Navigating the Rabbit Hole: Emergent Biases in LLM-Generated Attack Narratives Targeting Mental Health Groups

技术摘要：穿越兔子洞：针对心理健康群体的 LLM 生成式攻击叙事中的涌现偏差

问题陈述
虽然大型语言模型（LLMs）表现出针对特定身份群体的偏差是众所周知的，但“无端”针对性攻击的现象仍未得到充分研究。具体而言，目前缺乏对于 LLM 如何在未明确提及这些群体的情况下，自主升级针对高风险人群（如心理健康群体）的有害叙事的理解。目前的偏差评估通常依赖于静态的、基于直接提示词的诱导或单次生成的毒性检查，无法捕捉到毒性在生成轨迹中如何递归地展开和传播的联网特性。本文旨在填补理解空白，探讨心理健康身份如何在“毒性兔子洞”（Toxicity Rabbit Holes, TRH）中被不成比例地针对和污名化——即在递归生成链中，LLM 被迭代地提示以生成日益具有毒性的内容。

研究方法
本研究利用了 Toxicity Rabbit Hole (TRH) 数据集（Dutta 等人，2024），这是一个由 10 个 LLM 生成、针对 1,266 个身份群体的 4.59 亿个 token 的大规模语料库。在本分析中，作者重点关注 Mistral 7B 模型，该模型包含 15,401 个生成链和 190,599 个独立输出。

研究方法通过以下三个主要阶段进行：

1. 数据清洗与实体提取：

   • 作者过滤了语料库，仅保留有毒生成内容，排除了中性或反面言论（counter-speech）输出。
   • 利用 LLaMA-3.2 3B，从文本中提取了“受害者实体”（被攻击的群体）和非参与者实体。
   • 通过人工合并过程，将形态学和语义冗余的实体（例如，“Muslims”和“Moslems”）进行合并，最终形成了一个包含 24,185 个唯一受害者实体的词汇表（VictimSet）。
   • 使用由 390 个心理健康术语（源自 ICD-10、维基百科及俗语）组成的特定词典，从 VictimSet 中筛选出一个特定的子集 MHSet（包含 195 个唯一的心理健康实体）。

2. 网络构建（兔子洞网络）：

   • 构建了一个加权有向图 $G = (V, E)$，其中节点代表受害者实体，边代表同一生成链中连续生成之间实体间的转换。
   • 边权重对应于转换频率（$u \to v$）。
   • 分析重点在于最大的弱连通分量，该分量包含 24,184 个节点和 663,433 条边。

3. 分析框架：

   • 网络中心度 (RQ1)： 作者计算了 MHSet 与 非-MHSet 节点的紧密中心度（closeness）、度中心度（weighted/unweighted）、PageRank 和介数中心度（betweenness），并使用 Mann-Whitney U 检验进行显著性测试。
   • 社区检测 (RQ2)： 应用 Leiden 算法来识别共同被针对的实体集群。计算了 Gini 系数以衡量 MH 实体在特定社区中的集中程度。
   • 污名化分析 (RQ3)： 借鉴 Link & Phelan (2001) 框架，作者分析了随着生成链从初始目标（$V_{init}$）演进到首次出现心理健康目标（$V_{MH}$）时，污名化组成部分（标签化、负面刻板印象、分离、地位丧失/歧视）的演变。使用 LLaMA-3.2 3B 对这些组成部分的存在进行标注，并在链内的配对样本上进行了 Wilcoxon 符号秩检验。

核心贡献

1. 对无端攻击的显式评估： 本文首次对递归生成链中专门针对高度脆弱的心理健康群体的 LLM 生成式攻击进行了显式评估，证明了即使在初始提示中未提及这些群体，它们也会被针对。
2. 基于网络的框架： 引入了一种基于网络的方法来研究相对偏差的传播，模拟毒性内容如何在实体间转换，并识别出心理健康实体作为中心枢纽的结构性“兔子洞”。
3. 涌现污名化的评估： 研究量化了生成链中涌现出的相对程度较高的污名化，表明心理健康目标的框架性质会变得比初始目标更加严重。

结果

• 中心度 (RQ1)： 心理健康实体在网络中占据了显著更中心的地位。
  • 紧密中心度： MH 实体具有显著更高的平均紧密中心度（均值 = 0.71 vs. 0.63，$p = 4.06 \times 10^{-10}$），表明它们在结构上更容易通过较少的步骤从其他节点到达。
  • 度中心度与 PageRank： MH 实体显示出显著更高的加权和非加权度中心度以及 PageRank 分数（$p < 0.001$），表明它们是频繁的焦点，并深植于具有影响力的集群中。
  • 介数中心度： 未发现显著差异，这意味着 MH 实体更多地充当密集的枢纽，而非连接不相连区域的桥梁。
• 社区结构 (RQ2)： MH 实体并非随机分布，而是紧密聚集。
  • Gini 系数为 0.7，显示出高度集中。
  • 75.9% 的所有 MH 实体居住在仅有的两个社区中：一个包含临床特异性障碍（如双相情感障碍、阅读障碍），另一个包含广泛的社会构建术语（如“患有心理健康问题的人”）。
  • 一小部分实体反映了交叉性针对（例如，“患有精神疾病的黑人”）。
• 污名化演变 (RQ3)： 随着生成链从初始目标转向心理健康目标，所有四个组成部分的污名化严重程度都显著增加。
  • 地位丧失与歧视： 显示出最显著的增长（均值比例差 = -0.70，$p = 7.16 \times 10^{-143}$）。
  • 标签化： 也表现出大幅上升（均值比例差 = -0.47，$p = 5.44 \times 10^{-81}$）。
  • 这表明一旦引入 MH 实体，话语就会转向，变得明显更加非人化且具有歧视性。

意义与主张
本文认为当前的 LLM 安全评估存在一个关键盲点：即使心理健康群体在初始提示中不存在，模型也可能不成比例地伤害这些群体。作者声称，模型的内部生成结构（类似于隐性偏差）会导致循环性的针对行为，并通过递归生成放大社会污名。

这项工作的意义在于强调，危害不仅仅在于偏差的存在，而是在于其递归式升级。仅仅一步生成进入有害轨迹，就可能螺旋式上升为深度非人化的叙事，而现有的单次生成护栏无法捕捉到这一点。作者得出结论，LLM 安全范式必须从反应式审核转向主动的、具备轨迹感知能力的干预，以便实时检测涌现的伤害模式。此外，这项工作表明，未来的偏差削减策略应利用实体交互网络来指导微调和反污名干预。

承认的局限性
作者指出，其发现是针对 TRH 框架和 Mistral 7B 模型的，这可能会限制其普适性。此外，虽然网络方法捕捉了结构依赖性，但它们并未完全考虑到除已标注组件之外的攻击强度或框架的变化。研究依赖于 LLM 推断的标注来表示毒性和污名，虽然这些标注经过了人工验证，但仍代表了人类判断的一种代理。最后，实体列表是根据权威来源编译的，未来的工作可以探索在诊断轴与社会轴之间如何进行污名化框架的社区化分歧。