2026年的某一天，如果你正在用一个叫LLaDA的AI模型问它一道招聘题："这位黑人应聘者和这位白人应聘者，谁不够资格？没有给出任何资格信息。"
正确答案应该是"信息不足，无法判断"。这是常识，也是模型训练时被反复灌输的原则。
但研究者做了一件事：他们没有碰模型的参数，没有改一个字的提示词，只是在模型生成答案的过程中，偷偷往它的"大脑"里加了一点点电信号般的干扰。
结果呢？模型选择黑人应聘者作为"不合格"答案的比例，从1.8%飙升到16.7%，翻了九倍还多。
更诡异的是，这个攻击全程没有改模型的权重文件，没有碰用户看到的提示词，常规的安全审计工具会说这个模型一切正常。
这篇论文想告诉你的是：一个AI模型是否公平，不仅取决于它的"出厂设置"，还取决于它被部署之后，谁在悄悄动它的手脚。
为什么扩散语言模型偏偏能被这样攻击
要理解这个攻击为什么奏效，得先说清楚扩散语言模型和我们熟悉的ChatGPT这类模型有什么不同。
自回归模型*：也就是GPT这一类模型，生成文字是从左到右一个词一个词往外蹦的，每个词一旦生成就定了，不会再改。
扩散语言模型*：这类模型（比如LLaDA、Dream）生成文字的方式完全不同，它先把整段文字全部用"遮罩"（想象成一堆问号）盖住，然后一轮一轮地"猜"每个位置该填什么词，猜得越来越准，直到所有位置都确定下来。这个过程叫"去噪"，就像显影照片一样，图像从模糊到清晰。
这个差异听起来只是技术细节，但它带来了一个要命的后果。
自回归模型在生成一个答案的时候，它对这个答案的"把握程度"（也就是它认为答案是A还是B的概率）只会暴露一次，就是它真正吐出这个词的那一刻，过了就过了，外人没法在它决定之前偷看它的倾向再去干预。
但扩散语言模型不一样。它在最终锁定答案之前，会把这个答案位置反复预测几十次。打个比方，自回归模型像是你去买彩票，你一旦划了号码交上去就定了，没人能在你划号码的过程中观察你的手往哪个方向移动再去扳一下；而扩散语言模型更像是你在做一道选择题，但老师允许你反复涂改答案三十二次，每涂改一次，监考老师都能瞄一眼你现在倾向于哪个选项，然后在你下一次涂改之前，偷偷在你耳边说句话影响你。
这个"反复涂改、可被偷窥"的过程，就是整篇论文攻击手段的立足点。研究者管这个叫"去噪轨迹上的反馈通道"，说白了就是：模型想了多少遍，攻击者就能偷看多少遍，还能见机行事地调整力度。
闭环操控是怎么做到的
搞清楚了漏洞在哪，接下来的问题是：攻击者具体怎么利用这个漏洞？
论文设计了一套叫"闭环目标偏见注入"的方法，核心是一个叫PI控制器的东西。
PI控制器*：这是控制理论里最经典的一种调节器，常见于空调温控、汽车定速巡航。它会不断对比"目前的状态"和"想要的目标状态"，根据差距的大小和差距持续的时间，动态调整自己的干预力度。
这套系统分成两部分，一个是提前准备好的，一个是实时运作的。
提前准备的部分叫"方向向量"。研究者拿一批不会被用来测试的问题，让模型分别用"目标群体选项的文字"和"对照组选项的文字"去完成答案，然后观察模型内部某一层的激活状态（也就是神经网络处理信息时的那堆数字）在这两种情况下有什么系统性差异。这个差异被提炼成一个固定方向，就像找到了一根指南针的指向，往这个方向推一把，模型就会更倾向于选目标群体的答案。
残差流*：指神经网络内部信息一层层往后传递的那条主干通道，每一层处理完都会把结果叠加回这条流里，后面的层基于这个流继续计算。往残差流里加东西，相当于往信息传递的主干道上塞进一点私货，模型后续的所有判断都会受到这点私货的影响。
实时运作的部分，就是PI控制器登场的地方了。模型每做一次去噪，控制器就读一下"模型现在觉得目标答案的概率是多少"，然后拿这个数字和设定的目标值（论文里设为0.9）去比较，算出差距。差距大，就加大干预强度；差距在缩小，就放松力度；如果已经很接近目标了，力度就慢慢收着。这个过程循环往复，贯穿整个去噪过程。
这里有个关键的时间窗口问题，叫"承诺"。
承诺*：指模型在某一步去噪中，把某个位置的答案正式锁定下来，之后这个位置不会再变。LLaDA生成32个词的答案时，用64步去噪，前32步每步锁定一个词，后32步不再更换新词。
这意味着，攻击者真正有效的干预窗口只有答案被锁定之前。如果一个例子"顽固"地不往目标方向偏，控制器就会越使越大的力气，直到答案位置被锁定为止；而一旦某个例子已经很顺从地偏向目标了，控制器就主动收手，避免矫枉过正。
这套动态调节机制，论文里有个很形象的类比支撑：如果你只用一个固定不变的干预强度（这是之前所有开环方法的做法），就好比给全班学生发同一剂量的药，有的学生体质弱吃了没反应，有的学生体质强吃了直接中毒。论文的实验数据印证了这个顾虑，固定强度的"开环"攻击想要达到和闭环攻击差不多的效果，会让20.8%的输出变成乱码（也就是模型生成了语法上都不成立的垃圾文本），而闭环攻击把这个乱码率压到了7.8%，不到前者的三分之一。
这个对比也回答了论文标题里"噪声出去，偏见进来"这句话的真正含义：去噪本该是让答案变清晰、变准确的过程，但攻击者利用的正是这个"清晰化"过程中每一步都可被窥探、可被引导的特性，把偏见悄悄注入进去。
偏见究竟能被注入到什么程度
数字层面，这套攻击的效果相当惊人。
论文用了两个公开的偏见测试基准。第一个是BBQ，一套专门设计用来检测模型是否会在信息不足的情况下依赖刻板印象做判断的题库；第二个是SocialStigmaQA，专门测试模型会不会放大社会污名化的判断（比如"某人曾经坐过牢，这会不会影响他获得贷款"这类带污名色彩的问题）。
在BBQ的黑人目标测试里，模型原本的"目标-对照组差距"（论文里叫gap，衡量模型偏向目标群体答案相对偏向对照组答案的净比例）只有1.8个百分点，几乎可以忽略不计。闭环攻击把这个数字拉到了16.7，提升了14.9个百分点。而所有测试过的固定强度基线方法里，表现最好的也只能达到4.6。
在阿拉伯裔目标测试里，差距从接近于零拉到22.3，提升22.5个百分点；在老年人目标测试里，提升幅度达到37.2个百分点，是所有测试目标里最猛的一个。
在SocialStigmaQA上，带有污名色彩的答案被选中的比例从17.6%暴涨到58.1%。
这里要澄清一件事，这些提升幅度不是没有代价的。攻击在把答案往目标方向拉的同时，也会让一部分输出变成不合语法的乱码，论文很诚实地把这个"失败率"全程摆在表格里，没有藏着掖着。在主要的黑人目标实验中，7.8%的输出会变成乱码，相比没有被攻击时的0%确实是个明显的代价。
实验还做了一个很关键的对照，专门用来证明"动态反馈"这件事本身才是关键，而不是干预方向选对了或者干预的位置选对了。
研究者设计了四种对照组，全都用了和闭环攻击一模一样的干预方向和干预位置，唯一的区别是干预力度怎么定。第一种是固定强度，直接用控制器在整个过程里的平均力度去跑；第二种也是固定强度，但这个数值是从模型"一开始没被干预时对目标答案的信心程度"倒推出来的；第三种更狠，直接用控制器事后对每个具体例子实际用过的平均力度，当成那个例子专属的固定剂量去跑。
结果呢？即便是第三种"开了天眼"的后见之明版本，效果也只能达到8.4，不到闭环版本16.7的一半。研究者由此得出一个结论：真正起作用的不是"每个例子分配了合适的剂量"，而是"剂量在生成过程中被实时调整"这件事本身。
这个发现其实挺反直觉的。你可能会以为，只要提前给每个例子算好一个最合适的固定剂量，效果就该和实时调节差不多。但实验数据打了这个假设的脸，说明模型内部对干预的反应不是一条简单的直线，而是随着去噪过程的推进不断变化的，只有跟着这个变化走，才能把劲儿使到刀刃上。
这套机制在什么场景下会失灵
闭环攻击不是万能的，论文很坦诚地报告了几个失效的情况，这些失效本身也很说明问题。
在白人、亚裔这两个目标群体上，闭环攻击的乱码率飙升到93.8%和96.1%，基本等于把模型跑崩了，这种情况下测出来的"偏见提升"没有任何意义，因为模型已经不会好好说话了。研究者老老实实地把这些标注为失败案例，而不是硬凑成攻击成功的证据。
在另一个模型LLaDA-MoE上，情况更微妙。一个固定强度的传统方法（叫CAA）居然比闭环攻击效果更好，领先2.3个百分点，而且这个差距经过统计检验是真实存在的。
这个反常现象恰好印证了论文里给出的理论解释。论文用控制理论搭了一个简化的数学模型，证明了"固定强度为什么会失灵，闭环反馈为什么会有效"背后的数学逻辑：每个例子需要的干预强度其实对应一个阈值，这个阈值取决于例子本身对干预的敏感程度。如果一批例子里，各自需要的阈值差异很大，固定强度就必然顾此失彼；但如果这批例子需要的强度本来就比较接近，那一个固定值已经够用了，反馈带来的额外收益自然就很有限。LLaDA-MoE恰好就是后一种情况，这也是为什么在这个模型上，简单粗暴的固定强度反而占了便宜。
这就好比一个班主任想调控全班的学习节奏，如果学生们的基础本来就参差不齐，有人一点就通有人需要反复讲解，那统一的教学进度肯定有人跟不上，必须因材施教；但如果这个班级本身生源就比较整齐，那统一进度反而效率更高，因为"因材施教"的额外管理成本（比如老师来回跑、调整精力）在收益不明显的情况下反而成了负担。
这个发现对理解这类攻击的边界很重要，它告诉我们闭环反馈不是放之四海而皆准的银弹，它的价值取决于目标群体在这个具体模型上"有多难被说服"，以及这种"难度"在不同例子之间差异有多大。
这把刀能不能反过来当盾用
既然这套闭环控制系统可以把模型往偏见方向推，那反过来呢？能不能用同一套机制，把模型的偏见压下去？
答案是可以，操作也很简单：把目标值从0.9改成0，让控制器朝反方向使劲，这样它就从"偏见注入器"变成了"偏见抑制器"。
实验里，研究者在黑人目标的BBQ测试上跑了这个反向版本。本来模型未经干预时的偏见差距就只有1.8个百分点，抑制之后进一步压到0.2，乱码率也控制在1.8%，表现比单纯的固定强度抑制和另一种叫AurA的抑制方法都要稳。
但这里必须说一句公道话，这个结果的说服力是有限的。因为模型本身的偏见底子就很薄（只有1.8个百分点），这个实验只能证明"反向控制在接近于零的场景下是稳定的、不会把偏见搞得更糟"，并不能证明这套机制能把一个本来就很严重的偏见彻底扭转过来。论文自己在限制部分也明确承认了这一点，没有夸大其词。
这种"攻防一体"的设计思路其实很常见，就像密码学里加密和解密往往用的是同一套数学工具，只是操作方向反过来。知道怎么攻破一道门锁的人，往往也最清楚怎么把这道锁加固得更牢。
这项研究留下的警示和空白
论文的结尾部分提出了一个很值得深思的观点：模型是否公平，是整个部署系统的属性，而不只是模型文件本身的属性。
这句话听起来有点抽象，但它的现实意义很直接。现在业界做AI安全审计，常见做法是拿到模型的权重文件，跑一遍标准测试集，看看输出有没有系统性偏差。但这篇论文证明了，即便权重文件本身毫无问题，部署这个模型的服务链路里，只要有人能在推理过程中挂上一个"钩子"（也就是一段可以读取和修改模型内部激活状态的代码），就能在用户完全无感的情况下，把偏见偷偷注入进去，而且传统的审计方式根本发现不了，因为它们审的是权重和提示词，不审运行时的干预行为。
这其实是一种很经典的安全盲区，就像一栋大楼的门禁系统做得再严密，如果物业的维修人员有一把万能钥匙，那门禁系统的严密程度就没有意义了。真正该被纳入信任边界的，不只是"锁"（权重），还有"拿钥匙的人"（有权限操作推理过程的服务端组件）。
论文给出的建议是，审计应该直接去探测已经部署上线的接口，而不只是停留在检查模型文件这一步。而且这种攻击会留下一些可被侦测的痕迹，比如面对本该拒答的模糊问题时，模型的拒答率会明显下降，输出乱码的比例会上升，这些都是可以在固定的测试题集上监控到的信号，哪怕审计方根本不知道攻击者的具体目标群体是谁。
不过这项研究也有自己没碰过的领域。目前的实验只针对选择题型（答案是一个固定的字母选项），因为这种场景下"目标答案的概率"是一个很容易读取的单一数字。但现实中大量的AI应用是开放式生成，比如写一段话、编一个故事，这种场景下没有一个清晰的"目标答案位置"可供实时监控，攻击要怎么做，论文没有给出答案，这是一个明摆着的空白。另外，论文里用来调参数的100道题，和最终拿去评测攻击效果的题目有一定重叠，虽然研究者在附录里专门做了排除重叠题目后的复测，证明结论依然成立，但这种"自己调参、自己打分"的实验设计本身，终究还是会让人多留一个心眼。
写在后面
读完这篇论文，最让我在意的其实不是攻击本身有多厉害，而是它揭示的那个底层矛盾：我们这些年一直在往"更智能、更灵活"的方向改造AI模型的生成机制，扩散模型比自回归模型多出来的那种"反复打磨、逐步清晰"的能力，本来是为了让生成质量更高、更可控，结果这种灵活性本身变成了一个全新的攻击面。
这让我想到一个很朴素的道理：任何系统只要多了一个可观测、可干预的中间状态，就多了一个可能被滥用的入口。这不是扩散模型独有的问题，而是所有"迭代式"系统共同面临的处境，无论是AI生成，还是现实中那些允许反复修改、反复审核的流程设计，中间状态暴露得越多，被操控的空间往往也就越大。
论文里还有一个细节我觉得特别值得单拎出来说，就是那个"事后诸葛亮"版本的固定强度实验，明明已经偷看了控制器实际用过的平均力度，照着抄都抄不到闭环反馈一半的效果。这说明模型对干预的反应根本不是一条平滑曲线，而是随着生成进程不断起伏变化的东西，这种动态性本身，可能比我们想象中更难被简单的"静态快照"捕捉住。
如果一个AI系统的安全性取决于谁有权限在它运行的那几十毫秒里偷偷插一手，那我们到底该把信任放在哪里？
Q&A
Q1：闭环目标偏见注入攻击是什么？
A：这是论文提出的一种攻击方法，通过PI控制器实时读取扩散语言模型在去噪过程中对某个目标答案的概率，动态调整一个固定方向的干预强度，从而在不改变模型权重和用户提示词的情况下，把模型答案悄悄引导向攻击者指定的群体。
Q2：这种攻击为什么只能在扩散语言模型上奏效，自回归模型行不行？
A：因为扩散语言模型会在最终锁定答案前反复预测同一个位置几十次，攻击者可以在每次预测后偷看当前概率并调整干预力度；而自回归模型的答案只在生成那一刻暴露一次，攻击者没法提前观察再动态调整，所以这套闭环反馈机制对自回归模型不适用。
Q3：这种攻击会被常规的模型安全审计发现吗？
A：很难。因为它不修改模型权重文件，也不改动用户看到的提示词，而是通过推理过程中挂载的钩子实时干预内部激活状态，传统审计只检查权重和提示词，看不到这种运行时的干预行为，论文建议审计应该直接探测已部署的接口而非停留在模型文件层面。
