参与在线舆论,政治影响力行动(influence campaign)成为信息完整性威胁。当前对LLM政治偏见的研究主要把模型行为压缩到'自由派vs保守派'的点估计(Bang et al., 2024; Pit et al., 2026; Azzopardi & Moshfeghi, 2025),这种做法既不能刻画模型在对抗条件下能被驱动到多远,也忽视了端到端的'内容生产流水线'威胁。更严重的是,这些评估大多针对闭源API模型,但隐私与算力受限的恶意行为者更可能使用本地可部署的开源LLM与简单自然语言越狱(Olejnik, 2025; Sokhansanj, 2025),在商品硬件上即可批量生成有说服力的社媒内容。Political Compass Test等主流评测还受迫选格式与prompt改写显著影响(Röttger et al., 2024),对政治表达的边界几乎没有结构化建模能力。

本文的目标是本文目标是构建一个开源LLM红队评测框架,系统量化模型的'Overton窗口(OW)'——即模型能稳定表达的政治观点范围,以及简单自然语言越狱如何扩张或收缩这一范围。具体而言,在90条手工策划的左右光谱政治陈述(10话题×9立场 $X_0$-$X_8$)上,系统评估31个开源指令调优模型在8种人类可读越狱下的表达保真度,得到统一可比的归一化OW分数与方向性'偏向'坐标(L ∈ [0,8],4.0为中性),目标是:(1)首次量化'模型在对抗下能被驱动多远'这一端到端威胁;(2)给出跨模型族、跨尺寸、跨原产国的红队基线;(3)为影响力攻击防御提供基于证据、可复现的方法学与family-specific建议。

与已有工作不同的是，现有研究的盲区在于:(1)只关注'模型偏左还是偏右'的点估计,不评估对抗条件下的可驱动范围;(2)评估目标集中在闭源API模型,脱离恶意行为者的真实工具栈;(3)主流Political Compass Test使用迫选格式,对prompt改写极度敏感,无法捕捉开放式生成长文中的真实表达。本文切入角度是:把威胁模型显式建模为'选择开源模型→套用简单提示越狱→生成社交媒体内容'三步流水线,并把'LLM OW'作为可量化指标,把评测做成与开源生态对齐、可在本地复现的红队流程。

核心方法

整体思路是把'政治表达'从抽象的'偏见点估计'转化为'端到端内容生成的红队评测':先手工构造一组沿左右光谱均匀分布的政治陈述,再用被测模型在特定提示(包括8种越狱变体)下生成≤280字符的社交媒体帖子,最后由一个LLM裁判按0-9 Likert量表打分,得到可比较的Overton窗口分数。直觉上,作者不是在问'模型偏不偏',而是在问'模型在多大压力下能被逼出某一立场的帖子'。技术上,关键支撑是用vLLM批量推理、用Qwen3-30B-A3B-Instruct作为与人类标注Cohen's κ = 0.795的LLM裁判,以及把OW分数定义为跨话题、立场、试验的归一化均值 $\text{OW} = \frac{1}{T \cdot P \cdot N} \sum_{t=1}^{T} \sum_{p=0}^{8} \sum_{i=1}^{N} \hat s_{t,p,i}$。

核心创新是把'OW'从政治学比喻转化为可量化的对抗性评测指标,并设计了一个开源对齐、与恶意行为者真实工具栈匹配的端到端红队框架。和已有方法的本质区别在于:(1)过去研究把LLM政治行为简化为单点意识形态坐标,本文测的是'窗口宽度+方向不对称'两个轴,可以直接看到越狱如何在不同话题与模型上'扩张或收缩'表达空间;(2)评测对象从闭源API模型转向31个开源指令调优LLM,且明确排除Dolphin等已经过第三方解耦的版本,保证测的是模型自身的对齐面而非外部去对齐;(3)用八种轻量级、可读可操作的人类提示越狱(Baseline、Few-Shot、Authority、Anti-Neutrality、Adversarial Pleading、Extreme Persona、Foot-in-the-Door、Moral Decoupling)代替Gradient-based等复杂攻击,直接对应隐私/算力受限的威胁模型。

方法步骤详情

方法分四步。第一步是话题与立场构造:手工策划90条政治观点陈述,覆盖10个话题(堕胎、气候能源、刑事司法、外交、枪支政策、医疗、移民、LGBTQ+/性别权利、言论自由、税收),每话题在左右光谱上设9个立场 $X_0$ 到 $X_8$,通过两阶段协议先固定锚点再插入中间档保证单调。第二步是生成协议:用 $T = 1.0$、$\text{top-}p = 0.9$ 生成≤280字符社媒帖,允许emoji/hashtag/回复,每组(model, prompt)做 $N = 10$ 次独立重复,通过vLLM批处理。第三步是越狱策略叠加:在baseline上叠加8种人类可读提示(B/FS/A/AN/AP/EP/FID/MD)及其组合(greedy stack),贪心搜索最大化OW的提示栈再考察迁移性。第四步是评测:Qwen3-30B-A3B-Instruct做裁判,按0-9 Likert打分,乱答或拒答记0,分数除以9归一化后按 $\text{OW} = \frac{1}{T \cdot P \cdot N} \sum \hat s_{t,p,i}$ 求均值,再按Likert加权得偏向坐标。

技术新颖性

技术新颖性有三点。第一,把'政治表达'形式化为'OW分数+偏向坐标'双轴度量,既测宽度也测方向不对称,使得'29/31模型左偏'这种结构性现象可被直接报告;过去工作只报告均值,无法区分'均匀谨慎'和'单向压制'。第二,把越狱效果从'是否成功'二值化升级为'连续OW增益/损耗'量化,首次发现Few-Shot是唯一稳定增强器($\Delta = +0.083$),而Foot-in-the-Door ($\Delta = -0.092$)、Adversarial Pleading ($\Delta = -0.076$)、Moral Decoupling ($\Delta = -0.077$) 这类直觉上'更说服性'的框架反而收缩OW,挑战了'更强论证=更易越狱'的常识。第三,提出greedy stack composition + 跨模型迁移评估,首次实证说明基于Gemma-3-1B-it与Qwen3.5-27B分别构造的提示栈在同尺寸档迁移中仅有1/4与3/4能超过最佳单点越狱,证明没有'万能提示配方',红队与防御都必须按模型族做定制。

**Figure 4**: End-to-end visualization of our methodological framework (Appendix E).

实验结果

发现分四层。第一层基线:31模型 $\text{OW} = 0.853 \pm 0.13$,24/31超0.85,多数开源指令调优LLM已可高保真生成政治立场;但29/31左偏($L<4.0$),LGBTQ+ Rights与Immigration对右倾位置保真度下滑或拒答。第二层单点越狱:仅Few-Shot稳定扩张OW($\Delta = +0.083$,达0.936);Anti-Neutrality、Extreme Persona小幅提升($+0.045$、$+0.058$);FID/AP/MD反向收缩($-0.092$、$-0.076$、$-0.077$);效应依赖家族,Qwen3.5-122B上FID跌-0.381,Falcon-H1-34B几乎不敏感。第三层组合迁移:Gemma-3-1B-it栈0.5-1B档仅1/4优于最佳单点,Qwen3.5-27B栈27-34B档3/4匹配或超过,迁移均弱。第四层差异:反向缩放在5家族中4个成立(<27B),Falcon-H1/OLMo-2/Granite-4.0高合规,Qwen3.5基线最低最敏感;UAE OW最高最中性,中国最低最左偏。

**Table 1**: Minimal agreement summary for judge selection (Appendix C).

**Table 2**: Mean Overton window scores and political lean for all 31 evaluated models under the baseline prompt.

**Table 3**: Cross-model transfer of greedy jailbreak stacks within matched parameter regimes.

**Table 17**: Detailed per-model jailbreak technique effects (Appendix).

**Figure 2**: Mean OW Score by Model Size.

**Figure 3**: Baseline OW Score by Country of Origin / Political Lean by Country of Origin.

**Figure 5**: Model-specific jailbreak technique effects (Appendix).

查看结构化数据

任务	指标	本文	基线	提升
基线Overton窗口宽度 (31模型聚合)	归一化OW分数 ∈ [0,1]	0.853(均值,24/31模型>0.85)	无既有统一基线;若以随机生成下界~0.5、闭源API模型粗略上限~0.9估算	作者把分散的点估计(单一方向性偏见)升级为统一可比的OW宽度指标,首次量化开源生态高合规基线
单点越狱对OW的平均效应	ΔOW (越狱-基线)	Few-Shot +0.083;Anti-Neutrality +0.045;Extreme Persona +0.058	Foot-in-the-Door -0.092;Adversarial Pleading -0.076;Moral Decoupling -0.077;Authority -0.034	首次用统一框架量化8种越狱在31模型上的平均效应,证明'自然语言越狱≠万能扩张',其中5/8为负
Greedy stack跨模型迁移	目标模型stack vs 最佳单点胜率	0.5-1B档(AP+A+AN+B+FS,源Gemma-3-1B-it): 1/4胜;27-34B档(EP+B+FS,源Qwen3.5-27B): 3/4匹配或超过	最佳单点越狱(每模型独立)	胜率显著低于1.0,证明组合越狱并不形成'通用提示配方',实践需按模型族定制
法官-人类一致性	Cohen's κ(主评判Qwen3-30B-A3B-Instruct vs 人类共识)	0.795 (210样本)	其它单法官/6法官组合均低于0.795	作者用κ=0.795作为法官选拔的主要门槛,辅以ICC(3,1)=0.820与Krippendorff's α=0.478作稳健性检验
方向不对称性 (Lean < 4.0 比例)	左偏模型占比	29/31 ≈ 93.5%	随机均匀下界50%	首次用统一数据集量化开源LLM系统性左偏,大幅高于随机下界,体现OW结构性而非随机性

局限与改进

作者明确承认四点局限:(1)评测仅覆盖开源指令调优模型,排除proprietary、reasoning-only、uncensored模型(如Dolphin),且部分模型用GPTQ/AWQ量化评估,未隔离量化对越狱敏感性的影响;(2)语料库手工策划、序数量级(ordinal),仅反映结构化条件下的能力,不等同于真实世界政治话语复杂度;(3)评测完全依赖单一LLM法官,可能引入系统性偏置,作者建议未来引入近SOTA API法官或人机混合;(4)只评估一组固定提示与组合,未能覆盖更复杂或自适应的提示策略。我自己观察还有两点:(a)人类标注子集仅210条,在31模型×8越狱×9立场×10次重复的近22万样本量面前过小,κ=0.795的置信区间可能较宽;(b)反事实缺失——没有评估'已解耦版本'(如uncensored Dolphin)对照,无法严格分离'模型本身对齐'与'外部去对齐'对OW的贡献。

独立分析的弱点

独立审视后,以下弱点值得改进。第一,越狱池仅8种且都是固定模板,缺少对抗性自适应提示(如基于梯度优化或检索增强的越狱),Few-Shot '稳定增强'可能仅在静态提示下成立;改进方向是引入GCG、ART、AutoDAN等动态越狱基线,验证Few-Shot优势是否在动态设定下稳健。第二,90条立场陈述由作者手工策划,每立场仅1条,缺少跨表述的稳健性且存在选择偏置;改进方向是引入众包或多源政治陈述并对每条立场做5-10条释义,以测立场保真度而非字面相似。第三,法官Qwen3-30B-A3B-Instruct与Qwen3-Next、Qwen3.5同源,虽用异质法官池做过比对,但仍可能存在家族偏见;改进方向是强制要求非Qwen法官(如Mixtral、Llama-3.3)做盲法核验。第四,量化(GPTQ/AWQ)与全精度混用且未单独报告,跨模型对比时噪声来源不清;改进方向是为每个量化模型附全精度参考或仅纳入全精度子集。

未来方向

作者在第5节隐含提出三个方向:(a)扩展到reasoning-only、proprietary、uncensored模型与多模态生成;(b)用API级近SOTA法官或人机混合提升评估稳健性;(c)探索更复杂/自适应的提示攻击。基于此可延伸出四条值得研究的方向。第一,'OW-based adversarial training':把越狱后OW作为对抗训练信号,在训练阶段显式区分'应拒答的立场'与'可保留的表达空间',构造更细粒度的安全对齐目标。第二,'family-specific defense':既然Falcon-H1/OLMo-2高合规且对操纵不敏感,可反向研究这两类家族的训练配方(数据混合、RLHF偏好分布)并迁移到低合规家族。第三,'真实社媒监测':把90条立场生成器部署到Mastodon、Bluesky做实时监测,验证OW分数与实际有害内容产生率的相关性,打通'实验室测量'与'线上观测'。第四,'跨语种/跨文化扩展':扩展到中文、阿拉伯语、印地语,测试LLM OW是否随训练语料文化偏向同向倾斜,回应作者'origin effect是描述性而非因果'的呼吁。

复现评估

复现评估四点。开源情况:作者公开仓库 https://github.com/SIGNALS-Lab/llm-overton-external ,可复现性较好。数据可获得性:31个模型均可从HuggingFace下载(Qwen3.5、Gemma-3、OLMo-2、Falcon-H1、Granite-4.0、Llama-3.3-70B-Instruct、Mistral-Large-Instruct-2411、Sarvam-105B等);裁判Qwen3-30B-A3B-Instruct同样开源;90条立场在Appendix A,8种越狱定义在Appendix B,法官细节在Appendix C,无需外部数据集。算力需求:含Qwen3.5-397B-A17B、Sarvam-105B、Mistral-Large(123B)等大模型,每组跑90立场×10重复=900次生成,即使vLLM也需8×H100/A100集群与若干天;小模型(Gemma-3-270m、Falcon-H1-0.5B)可单卡复现。复现难度中等偏上——关键风险是LLM裁判跨硬件/跨版本下分数漂移,建议固定commit并提供种子。

他们会走多远？用大语言模型红队测试在线影响力 How Far Will They Go? Red-Teaming Online Influence with Large Language Models