💬 NLP

When Correct Decisions Hide Internal Stress: Decision-State Probing in Multimodal Language Models

本文引入了 S $^3$ E 框架，揭示了多模态语言模型在遭受语义压力时，尽管能表现出一致的正确外部行为，却隐藏着显著的内部决策状态不稳定性，从而证明了仅凭表层准确性不足以保证鲁棒的内部推理。

原作者： Haoran Zhao, Soyeon Caren Han, Eduard Hovy

发布于 2026-06-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Haoran Zhao, Soyeon Caren Han, Eduard Hovy

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

核心思想：内心惊慌的“完美学生”

想象你是一位正在给学生批改选择题的老师。这个学生每一道题都答对了。从表面上看，他简直是个天才：表现得冷静、自信，最终答案也完美无缺。

但如果，在他们的脑海内部，这个学生其实正在惊慌失措呢？如果每当看到一道难题时，尽管他们最终还是选出了正确答案，但他们的思维却在飞速混乱、冷汗直流、手忙脚乱呢？

传统的 AI 测试就像是只看最终填涂结果的老师。如果答案正确，AI 就会得到一颗金星。本文认为，这还远远不够。 仅仅因为一个 AI 给出了正确的答案，并不意味着它在理解问题时是冷静且稳定的。即使外表看起来很完美，它的内部可能也处于“压力”之中。

问题所在：“黑盒”中的 AI

多模态语言模型（MLLMs）是能够看图并阅读文本的 AI 系统。通常，我们通过询问以下问题来测试它们：

“这个标题是否与这张图片相符？”
“这个描述是虚假的吗？”

如果 AI 正确回答了“是”或“否”，我们就假设它运行良好。但本文作者说：“等一下。我们并不知道机器在做决定时，内部究竟发生了什么。”

他们将这种外部行为（答案）与内部状态（大脑活动）之间的差距称为“盲点”。

解决方案：S3E（AI 大脑的“压力测试”）

作者创建了一种名为 S3E（结构化语义压力评估）的新型 AI 测试方法。不要把 S3E 看作是对 AI “知道什么”的测试，而要把它看作是对 AI 在“知道时感觉如何”的测试。

以下是他们实验的具体步骤：

1. 设置：“A/B”抉择

想象向 AI 展示一张红猫的照片。

选项 A： “一只红色的猫。”（正确答案）。
选项 B： “一只蓝色的狗。”（错误答案）。

AI 选择了 A。很简单。

2. 压力：“陷阱”干扰

现在，研究人员创造了一个“压力候选词”。这是一个看起来与真相非常相似，但隐藏了陷阱的句子。

选项 A： “一只红色的猫。”
选项 B： “一只红色的狗。”（颜色对了，但动物错了）。

这是一个“语义压力”测试。AI 必须仔细观察才能分辨出猫和狗的区别。

3. 转折：交换顺序

为了确保 AI 不仅仅是在瞎猜或者偏好第一个选项，他们交换了顺序：

试验 1： A = 红猫，B = 红狗。
试验 2： A = 红狗，B = 红猫。

如果 AI 在两次试验中都选择了“红猫”，那么它就通过了“严格正确”（Strict-Correct）测试。无论选项如何打乱，它都能得到正确答案。

4. 秘密探测：观察“回答前”的大脑

这是最神奇的部分。在 AI 思考过程中，但在它点击“A”或“B”之前，研究人员窥视了计算机的“大脑”（其隐藏状态）。

他们测量了 AI 处理“红猫”与“红狗”时，内部思维过程之间的距离。

对照组： 他们将其与一个“无聊”的变化进行比较，比如将“红猫”改为“猫科动物猫”（意思相同，用词不同）。这就像是要求 AI 去思考同样的事情，但使用同义词。
压力组： 他们将其与“红狗”（意思错误）进行比较。

发现： “隐藏的颤抖”

论文发现，在几种不同的 AI 模型（如 Qwen、Gemma 和 InternVL）中，都存在一个令人惊讶的现象：

即使 AI 的回答100% 正确（在两种顺序下都选择了猫而不是狗），当面对“红狗”这个选项时，它的内部大脑状态仍显示出一种**“颤抖”或“剧烈跳跃”**。

正常情况： 当 AI 看到同义词（“猫科动物猫”）时，它的内部大脑状态保持冷静，并接近原始思维。
压力情况： 当 AI 看到陷阱（“红狗”）时，尽管它最终能选出正确答案，但它的内部大脑状态却会摇晃或发生大幅偏移。

类比：
想象一位走钢丝的人。

场景 A： 他们在风平浪静的日子里走过。他们安全到达了另一端。
场景 B： 他们在狂风大作的日子里走过。他们也安全到达了另一端。
论文的发现： 如果你只看终点线，这两次行走看起来是一样的（成功！）。但如果你观察他们的肌肉紧张度（内部状态），场景 B 中的行人在整个过程中都在剧烈颤抖，尽管他们并没有摔倒。

这意味着什么？

作者并不是说这些 AI 模型坏掉了，或者它们未来会失败。他们是在说：

正确性并不足够： 仅仅因为一个 AI 给出了正确答案，并不代表其内部逻辑是稳定的。
压力是隐藏的： AI 可以在外部表现完美的同时，在内部处于“压力”之下（内部不稳定）。
这是一种诊断工具： 这种新方法（S3E）就像是 AI 的核磁共振（MRI）。它让研究人员能够看到普通测试无法察觉到的“内部压力”。

一句话总结

本文介绍了一种全新的 AI 测试方法，通过观察机器在思考时的内部“大脑”状态，揭示了即使 AI 模型能给出完美的答案，它们在面对复杂陷阱时，内部依然可能是不稳定且处于“压力”之中的。

技术摘要：多模态语言模型的决策状态探测

问题陈述

多模态语言模型（MLLM）主要通过外部可观察的行为进行评估，例如选择正确的图文匹配项或准确回答视觉查询。虽然 MMBench 和 MM-Vet 等基准测试能有效衡量这些输出，但本文指出，正确的外部行为并不保证内部稳定性。一个模型可能始终选择正确的标题（严格正确行为），但其内部决策状态在面对结构化语义扰动时，却表现出显著的不稳定性或“压力敏感性”。这造成了一个评估盲点：仅基于行为的指标报告成功，却掩盖了隐藏的内部决策状态压力敏感信号。

方法论：S3E 框架

作者引入了 S3E（结构化语义压力评估） 框架，旨在分析外部行为与内部决策状态之间的脱节现象。

1. 评估协议

正向锚定的 A/B 强制选择： 评估过程呈现一张图像、一个由图像支持的正向标题 ( $c^+$ ) 以及一个候选标题 ( $c$ )。模型必须选择哪个标题更符合图像。
顺序平衡： 为了消除位置偏差，试验会在原始顺序 ( $[c^+, c]$ ) 和交换后的顺序 ( $[c, c^+]$ ) 下分别进行评估。
严格正确过滤： 分析基于“严格正确”的试验，即模型在两种选项顺序中都选择了正向标题 $c^+$ 而非候选标题。这确保了内部分析聚焦于外部行为稳定且正确的案例。

2. 候选条件

该框架利用源自公开基准测试（Winoground, SugarCrepe, ARO）的“基础—保持—压力”基质：

正向 ( $c^+$ )： 金标准，受图像支持的标题。
保持 ( $c_{pres}$ )： 对 $c^+$ 进行意义保持的改写（测试正确重构形式的内部稳定性）。
词汇 ( $c_{lex}$ )： 不同的意义保持表面控制（测试普通的词级变化）。
压力 ( $c_{stress}$ )： 引入语义冲突的意义改变候选（涉及物体、属性、关系或组合的变化）。
随机 ( $c_{rand}$ )： 来自不同源条目的通用不匹配标题。

3. 决策状态探测

提取点： 隐藏状态提取自预回答决策状态，即模型发出强制选择 token 之前的瞬间。
度量指标： 作者使用正向锚定余弦距离。对于候选条件 $k$ ，得分 $S^{(m,\ell)}_{i,o,k}$ 定义为 $1 - \cos(h^{(m,\ell)}_{i,o,k}, h^{(m,\ell)}_{i,o,+})$ ，其中 $h^{(m,\ell)}_{i,o,+}$ 是正向标题的隐藏状态。
控制归一化对比： 主要指标是压力条件相对于控制组的过度位移：
- $\Delta_{lex} = S_{stress} - S_{lex}$ （语义压力 vs. 词汇变化）。
- $\Delta_{pres} = S_{stress} - S_{pres}$ （语义压力 vs. 意义保持的重构）。
- $\Delta_{rand} = S_{stress} - S_{rand}$ （语义压力 vs. 通用不匹配）。

4. 诊断剖面

结果通过四个维度进行报告（CA, SO, SI, BE）：

CA (压缩–各向异性)： 有效秩与方差集中度。
SO (结构组织)： 层级漂移与峰值层定位。
SI (选择性–可识别性)： 压力信号相对于控制组的特异性。
BE (行为暴露)： 准确率与严格正确率。

关键结果

研究针对五种开源模型进行了测试：Qwen3VL (2B, 4B, 8B), Gemma3-4B, 以及 InternVL3-2B。

隐藏压力敏感性的存在： 在所有测试模型中，语义压力相对于词汇控制组一致产生了正向的选择层过度位移 ( $\Delta_{lex}$ )，即使模型做出了正确的强制选择决策。
- 对于 Qwen3VL-8B，配对标准化效应量 ( $d_p$ ) 为 2.85， $\Delta_{lex}$ 为 0.1293。
- 对于 Gemma3-4B， $\Delta_{lex}$ 为 0.0093， $d_p$ 为 5.45。
- 所有高支持度的运行中， $\Delta_{lex}$ 的置信区间均不包含零。
规模并不能消除差距： 增加模型规模（Qwen3VL 2B $\to$ 8B）并未使行为与内部的脱节消失。事实上，语义特异性对比随规模增长（0.0190 $\to$ 0.1293），表明更大的模型即使在外部表现正确时，也可能表现出更强或更具可识别性的压力特定决策状态结构。
信号的特异性：
- 该效应是语义特异的： $\Delta_{lex}$ 一致为正，表明位移并非仅仅由词汇或表面形式的变化引起。
- 该效应并非通用不匹配： $\Delta_{rand}$ （压力 vs. 随机负例）取决于模型，且通常为负值或接近零，这证实了随机负例是一个更强的原始不匹配参考，而非主要的语义基准。
层级定位： 压力响应被定位到特定的“峰值”层（通过 E3 压力特异性剖面识别），但也在预设的上半部分层检查中可见，这表明响应并非仅局限于单个孤立层。

意义与主张

本文对其发现提出了适度且有范围限制的主张：

诊断视角，而非失败证明： 作者明确指出 S3E 是一个受限的诊断目标，而非下游失败、幻觉或安全性的证明。在严格正确行为下出现的过度位移表明存在“决策状态压力敏感性”，并不一定意味着模型在自由生成或下游任务中会失败。
强制选择正确性的不足： 主要结论是，强制选择的正确性本身不足以作为不变内部决策几何结构的证明。一个模型可以表现出行为鲁棒性，但在内部对语义压力却是敏感的。
信号的解释： 观测到的位移被解释为：当候选内容引入语义冲突时，模型的预回答决策几何形状如何发生变化。该信号在经过词汇变化、答案间隔和表面重叠的控制后依然存在。
局限性： 作者承认基质是以英语为中心的且源自公开基准测试，这可能会限制泛化性。他们还指出，该分析依赖于白盒访问（隐藏状态），从而限制了在闭源模型上的适用性。该指标 $\Delta_{lex}$ 是预回答状态下的几何响应，不应在没有进一步证据的情况下与校准或未来的行为失败混淆。

总之，S3E 提供了一种检测 MLLM 中“隐藏压力”的方法，揭示了即使在外部输出看似正确的情况下，内部决策状态仍可能是不稳定的，从而为未来的层中性估计和鲁棒性测试提供了动力。