🤖 machine learning

The Moving Target: A Longitudinal Audit of Trustworthiness Drift Across Twelve Checkpoints of Open-Source Chat LLMs

本文通过对四条开源大语言模型发布线的纵向审计表明，可信度评分在连续的检查点之间存在显著漂移，从而论证了此类指标必须被视为过时的、特定于检查点的产物，而非无需重新测量即可沿用至今的静态属性。

原作者： Zhichao Fan, Yanhang Li, Zexin Zhuang, Xian Sun, Yingshuo Wang

发布于 2026-07-07

📖 1 分钟阅读☕ 轻松阅读

原作者： Zhichao Fan, Yanhang Li, Zexin Zhuang, Xian Sun, Yingshuo Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你购买了一辆来自信赖品牌（如“Mistral”或“Qwen”）的汽车。销售人员递给你一份手册（即“模型卡/Model Card”），上面写着：“这款车有 90% 的安全性且 95% 的诚实度”，这是基于他们去年进行的测试。

现在，想象六个月后，同一个品牌发布了该汽车的一个微调版本。虽然名字没变，但他们可能调整了引擎、更新了软件，甚至更换了轮胎。

这个研究提出的核心问题是： 你还能信任那份旧的手册吗？旧版本的“90% 安全性”评分是否会自动适用于新版本？

作者们说：不，绝对不行。

以下是他们利用简单类比得出的研究结果：

1. “移动目标”问题

研究人员观察了四个主要的开源 AI 系列（Yi、Qwen、Mistral 和 Gemma）。对于每个系列，他们检查了三个连续的版本（第一代、第二代和第三代）。

你可以把这些 AI 模型想象成厨房里的厨师。

第一代是厨师的第一份食谱。
第二代是同一个厨师，但也许他们改变了香料配比、烹饪时间或使用的锅具类型。
第三代又是那位厨师，但可能配备了新的助手或不同的烤箱。

尽管菜单上的厨师名字没变，但他们提供的食物确实发生了变化。研究发现，AI 的“可靠性”在这些版本之间会发生显著偏移。这就像如果一位厨师上个月的“95% 美味度”评分，仅仅因为稍微改动了食谱，就掉到了 85% 或跳到了 98% 一样。

2. “漂移”是真实且巨大的

团队测量了 AI 性能在不同版本之间“漂移”（移动）的程度。

他们发现平均偏移量为 8.00 个百分点。
为了让你更有概念，他们将这种偏移量与 AI 仅仅是随机抛硬币的结果进行了对比。实际的偏移量比随机噪声大 3.6 倍。

类比： 想象你正试图射中靶心。如果你每次投掷时，靶盘本身都在剧烈晃动（即使你站在同一个位置投掷），那么昨天的得分对今天的得分将毫无参考价值。这篇论文证明了“靶盘”（AI 的行为）的移动程度远超我们的想象。

3. “证书”已经过期

目前，公司通常会在模型卡上标注一个信任分数，并假设该分数在整个“发布系列”中都有效。

论文结论： 信任分数不是像驾照那样永久有效的证书。它更像是一个天气预报。
如果你读到的是上周二的天气预报说“晴天”，那么这份报告对于决定今天穿什么衣服是毫无用处的。你需要一份针对“今天”情况的新报告。

作者认为，每当发布一个新的 AI 版本时，旧的信任分数都应该被视为已过期。你不能在没有重新测试的情况下，将其直接沿用到新版本。

4. “纵向模型卡”解决方案

由于分数变化如此之大，作者提出了一种新的报告方式，称之为纵向模型卡（Longitudinal Model Card）。

这就像是健身追踪器的日志，而不是一张单张的照片。

旧方式： 一张你今天的照片，上面写着“我体重 150 磅”。（这无法告诉你自上周以来你是胖了还是瘦了）。
新方式（纵向卡）： 一份日志，上面写着：“1 月 1 日，我体重 150 磅；2 月 1 日，我体重 152 磅；变化为 +2 磅。”

这种新卡片将包含：

特定的“快照”（检查点）： 究竟测试的是哪个版本的 AI。
日期： 测试发生的时间。
漂移量： 与前一个版本相比，分数变化了多少。

5. 这并不意味着什么

论文非常谨慎地说明了它并未声称的内容：

不是关于“更好”或“更坏”： AI 并不一定变得“更笨”或“更安全”。它只是发生了变化。有时分数上升，有时分数下降。重点在于它是不可预测的。
不是关于“闭源 AI”： 本研究仅针对任何人都可以下载的开源模型。它没有讨论那些来自大公司的秘密、闭源模型（比如你在网站上聊天的那些），因为那些模型更难进行测试。
不是关于“神奇”的修复方法： 论文并没有提供一种阻止 AI 发生变化的方法。它只是在说：“别再假装它不会发生变化了。”

总结

如果你正在购买、监管或使用开源 AI，不要假设手册上的信任分数适用于新版本。 AI 是一个“移动的目标”。你必须对每一个新版本进行重新测试，才能知道你实际得到的是什么。旧的分数只是一个过时的产物，而不是一份保证。

技术摘要：移动的目标——关于信任度漂移的纵向审计

1. 问题陈述

当前的大语言模型（LLM）可信度报告实践通常将基准测试分数视为静态、可转移的证书。模型卡片经常引用信任基准测试分数（例如 TruthfulQA、BBQ），却未记录具体的测量时间或检查点版本。因此，在同一发布系列（例如从 "Mistral-7B-Instruct v0.1" 到 "v0.3"）的连续检查点之间，这些分数被惯常地沿用，其隐含假设是模型的行为并未发生偏移。

本文研究这一假设是否成立。本文认为，对于开源发布系列而言，由于预训练混合数据、指令微调配方、分词器以及模型规模在不同世代之间都会发生变化，在时间 $t$ 测得的信任分数对于后续时刻 $t+\Delta$ 的检查点可能不再有效。核心的操作性问题是：当底层检查点已经发生移动时，一个时点性的信任分数是否正被误读为可转移的证书？

2. 研究方法

2.1 审计范围与设计

本研究对四个开源对话式 LLM 发布系列进行了纵向审计：Yi、Qwen、Mistral 和 Gemma。

世代： 每个发布系列在三个连续的公开世代（G1 $\to$ G2 $\to$ G3）中进行评估，共计 12 个不同的检查点。
基准测试： 使用了一个包含 五个信任基准 的固定集合，涵盖三个维度：
- 真实性（Truthfulness）： TruthfulQA-MC1。
- 公平性（Fairness）： BBQ-mixed（混合了歧义/消歧 MCQ）和 CrowS-Pairs-FC（强制选择型 MCQ）。
- 安全性（Safety）： ToxiGen-AT（AI 标注的毒性阈值）和 XSTest-TD（类型派生的拒绝代理）。
提示词（Prompting）： 每个基准测试都在 三种不同的提示词模板 下进行评估（通过改变表面形式和提取策略），以考虑配置敏感性。
采样： 在所有 12 个检查点中重复使用一个固定的、缓存的 200 项 子集，以确保进行配对比较。
评估协议： 模型以 4-bit NF4 量化方式加载并采用贪婪解码。分数计算为每个检查点下三个提示词模板的平均值。

2.2 指标与统计框架

主要指标是 分数漂移率（Score Drift Rate, SDR），定义为相邻世代之间绝对百分点差异：
$|SDR| = \frac{1}{|F||B||G_{trans}|} \sum |(s_{f,g',b} - s_{f,g,b})|$
其中 $F$ 是发布系列集合， $B$ 是基准测试集合， $G_{trans}$ 代表相邻转换。

为了确定观察到的漂移是统计显著的还是仅仅由采样噪声引起，作者构建了一个 池化无漂移参考零假设（pooled no-drift reference null）：

机制： 对于每个 $(f, b, t)$ 三元组，计算跨所有世代的池化成功率。在 5,000 次自助法（bootstrap）迭代中，通过基于此池化率从二项分布中抽取新分数来模拟新分数，将相邻世代视为独立的。
目的： 这生成了一个在“无漂移”假设下预期的 $|SDR|$ 分布。将观察到的聚合值与该零分布的第 99.9 百分位数进行比较。

3. 关键结果

3.1 主要终点：显著漂移

研究发现，信任分数在不同世代间发生显著漂移，远超采样噪声所能解释的范围。

观察到的漂移： 平均绝对相邻世代漂移（$|SDR|$）为 8.00 个百分点 (pp)（95% 置信区间：[7.57, 9.12]）。
零假设比较： 池化无漂移参考零假设的均值为 2.22 pp，其 99.9 百分位数为 3.30 pp。
显著性： 观察到的漂移是零假设均值的 3.60 倍，且远落在零分布的第 $10^{-3}$ 尾部之外（ $p < 2 \times 10^{-4}$ ）。
鲁棒性： 该结果在严格评分（未解析输出被计为错误，使漂移上升至 8.93 pp）以及各种扰动（剔除特定基准、发布系列或低解析单元）下依然成立，漂移范围保持在 [6.36, 9.43] pp 之间。

3.2 探索性诊断

退化率（Regression Rate）： 47.5% 的相邻世代转换出现了退化（分数降低），这违背了“后期版本必然更优”的隐含预期。
维度波动性： 与公平性相关的基准测试显示出最高的波动性（ $\sigma \approx 12.88$ pp），其次是真实性（ $\approx 11.72$ pp），而安全性最为稳定（ $\approx 7.48$ pp）。
排名持久性： 排名稳定性较弱。得分最高的发布系列在 90% 的基准/转换单元中发生了变化，且两两排序在 55% 的情况下发生了翻转，表现仅略好于均匀随机基准。
合规性翻转： 在经验中位数阈值下，基准测试在世代间跨越阈值的概率对于所有基准测试均 $\ge 0.5$ 。

4. 贡献与启示

4.1 核心结论

本文得出结论：不应假定附加在命名发布系列上的信任分数可以无须重新测量即可转移到后续检查点。 证据表明，将这些分数视为可转移证书在操作上是不合理的。

4.2 提议的解决方案：纵向模型卡片（Longitudinal Model Cards, LMC）

作者建议将信任报告封装为 纵向模型卡片（LMC）。与标准模型卡片不同，LMC 必须包含：

检查点身份（Checkpoint Identity）： 特定的 HuggingFace 修订版本哈希值。
评估日期（Evaluation Date）： 测量的确切日期。
漂移上下文（Drift Context）： 相对于先前审计发布的漂移情况以及参考零假设摘要。
再审计触发器（Re-audit Trigger）： 一条规则，规定任何“实质性新发布”（权重、分词器、规模或配方的变化）都会触发强制性的再审计，而非分数直接沿用。

4.3 结论适用范围

作者明确限制了研究发现的范围：

包含： 五个特定基准测试的非规范对话评估变体、固定的 200 项缓存子集，以及四个被审计的开源发布系列（参数量均 $\le 12B$ ）。
排除： 闭源 API（如 OpenAI、Anthropic）、大于 12B 的模型、规范基准测试协议以及固定的月度披露规则。本文并不声称这些排除领域存在漂移，并指出它们需要单独评估。

5. 意义与局限性

意义： 本文提供了首次大规模、多家族的开源 LLM 信任度纵向审计。它挑战了模型治理、采购和监管披露中的“静态证书”范式，认为信任是一个随时间变化的、针对特定检查点的产物，而非发布系列的永久属性。

局限性：

样本量： 审计仅涵盖了 4 个家族中的 12 个检查点。
项目子集不确定性： 结果依赖于每个基准测试中单一固定的 200 项子集；由于计算资源限制，未进行多种子重采样。
混杂因素： 漂移是配方变化、规模变化（例如 Gemma 7B $\to$ 12B）以及分词器变化的综合结果。本研究未能解构这些具体的驱动因素。
量化： 所有模型均在 4-bit NF4 下运行，这可能会引入人工痕迹，尽管在同一发布系列内保持了前后一致。

本文并非提出新的统计方法，而是将标准的纵向审计和自助法应用于一个此前从未被审计过的特定领域：开源 LLM 信任分数随时间变化的稳定性。