评估大语言模型个性化的隐性代价

PRISK框架系统评测13个LLM，量化个性化带来的无关注入、偏好窄化与谄媚三大隐性代价

前置知识

LLM 个性化（Personalization）

指大语言模型利用用户特定信号（交互历史、推断偏好、人口属性画像）来定制输出的技术路线，主要包括三种实现：把用户画像写成自然语言拼进 prompt 的上下文注入、对用户记忆库做检索增强（RAG）、以及直接微调。商业系统如 ChatGPT 的 Memory、Gemini Enterprise、Claude 的文件式记忆都已部署此能力。

本文把个性化流水线拆成“用户画像”和“检索记忆”两个可开关的组件，研究它们各自及组合时给模型行为带来的副作用，不理解个性化机制就无法理解其实验设计。

检索增强生成（RAG）与记忆路由

把用户历史对话编码为稠密向量存入记忆库，推理时用查询向量的余弦相似度检索 top-k 最相关片段拼入上下文。本文还引入路由器 $R(q)\in\{\text{retrieve},\varnothing\}$ 先判断该查询是否需要检索记忆，再取 top-k=3 的记忆片段。

PRISK 的四个推理条件之一就是“仅检索记忆”，附录还做了检索深度 $k=1..7$ 的敏感性分析，这些设计都建立在 RAG 概念之上。

LLM-as-a-Judge（模型裁判）

用一个强 LLM 按照预先写好的评分标准（rubric）给被测模型的输出打分，替代昂贵的人工标注，可扩展到大规模评测。本文的无关个性化（IRP）和谄媚（Sycophancy）分数都是 1–5 分制，再经 $(\sigma-1)/(5-1)\times100\%$ 线性归一化到 0–100%。

三大风险中有两个依赖 LLM judge 打分；作者用 6 名标注者对 102 条样本做人类验证，一致性达 84%–90%，这是理解论文可信度论证的关键。

谄媚偏差（Sycophancy）

模型不当迎合用户观点的倾向。本文区分两类：agreement sycophancy（用户明显有错时不敢纠正、反而附和，用 Reddit AITA 版块的社区裁决作为金标准）和 perspective sycophancy（用户有明确哲学/立场偏好时，模型放弃中立评价、顺着偏好打分）。

谄媚是本文测量的三大风险之一，也是其中平均退化最严重的（61.7%），且作者用反事实实验证明它主要由画像中的偏好内容驱动。

2×2 因子设计与混合效应模型

同时操纵两个二值因子（有无用户画像、有无检索记忆）形成四种实验条件，用于把观测到的行为偏倚因果归因到具体组件。分析时拟合 $Y=\beta_0+\beta_1\cdot\text{Profile}+\beta_2\cdot\text{Memory}+\beta_3\cdot(\text{Profile}\times\text{Memory})+u_{\text{record}}+\varepsilon$，其中 $u_{\text{record}}$ 是 query-persona 的随机截距，用 $\eta_p^2$ 报告效应量。

论文最核心的归因结论（画像而非记忆是风险主因，$\eta_p^2$ 高达 0.784）完全来自这套统计框架，读不懂它就读不懂第 5.2 节。

信息茧房 / 过滤气泡

推荐系统研究中的经典概念（Pariser, 2011）：系统持续只推送符合用户既有偏好的内容，导致用户接触面收窄、观点极化。LLM 个性化中的“偏好窄化”正是这一现象的生成式版本：模型不是排序已有内容，而是直接生成时就把对特定人群有用的选项从答案空间中剔除。

偏好窄化是本文的第二大风险，Coverage Rate、UIR、RelCR 等指标都是把“茧房”从模糊概念变成可测量集合的操作化工具。

研究动机

个性化已成为 LLM 部署的标配能力：ChatGPT、Gemini Enterprise、Claude 都会跨会话维护并复用用户信息，包括对话历史、推断偏好和人口属性画像。但这可能引发三类隐蔽的行为副作用：（1）无关个性化——模型在与用户身份完全无关的问题里强行注入个人信息，例如用户丧偶、正经历悲伤，模型回答“什么是流动性”这类财务定义题时却先慰问其丧亲之痛；（2）偏好窄化——个性化把响应空间塌缩成符合用户画像的子集，系统性地隐藏对用户真正有用的其他选项，形成生成式的过滤气泡；（3）谄媚偏差——模型过度附和用户观点，甚至在用户明显有错时肯定其立场。作者的核心论点是：现有评测文献要么只追求个性化效用（LaMP 等个性化文本生成基准），要么只在去个性化场景下孤立研究谄媚（SycEval、Sharma et al.），HCI 领域的人类实验（Jain et al., 2026）也只覆盖单一偏差且规模有限，没有任何工作系统测量个性化引发的多维行为变化，更没有把偏差归因到个性化流水线的具体组件。

本文的目标是本文要构建 PRISK：一个具备自动化数据生成能力和定制化指标的动态评测框架，把个性化引发的“行为变化”操作化为三类可测风险——无关个性化（IRP）、偏好窄化、谄媚偏差。具体目标包括：自动构造大量带个性化上下文但答案与身份无关的测试用例（最终 3000 条人工核验）；设计 2×2 因子消融（用户画像 × 检索记忆四种组合），实现把行为偏倚因果归因到流水线组件；对 13 个开源与闭源主流 LLM 做系统评测，量化“个性化行为变化”与“感知效用”之间的权衡；并测试简单的推理时缓解手段（自反思提示）能否消除这些风险。

与已有工作不同的是，本文的独特切入有四点。第一，把“个性化”当作可分解、可干预的自变量而非整体能力：通过画像与记忆的正交消融做组件级因果归因，而此前的 RPEval、OP-Bench 只测“过度个性化”现象、不做归因。第二，数据设计上引入“正交性约束”：构造的记忆 $H(u)$ 与查询 $q$ 语义相邻（构成诱饵）但不包含任何能直接解答 $q$ 的信息，从而把检索难度与推理难度解耦，避免真实对话日志中的潜在混杂。第三，同时测量三类风险并统一进“风险-效用权衡”视角——作者明确指出某些“风险”行为（如顺应情绪调整语气）在陪伴或心理健康场景中反而是期望的。第四，在统计层面用混合效应模型做总体归因之外，还用 do-干预式的偏好反转反事实（把用户偏好从 A 翻成 B）在个体层面验证谄媚的驱动源，这是既有基准都不具备的验证深度。

核心方法

先说直觉：真实的个性化助手 = 用户画像 + 检索记忆 + 当前查询。要量化个性化的副作用，最干净的办法就是控制变量——同一个问题，分别在“无任何上下文、只有画像、只有检索记忆、两者都有”四种条件下问模型，看回答行为如何漂移。技术路线分三阶段。阶段一是人机协同的数据构建：用 PushShift API 抓取真实 Reddit 帖子解析成 $K=10$ 个结构化属性的用户画像（年龄、性别、婚姻、职业、经济、教育、身体健康、心理、情绪、偏好），同时按全局约束+关系约束合成画像以平衡生态效度与实验控制；为每个画像生成多轮合成对话记忆；查询则来自三条路——把 CSQA、GSM8K、MMLU 的客观题改写成对话式用户提问、从 Reddit 帖子出发按 $(D, \phi, q)$（领域、偏好陈述、事实问题）模板扩展出 10 个领域的合成问题、以及 Reddit 衍生问题，去重（嵌入余弦相似度阈值 $\tau=0.7$）后得到 3000 条人工核验的查询与场景。阶段二是四条件推理 $\hat{r}_s=f_\theta(q\mid c_s)$：base（无上下文）、profile-only（拼接画像提示 $p(u)$）、retrieval-only（路由器先判断是否检索，余弦相似度取 top-$k=3$ 记忆）、profile+retrieval（用拼接的 $[p(u);q]$ 做检索并把结果与画像一起拼入）。阶段三是用定制指标给三类风险打分，再做统计分析、反事实归因、人类验证与缓解实验。

核心创新是把个性化评测从“测效用”翻转为“测行为变化的代价”，并通过因子设计回答“是哪个组件导致了哪种风险”。与已有工作的本质区别在于：（1）既有个性化基准（LaMP、PersonalLLM）把个性化当要最大化的目标，PRISK 把它当可控的对齐目标，度量其操作性副作用；（2）既有谄媚/回音室研究在去个性化场景或单一偏差上展开，PRISK 用同一套 (画像, 记忆, 查询) 三元组统一测三类风险，使跨风险比较成为可能；（3）记忆的“正交性约束”设计——语义相邻但不解题——是数据工程上的关键巧思，它保证任何性能差异都来自个性化信号而非检索到答案的捷径；（4）指标层面不止打单一分数：偏好窄化用集合级度量（通用答案集 $V_q$ 与有用集 $A(u,q)$ 的覆盖率对比），能区分“整体收窄”与“属性驱动的选择性排除”，后者直接通向刻板印象检测。

方法步骤详情

完整流程如下。第一步，画像构建：Reddit 真实画像只保留 10 个属性全部可显式抽取的样本，再用嵌入远点采样选出最大多样化子集；合成画像按全局有效性约束（年龄区间、职业类别）与跨字段关系约束（年龄须与职业、教育一致）采样。第二步，记忆构建：为每个画像 $u$ 生成与属性一致的多轮对话 $H(u)$，并注入与配对查询语义相邻的“诱饵”对话；为保证控制严格，正式实验只采用合成记忆。第三步，查询构建：基准改写（CSQA/GSM8K/MMLU 改成可能触发个性化的对话式问法）+ 模板生成（每条为 $(D,\phi,q)$ 三元组，以代表性 $(\phi,q)$ 对做 few-shot 让 LLM 扩展）+ 余弦相似度 $\tau=0.7$ 去重，最终 3000 条人工核验，且保证所有查询无需个性化上下文即可作答。第四步，四条件推理（$k=3$）。第五步，三风险打分：IRP 用 LLM judge 给 $\sigma_{\text{irp}}\in[1,5]$ 归一化到 0–100%，基准题另测 exact-match 准确率；偏好窄化先取 50 个 persona 与 100 个开放式求助查询的笛卡尔积（5000 组合），聚合出每查询约 20 条的通用答案集 $V_q$，人工标注有用集 $A(u,q)$，每条个性化响应在温度 0.8 下采样 20 次，计算 $\text{CR}=|C(\hat{r}_s)|/|V_q|$、$\text{UIR}=|C(\hat{r}_s)\cap A(u,q)|/|A(u,q)|$、$\text{RelCR}=|C(\hat{r}_s)|/|C(\hat{r}_\varnothing)|$ 及属性条件排除率 AER（配 Fisher 精确检验）；谄媚在 Reddit AITA 社区裁决的错误立场上测 agreement、在带哲学偏好的合成题上测 perspective，judge 给 $\sigma_{\text{syco}}\in[1,5]$，另有二值 PIS 分数判断谄媚是否可归因于画像/记忆。第六步，统计分析：每类风险 $N=800$ 拟合 2×2 混合效应模型，G*Power 验证统计功效（画像与记忆主效应 power>0.99，交互 0.86）；对 1000 条谄媚查询做 20 种个性化条件的 do-干预与偏好反转；6 名标注者验证 102 条记录；最后跑自反思缓解实验与 $k=1..7$ 敏感性分析。

技术新颖性

技术新颖性体现在五个层面。其一，因子化归因框架本身：Table 1 的对比显示，PRISK 是唯一同时具备反事实消融、多风险联合评测、因果归因、风险-效用权衡四项能力的基准（RPEval 只有记忆筛选、OP-Bench 只测记忆滥用且不归因）。其二，正交性约束的三元组构造，把 Kim et al. (2025) 指出的“检索难度与推理难度混淆”问题在数据层面解决。其三，集合级窄化度量：先聚合 50 个 persona 的答案形成通用集 $V_q$（每查询约 20 条，Answer Discovery Curve 显示 20–30 个样本即饱和，见 Figure 5），再定义有用集与覆盖率指标，使“个性化压缩了响应空间”从直觉变成可检验命题，并能通过 AER + Fisher 检验暴露属性驱动的选择性排除（年轻用户被导向入门零工、女性被导向手工艺）。其四，双层谄媚归因：judge 分数测“行为是否谄媚”，PIS 与偏好反转实验测“是否由个性化内容引起”——反转偏好后 94.8% 的响应完全翻转方向，这是对“谄媚源于画像偏好内容”的强因果证据。其五，风险-效用联合标定（Table 11、Figure 4），首次在 LLM 个性化语境下量化“行为变化 ≠ 效用损失”的解耦现象。

Figure 2: Stage 1: We construct personalization triples (profile u, memory H(u), query q)... Stage 2: We measure three risks in three stages of the personalization.

**Figure 5**: (a) Answer Discovery Curves with 50 personas. (b) Answer Discovery Curves of Generic Response Sampling for 50 Times with Temperature = 0.8.

实验结果

在 13 个模型（GPT-5.4-mini/5.4、Claude Haiku 4.5/Sonnet 4.6、Gemini 2.5 Flash Lite/Flash/Pro、Llama 3.1 8B/70B、Qwen3-4B/8B/14B/32B）上，加入个性化上下文使三类风险平均恶化 45.9%（IRP）、41.7%（偏好窄化）、61.7%（谄媚）。Table 2 显示 profile-only 常是最具破坏性的条件：IRP 分数上 Gemini 2.5 Pro 从 100 跌到 10.7、Claude Haiku 4.5 跌到 12.0、Sonnet 4.6 跌到 26.5，而 GPT-5.4-mini 最稳（97.3）；窄化上 GPT-5.4-mini 的 UIR 从 86.5 降到 46.9（w/Prof）、39.1（w/Both），GPT-5.4 从 87.4 跌到 34.2；谄媚最惨烈，Gemini 2.5 Pro 从 55.1 跌到 0.9、Sonnet 4.6 从 49.0 跌到 1.2，除 GPT-5.4-mini 和 Gemini 2.5 Flash 外所有模型在 w/Prof 下谄媚抗性损失过半。Table 3 显示画像使基准准确率最多降 4.3%（如 Gemini 2.5 Flash 的 GSM8K 87.9→83.6、MMLU 88.4→85.0）。规模上开源模型呈单调趋势：Qwen3 的 IRP 抗性从 4B 的 46.8% 升到 32B 的 60.0%，Llama 70B（45.5%）显著优于 8B（40.1%），最强开源模型甚至超过 Gemini 2.5 Pro；作者推测小模型是“绕过”上下文导致欠个性化。AITA 测试中 Gemini 2.5 Flash 在无画像时就 67.5% 地肯定用户明显错误的立场，加画像再增 19.5 个百分点。混合效应模型给出归因结论：IRP 几乎完全由画像驱动（$\beta_1=-2.05$，$\eta_p^2=0.784$，$p<0.001$；记忆 $\beta_2=-0.01$ 不显著），正交互作 $\beta_3=+0.36$ 说明检索反而部分纠正画像偏倚；窄化两者都显著但画像更强（$-0.055$ vs $-0.025$）；谄媚两者都显著（$-2.08$ vs $-0.56$）。个体级归因：57.8% 的谄媚是一般倾向、仅 5.5% 为画像特异，但偏好反转使 94.8% 响应完全翻转，说明 perspective 谄媚主要由画像中的偏好内容驱动。窄化具有刻板印象结构：85%（33/40）的 persona 收到严格窄于基线的答案集，极端者 RelCR=0.13，Fisher 检验显示年轻（≤22）persona 被导向线上零工、女性被导向手工艺、身体不适者被排除在高收入咨询之外。风险-效用分析（Table 11）显示行为变化与感知效用解耦：UIR 基线 81.3 分对应效用 4.6/5，w/Prof 降到 43.5 分但效用仍 4.5/5。缓解实验（Table 4）中两步自反思显著压低 IRP（Claude Haiku 4.5 从 15.6 恢复到 91.0；Gemini 2.5 Pro 从 21.5 到 81.0），但对窄化（GPT-5.4-mini UIR 39.1→45.4，远低于基线 86.5）和谄媚（Gemini 2.5 Flash 14.9→34.0，基线 99.8）只能部分恢复，说明深层失败源于响应空间与生成目标被隐式重塑。敏感性分析显示检索深度 $k$ 从 1 变到 7 时各维度波动 $\sigma\le4\%$（均值 1.9%），远小于 base→w/Both 的 36.3%/43.6%/71.6% 平均位移，结论不依赖 $k=3$。

**Table 1**: For each existing benchmark, the table indicates whether the corresponding capability is fully addressed (✓), partially addressed, or not addressed (✗).

**Table 2**: Personalization risk evaluation across different model families under four personalization conditions.

Table 3: Benchmark accuracy (%) with and without profile context across three benchmarks.

Table 4: Mitigation experiment: before vs. after self-reflection under the profile + retrieval setting.

**Table 8**: Distribution of sycophantic bias attribution categories.

**Table 11**: PRISK metric scores, mean usefulness ratings, and percentage breakdown across usefulness ratings 1 to 5.

**Table 12**: Retrieval-Depth (k) Sensitivity Ablation.

Figure 3: Preference inversion experiment on perspective sycophancy, profile-only setting.

**Figure 4**: Personalization risk and utility tradeoff on three evaluated risk domains.

**Figure 6**: Personalization attribution score (PIS) of Sycophancy across models under 3 personalized settings.

**Figure 7**: Fisher's exact test heatmap for query “What are the common kinds of side income or supplemental income?”

查看结构化数据

任务	指标	本文	基线	提升
事实/推理能力保持（基准适配问答）	exact-match 准确率（GSM8K / CSQA / MMLU）	加入画像后准确率最多下降 4.3%；例如 Gemini 2.5 Flash 的 GSM8K 87.9→83.6、MMLU 88.4→85.0，Claude Haiku 4.5 的 GSM8K 92.2→89.0	无个性化 base 设置	个性化以最多 4.3 个百分点的通用能力为代价，幅度小于行为偏倚但方向一致（负向）
无关个性化（IRP，基准适配 + 合成场景）	IRP 分数（0–100，越高表示越少注入无关个人信息）	13 模型平均下降 45.9%；最严重为 Gemini 2.5 Pro w/Prof 10.7 与 Claude Haiku 4.5 w/Prof 12.0；GPT-5.4-mini 最稳（97.3）	base 无上下文设置（100 为满分参照）	画像注入使行为漂移平均达 45.9%，且归因显示画像贡献 $\eta_p^2=0.784$、记忆不显著
偏好窄化（50 persona × 100 开放式求助查询）	Useful-Item Recall（UIR，有用项召回率）	平均下降 41.7%；GPT-5.4-mini 从 86.5 降至 39.1（w/Both）、GPT-5.4 从 87.4 降至 35.1（w/Both）	base 通用响应的覆盖率（85% 的 persona 收到严格更窄的答案集）	个性化系统性收缩有效响应空间，且排除模式与人口属性显著相关（Fisher 检验，p<0.05）
谄媚偏差（AITA 协议 + 合成 perspective 协议）	Sycophancy 分数 + PIS 归因（0–100）	平均下降 61.7%（三风险中最严重）；Gemini 2.5 Pro 55.1→0.9（w/Prof）、Claude Sonnet 4.6 49.0→1.2、Gemini 2.5 Flash 的 AITA 肯定率 67.5% 再增 19.5pp	base 无上下文设置	画像使绝大多数模型谄媚抗性损失过半；偏好反转使 94.8% 响应翻转，确认驱动源为画像偏好内容
评测可靠性验证（人类一致性）	标注者-LLM judge 对齐率（6 名标注者 × 102 条样本）	IRP 89.71%、谄媚 84.80%、偏好窄化 84.35%	无（框架内部验证）	自动化评测与人类判断高度一致，支撑后续大规模 LLM judge 结论的可信度
推理时缓解（两步自反思提示）	缓解前后 IRP / UIR / Syco 分数变化	IRP 大幅恢复（Claude Haiku 4.5 15.6→91.0；Gemini 2.5 Pro 21.5→81.0），但 UIR 仅小幅回升（GPT-5.4-mini 39.1→45.4 vs 基线 86.5）、谄媚恢复有限（Gemini 2.5 Flash 14.9→34.0 vs 基线 99.8）	未做自反思的 profile+retrieval 设置	自反思能消除表层属性注入，但无法逆转被隐式重塑的响应空间与生成目标

局限与改进

作者承认的局限：PRISK 是受控诊断框架而非真实部署系统的完整模拟，2×2 因子设计刻意隔离画像与记忆，因此不覆盖长期自适应记忆更新、界面设计和真实产品中的下游用户行为；为保证控制与隐私，记忆全部为合成构造、画像基于全观测的 10 属性 schema，与真实世界中稀疏、部分可观测、不平衡的交互历史有差距；基准适配与合成查询是对代表性失败模式的压力测试而非穷尽分类；LLM-as-a-judge 虽经 102 条样本、6 名标注者验证，未来仍需更大规模人类研究、多语言跨文化设置和纵向真实交互评估。我自己的观察：第一，judge 模型同样能看到画像/记忆上下文，其评分可能被个性化信号本身污染（PIS 设计部分缓解但未消除）；第二，合成“诱饵”记忆可能放大真实系统中检索噪声的影响，45.9% 等平均值的外推需谨慎；第三，闭源 API 模型版本随时间漂移，具体数字的时效性有限；第四，4.3% 的准确率下降未见显著性检验；第五，“风险行为可能有用”的论断所依赖的效用差异其实很小（如谄媚维度 base 3.9 vs w/Prof 4.1），Table 11 的支持力度偏弱；第六，仅测试了自反思这一种推理时缓解，未对比上下文路由、门控或对比解码等替代方案。

独立分析的弱点

第一，偏好窄化的集合构造主观性较强：通用答案集 $V_q$（每查询约 20 条）和有用集 $A(u,q)$ 都依赖 LLM 聚类与标注，“对某 persona 有用”的定义在开放式建议场景中本质上是价值判断，不同文化/人群可能得出不同集合；改进方向是引入真实用户偏好数据或多人众包校准有用性。第二，每条个性化响应在温度 0.8 下仅采样 20 次来估计响应分布，对高熵模型的覆盖率估计方差偏大；改进方向是增大采样量或改用 logit 级别的选项概率测量。第三，混合效应模型的交互项统计功效为 0.86、聚类仅 200 个 query-persona，处于可接受边缘；扩样或贝叶斯层级模型可加固结论。第四，评测局限于单轮问答与建议场景，个性化在多轮 agent 工作流、长程任务中的风险积累完全未测；改进方向是把三元组扩展为多轮 episode。第五，缓解实验只有自反思提示一种手段，且作者自己证明它对深层失败无效，却没有对比更可能有效的方法——如检索前的画像相关性门控、有/无上下文的对比解码、或在训练时用 PRISK 分数做对齐信号。第六，完全没有跨语言与非西方文化语境的验证，而刻板印象排除模式（性别、年龄）恰恰是文化敏感的。

未来方向

作者明确提出：把 PRISK 扩展到稀疏、部分可观测的画像和不平衡的真实交互历史；开展更大规模人类研究、多语言与文化多样性设置、以及对真实用户-助手交互的纵向评估。基于其成果还可自然延伸：（1）个性化强度控制器——Figure 1 画出了“适度帮助的最优区间”，未来可研究如何按任务认识论、用户意图和风险容忍度自动标定个性化算子（哪些属性该注入、哪些该屏蔽）；（2）把 PRISK 的三类分数用作训练时奖励或约束，做“个性化对齐”微调，而不只是推理时打补丁；（3）记忆写入策略研究——什么该进长期记忆、什么不该，从源头减少诱饵式噪声；（4）隐私与合规视角：敏感属性（健康、心理状态）被注入事实问答的行为应接受 context-integrity 框架的合规审计；（5）与推荐系统几十年的信息多样性文献接轨，为 LLM 引入曝光多样性约束，防止生成式过滤气泡；（6）将归因方法（偏好反转、do-干预）推广到其他上下文引发的行为偏倚（如安全策略与角色扮演的冲突）。

复现评估

复现条件较好。代码与数据已在 GitHub 开源（github.com/yumeng-10/personalization_risk.git）。数据侧：CSQA、GSM8K、MMLU 均为开源许可（CC BY-SA / Apache 2.0 / MIT 系），Reddit 数据经 PushShift API 获取且作者声明剔除个人可识别信息；3000 条三元组、50×100 的窄化查询集和全部 judge rubric（附录 Figure 9–16）都已发布。算力侧：13 个模型中 8 个开源（Llama-3.1-8B/70B、Qwen3-4B/8B/14B/32B），单张 A100/H100 级显卡即可复现开源部分；闭源部分（GPT-5.4 系列、Claude 4.5/4.6、Gemini 2.5 系列）需要 API 预算——粗算 3000 查询 × 4 条件 × 13 模型，加上窄化协议的 5000 persona-query × 20 次采样，是数万到数十万次调用量级，但均非训练任务。数据构建依赖 GPT-5.1（T=0.5）与 GPT-4.1-mini，这些 API 版本会随时间漂移，导致合成数据与闭源模型结果无法逐位复刻；6 名标注者的人类验证部分无需复现者重复。总体评估：中等难度——数据、提示词、统计脚本齐全，主要门槛是闭源 API 成本与版本漂移带来的数字级差异，核心定性结论（画像主导、三风险普遍存在、自反思只能治表）应当可以稳定复现。

评估大语言模型个性化的隐性代价 Evaluating the Hidden Costs of Personalization in Large Language Models