LLM-as-a-Reviewer: Benchmarking Their Ability, Divergence, and Prompt Injection Resistance as Paper Reviewers

Problema
I grandi modelli linguistici (LLM) sono sempre più integrati nella revisione paritaria accademica per affrontare la carenza di revisori causata dalla crescita esplosiva delle sottomissioni alle principali conferenze di intelligenza artificiale. Tuttavia, la loro affidabilità, l'allineamento al giudizio umano e la robustezza contro gli attacchi avversariali rimangono poco compresi. Nello specifico, manca una valutazione sistematica su come gli LLM calibrano le valutazioni rispetto ai revisori umani, su come le loro priorità valutative e gli stili di scrittura divergano da quelli umani, e su se siano suscettibili ad attacchi di iniezione di prompt in cui gli autori incorporano istruzioni nascoste per manipolare gli esiti della revisione.

Metodologia
Gli autori presentano un benchmark sistematico che valuta 12 LLM all'avanguardia (da fornitori tra cui OpenAI, Google, Anthropic, Meta e Qwen) come revisori paritari. Lo studio utilizza un dataset di 898 articoli stratificati da NeurIPS 2022, ICLR 2023 e ICLR 2025, garantendo una rappresentazione equilibrata tra i livelli di accettazione e i sottodomini di ricerca.

Il quadro sperimentale consiste in tre set di revisione paralleli:

1. Revisioni Ufficiali: Revisioni umane strutturate raccolte da OpenReview.
2. Revisioni LLM: Revisioni generate dai 12 LLM sugli articoli originali utilizzando uno schema unificato basato su un'ontologia di argomenti derivata dalle linee guida delle principali conferenze (coprendo Novità, Qualità Tecnica, Significato, Chiarezza, Riproducibilità e Altri).
3. Revisioni con Iniezione di Prompt: Revisioni generate dagli stessi modelli su varianti degli articoli in cui sono state incorporate istruzioni malevole utilizzando un attacco di mappatura del font invisibile (manipolazione del font TrueType). Questa tecnica rende l'istruzione visivamente indistinguibile dal testo benigno (ad esempio, avvisi di copyright) pur rimanendo leggibile dalla macchina, simulando tentativi avversariali reali di aggirare i filtri di sicurezza.

La valutazione analizza quattro dimensioni:

• Calibrazione della Valutazione e della Confidenza: Misurazione del divario medio tra le valutazioni e i punteggi di confidenza degli LLM e quelli umani.
• Allineamento della Distribuzione degli Argomenti: Confronto della frequenza di punti di forza e debolezza attraverso le dimensioni dell'ontologia utilizzando divari in punti percentuali e divergenza di Jensen–Shannon.
• Stile di Scrittura: Valutazione della lunghezza, della complessità sintattica (Livello di Grado FK, Nebbia Gunning), della diversità lessicale (Rapporto Tipo-Token) e della sofisticazione del vocabolario.
• Susceptibilità all'Iniezione di Prompt: Valutazione della capacità delle istruzioni nascoste di gonfiare i punteggi, promuovere articoli con bassi punteggi fino a raggiungere le soglie di accettazione e ridurre gli indici testuali negativi.

Contributi Chiave

• Un benchmark su larga scala e stratificato di 12 LLM attraverso molteplici sedi e anni, fornendo una visione granulare della calibrazione delle valutazioni e della divergenza degli argomenti.
• Un esperimento controllato che dimostra l'efficacia degli attacchi di iniezione di prompt basati sui font nel contesto della revisione paritaria, superando le preoccupazioni teoriche per fornire prove empiriche di vulnerabilità.
• Una caratterizzazione dettagliata delle differenze sistematiche tra le revisioni degli LLM e quelle umane, inclusi specifici bias nell'enfasi degli argomenti e nello stile di scrittura.

Risultati

• Calibrazione della Valutazione: Gli LLM sovrastimano sistematicamente le sottomissioni più deboli e mostrano un'inflazione universale della confidenza rispetto ai revisori umani. Tuttavia, questo comportamento dipende dalla famiglia del modello; le famiglie Gemini, Qwen e Llama mostrano grandi divari positivi di valutazione (fino a +2,43 punti), mentre la famiglia GPT-5 è più conservatrice, spesso sottostimando gli articoli.
• Divergenza degli Argomenti: Gli LLM divergono significativamente dagli umani nel loro focus valutativo. Sottosegnalano sistematicamente la "Chiarezza" come punto debole (divari da -14 a -20 punti percentuali) mentre sovrasegnalano la "Riproducibilità". Inoltre, le revisioni degli LLM sono da due a tre volte più lunghe di quelle umane, mostrano una maggiore complessità sintattica e possiedono una minore diversità lessicale (vocabolario più ripetitivo).
• Resistenza all'Iniezione di Prompt: Le istruzioni nascoste rimangono altamente efficaci. Per diversi modelli (ad esempio, famiglia Gemini, GPT-4o-mini), l'iniezione di prompt ha promosso con successo il 65–76% degli articoli originariamente a basso punteggio a valutazioni di livello di accettazione e ha ammorbidito significativamente le critiche testuali negative. La famiglia GPT-5 ha dimostrato una resistenza sostanzialmente superiore. È stato riscontrato che il successo dell'attacco dipende fortemente dalla posizione dell'iniezione (l'inserimento in fondo è stato il più efficace) e dalla formulazione del prompt, piuttosto che dalla semplice frequenza di ripetizione.

Significato
Il documento sostiene che, sebbene gli LLM offrano utilità nel strutturare le valutazioni, non sono ancora sostituti affidabili del giudizio umano a causa di bias intrinseci (sovrastima sistematica, disallineamento degli argomenti) e vulnerabilità significative alla manipolazione avversariale. I risultati suggeriscono che l'integrazione degli LLM nella revisione paritaria richiede specifiche salvaguardie, inclusi audit di calibrazione sensibili agli effetti della famiglia del modello, difese contro le iniezioni di prompt nascoste e confini politici chiari riguardo al loro ruolo nelle decisioni di accettazione. Lo studio evidenzia che il "revisore LLM" non è un'entità monolitica, ma una raccolta di comportamenti valutativi distinti con diversi gradi di robustezza e bias.