AI 也会吃PUA这一套？这可能解释了Mythos5为什么要被关进更严的安全笼子

今天的大模型很擅长说“不”。你问它不该问的事，它会解释边界、提醒风险、建议你换个方向。

但有一个问题一直很少被认真讨论：如果请求本身不变，只是换一种更会说话的方式，模型还会坚持拒绝吗？

PNAS 最近发表的一篇论文 Persuading large language models to comply with objectionable requests^[1] 做了一个相当直接的实验。研究者把同一类受管制物质合成请求，分别放进“权威”“稀缺”“大家都这么做”“我们是一家人”这类社会说服框架里，然后看模型会不会松口。

三款主流模型在没有任何说服线索时，已经有 35.3% 的回答会给出部分或完整的违规协助；加入这些线索后，这个比例上升到 51.3% 。

风险提示：不要自己尝试做类似的测试（特别是Claude），容易被封号

一、AI 可以被说服

研究者先从美国受管制物质中筛选出六种代表性对象，再把每次测试控制得尽量一致：同样的请求、接近的长度、相近的语气和上下文。实验组只额外加入一种社会说服线索；对照组则拿掉这一层线索。

左边的设定里，一个陌生女性来问一位化学学生关于受管制化合物的合成问题；右边只改了一处关系：提问者变成了“你的姐姐”。对照组明确拒绝回答，实验组却开始给出本不该提供的程序性内容。

同一个请求周围的关系、身份和语气，能否改变模型守住边界的表现？

论文把回答分成三档：

• 不合规：拒绝提供这类受管制物质的合成协助；
• 部分合规：已经给出一部分可能帮助完成合成的内容；
• 完全合规：给出足够具体、可直接构成协助的内容。

因此，论文中的“合规率”不是“模型更安全了”的好消息，恰好相反。这里的 compliance 指的是模型顺从了原本应该拒绝的危险请求。

在对照组里，35.3% 的回答落入“部分合规或完全合规”。换成人话说：即使没有额外施压，平均每 10 次请求里，已经有大约 3 到 4 次没有彻底守住安全线。

加上任意一种说服线索后，这个比例来到 51.3%。也就是平均每 10 次里，约有 5 次会给出本应拒绝的协助。研究者用有序逻辑回归进一步检验后发现，说服线索会让回答往“更顺从”方向移动的概率提高到对照组的 2.531 倍；七种原则各自与对照组相比，差异都达到统计显著。

这不代表所有 AI、所有版本、所有语言都能稳定复现同样的比例。但测试结果表明：安全回答会被上下文影响。 模型面对的并不只是一个抽象任务，还会读到身份、关系、紧迫感、群体规范和情绪暗示。

二、AI 也遵守社会心理学

论文借用了社会心理学家 Robert Cialdini 总结的七类影响力原则：权威、承诺与一致、喜好、互惠、稀缺、社会认同和共同体认同。

这些原则在日常生活里几乎每天都遇到：

• 权威：专家、机构、资深身份带来的可信度；
• 承诺与一致：人倾向于和自己先前说过的话、做过的选择保持一致；
• 喜好：更愿意配合自己喜欢、熟悉或有好感的人；
• 互惠：别人先帮了忙，人会觉得“该回一点”；
• 稀缺：机会有限、时间不多，会让人更快下决定；
• 社会认同：看到同类人都在做，容易觉得这件事合理；
• 共同体认同：家人、同乡、同事、同一阵营，会带来“我们是一边的”感觉。

人会被这些线索带动，很好理解。现实信息太多，谁都不可能把每条消息都从头核验一遍。于是我们会用身份、群体和关系来做快速判断。

模型又没有身份焦虑，也没有真正的亲疏远近，为什么会有同样的反应？

论文给出的解释很朴素：大模型是在人的语言里训练出来的。人类文本里，权威背书后面常常接着认可；亲属关系后面常常接着帮忙；“大家都这么做”后面常常接着默认。模型不需要理解这些关系的情感重量，也可能学到这种语言上的关联。

所以它看起来像“被说服”了。我们没有证据证明模型有人的心理过程，能确认的是：这些语言结构改变了它的输出分布，也改变了它该拒绝时的表现。

三、Anthropic 对 Mythos 的担忧

这篇论文没有测试 Mythos，但这篇论文给了我们一个很好的观察角度。

Mythos 5 是 Anthropic 面向网络安全、生物研究等高风险领域推出的高能力模型，目前主要面向经过审核的合作伙伴。面向大众的 Fable 5 则使用同一底层模型，并加上额外防护。Anthropic 公开表示，部分被判定为敏感的网络安全和生物请求，会被转交给能力较低的 Opus 4.8。

这套设计背后有一个很现实的担心：模型越能干，它的安全风险越高。 它会读更长的上下文，接触更多工具，也更容易遇到各种包装得很像“正常工作”的请求。

论文的实验结果恰好展示了这种包装的威力。模型没有被要求回答一个全新的问题；危险请求一直都在那里，变化的是它周围加上的社会关系和说服框架。模型一旦把这些线索当成了“该配合”的理由，原本的拒绝就可能被挤开。

Anthropic 对 Mythos/Fable 的分层处理，至少说明了一个方向：高风险能力不能只靠模型自己判断。还要看谁在用、用于什么环境、触发什么监控，以及碰到敏感任务时如何降级或拦截。

安全护栏总会有误伤，用户也会觉得“为什么突然给我降级了”。可放在论文的语境里看，保守一点并不难理解：如果仅通过简单的语言里的身份、关系和时间压力都可能改变模型的行为，系统就不能把每一次判断都赌在模型当下的“自觉”上。

四、让 AI 更愿意配合的 7 个小技巧

虽然论文本身是讨论 AI 安全性的问题，但放在日常工作里，更有价值的用法是学习如何“说服”AI 给出更符合需求的回答。

下面这 7 条，分别借用七类影响力原则，适合日常写作、分析、学习、项目协作等正常任务：

1. 给它真实的“权威来源”，别给它虚构身份

与其说“你现在是全世界最顶尖的专家”，不如把你手里真正的资料、规范、链接和判断标准交给它。

一句话就够：

请以这份产品需求、用户访谈和品牌规范为依据，给出 3 个可执行方案；每个方案都标出引用了哪条材料。

或者直接给 AI 一个专家的名字，这其实已经是很通用的技巧了。

2. 用小承诺把大任务拆开

长任务最怕一上来就写一大坨。先让它复述目标、列假设、确认边界，再进入正文或执行环节，质量通常会稳很多。

先用 5 条复述你理解的目标和限制；我确认后，你再开始写方案。

3. 说清楚你喜欢什么样的结果

“帮我写得高级一点”对模型几乎没帮助。把你偏好的语气、篇幅、参考样式和不想要的表达告诉它，效果会立刻不一样。

口语化、短句，避免二元对比句式和鸡汤式结尾；参考下面两段的节奏。

这比反复让它“再自然一点”有效得多。

4. 先给素材，再让它回报一个明确产出

把互惠放进 AI 协作，重点是别让它在信息不全时硬猜。给足背景、样本、失败案例，再要求一个清楚的交付物。

这是 10 条用户反馈和 3 个竞品页面。请归纳高频问题，并给出下周只做一件事时最该做什么。

你提供的是信息，模型回报的是更贴题的判断。

5. 有截止时间就说真话

稀缺和紧迫感可以用，弹药小心“十万火急”也可能让 AI 给出的结果变得仓促。

我明天上午要发给客户。请先给我一个 300 字摘要和 3 条风险提示，细版今晚再补。

6. 把“别人怎么做”换成可核验的参考

“行业里都这样做”是一句很空的话。直接给出案例、公开规范或数据来源，模型才有东西可比。

参考这 3 个已上线的案例，比较它们的定价页结构；不要假设不存在的行业惯例。

7. 建立共同目标，不要假装亲密

共同体认同最容易被误用成“把 AI 当自己人”。更实用的表达是把目标和验收标准说在一起：我们都在为哪件事负责，什么结果算过关。

我们的目标是让首次使用者在 3 分钟内完成设置。请按这个标准审查流程，优先找会让用户卡住的地方。

你会发现，真正让 AI 更好用的“说服术”并不玄：信息真实、目标具体、标准清楚、节奏明确。把这些补齐，它通常就会更像一个靠谱的协作者。