LLM-as-a-Reviewer: Benchmarking Their Ability, Divergence, and Prompt Injection Resistance as Paper Reviewers

Problema
Os Grandes Modelos de Linguagem (LLMs) estão sendo cada vez mais integrados à revisão por pares acadêmica para enfrentar a escassez de revisores causada pelo crescimento explosivo de submissões em principais conferências de IA. No entanto, sua confiabilidade, alinhamento com o julgamento humano e robustez contra ataques adversariais permanecem pouco compreendidos. Especificamente, há uma falta de avaliação sistemática sobre como os LLMs calibram suas classificações em relação aos revisores humanos, como suas prioridades avaliativas e estilos de escrita divergem dos humanos, e se eles são suscetíveis a ataques de injeção de prompt, onde autores incorporam instruções ocultas para manipular os resultados da revisão.

Metodologia
Os autores apresentam um benchmark sistemático que avalia 12 LLMs de última geração (de provedores incluindo OpenAI, Google, Anthropic, Meta e Qwen) como revisores por pares. O estudo utiliza um conjunto de dados de 898 artigos estratificados de NeurIPS 2022, ICLR 2023 e ICLR 2025, garantindo representação equilibrada entre os níveis de aceitação e subdomínios de pesquisa.

O quadro experimental consiste em três conjuntos de revisão paralelos:

1. Revisões Oficiais: Revisões humanas estruturadas coletadas do OpenReview.
2. Revisões de LLM: Revisões geradas pelos 12 LLMs nos artigos originais usando um esquema unificado baseado em uma ontologia de tópicos derivada das diretrizes de principais conferências (abrangendo Novidade, Qualidade Técnica, Significância, Clareza, Reprodutibilidade e Outros).
3. Revisões com Injeção de Prompt: Revisões geradas pelos mesmos modelos em variantes de artigos onde instruções maliciosas foram incorporadas usando um ataque de mapeamento de fonte invisível (manipulação de fonte TrueType). Esta técnica torna a instrução visualmente indistinguível de texto benigno (por exemplo, avisos de direitos autorais), enquanto permanece legível por máquina, simulando tentativas adversariais do mundo real para contornar filtros de segurança.

A avaliação analisa quatro dimensões:

• Calibração de Classificação e Confiança: Medindo a média da lacuna entre as classificações e pontuações de confiança dos LLMs e dos humanos.
• Alinhamento da Distribuição de Tópicos: Comparando a frequência de pontos fortes e fracos entre as dimensões da ontologia usando lacunas em pontos percentuais e divergência de Jensen–Shannon.
• Estilo de Escrita: Avaliando comprimento, complexidade sintática (Nível de Grau FK, Névoa de Gunning), diversidade lexical (Razão Tipo-Token) e sofisticação de vocabulário.
• Suscetibilidade à Injeção de Prompt: Avaliando a capacidade de instruções ocultas de inflar pontuações, promover artigos com pontuação baixa para limiares de aceitação e reduzir pistas textuais negativas.

Principais Contribuições

• Um benchmark em grande escala e estratificado de 12 LLMs em múltiplos eventos e anos, fornecendo uma visão granular da calibração de classificações e da divergência de tópicos.
• Um experimento controlado demonstrando a eficácia de ataques de injeção de prompt baseados em fontes no contexto de revisão por pares, avançando além de preocupações teóricas para evidências empíricas de vulnerabilidade.
• Uma caracterização detalhada das diferenças sistemáticas entre revisões de LLM e humanas, incluindo vieses específicos na ênfase de tópicos e estilo de escrita.

Resultados

• Calibração de Classificação: Os LLMs sistematicamente superavaliaram submissões mais fracas e exibiram inflação universal de confiança em comparação com revisores humanos. No entanto, esse comportamento é dependente da família do modelo; as famílias Gemini, Qwen e Llama mostram grandes lacunas positivas de classificação (até +2,43 pontos), enquanto a família GPT-5 é mais conservadora, frequentemente subavaliando artigos.
• Divergência de Tópicos: Os LLMs divergem significativamente dos humanos em seu foco avaliativo. Eles sistematicamente sinalizam menos "Clareza" como uma fraqueza (lacunas de -14 a -20 pontos percentuais) enquanto sinalizam mais "Reprodutibilidade". Além disso, as revisões de LLM são duas a três vezes mais longas que as revisões humanas, exibem maior complexidade sintática e possuem menor diversidade lexical (vocabulário mais repetitivo).
• Resistência à Injeção de Prompt: Instruções ocultas permanecem altamente eficazes. Para vários modelos (por exemplo, família Gemini, GPT-4o-mini), a injeção de prompt promoveu com sucesso 65–76% dos artigos originalmente com pontuação baixa para classificações no nível de aceitação e suavizou significativamente críticas textuais negativas. A família GPT-5 demonstrou resistência substancialmente maior. A eficácia do ataque mostrou-se altamente dependente da localização da injeção (inserção no final foi a mais eficaz) e da redação do prompt, e não apenas da frequência de repetição.

Significância
O artigo argumenta que, embora os LLMs ofereçam utilidade na estruturação de avaliações, eles ainda não são substitutos confiáveis para o julgamento humano devido a vieses intrínsecos (superavaliação sistemática, desalinhamento de tópicos) e vulnerabilidades significativas à manipulação adversarial. As descobertas sugerem que a integração de LLMs na revisão por pares exige salvaguardas específicas, incluindo auditorias de calibração sensíveis aos efeitos da família do modelo, defesas contra injeções de prompt ocultas e limites claros de política quanto ao seu papel nas decisões de aceitação. O estudo destaca que o "revisor de LLM" não é uma entidade monolítica, mas uma coleção de comportamentos avaliativos distintos com variados graus de robustez e viés.