论文研究 LLM 数字孪生参与增强民主时的提示注入脆弱性

核心问题是：LLM数字孪生能否作为增强民主的中介，表示个体与集体偏好，并在用户级文本攻击下保持稳健。

• 场景：作者称民主依赖代表和政党等中介；LLM可做成个性化数字孪生（digital twin），在代表制与直接民主之间做更细粒度参与，即Hidalgo（2018）的augmented democracy。
• 现有不足：作者称个人投票只间接反映单项政策偏好，政党对外立场会压缩内部异见；一旦表示进入审议，战略文本可改变智能体行为和集体输出。用户级攻击不能靠限制访问消除，因为系统必须接收公民文本。
• 拆分：作者把问题分成三步：预测公民未评过的政策；把分散立法记录收成政党表示；看自然语言交互能否被用来放大观点、压制意见或转移共识。
• 提出：第1章在巴西政策偏好上做微调预测和抽样增强；第2章用瑞士议会知识图谱做政党级数字孪生和智能体审议；第3章在英国审议数据上评测提示注入，并研究检测、结构化意见表示与强化学习组成的流程。
• 威胁模型（第3章）：
  • 目标：参与者用策略文本放大特定观点、抹掉某些意见，或把共识引向无关话题。
  • 知识：用户级访问，利用自然语言指令，不改代码或预训练数据。更高权限的数据投毒和参数攻击不在本章实验内。
  • 能力：审议要求公民提交文本。实验在每条提示中把一条意见改写成一条人类可读注入。
  • 受害系统与判定：受害的是根据多人意见生成共识陈述的LLM。成功用Misalignment Rate：注入后效价偏离无攻击时的效价；计入分析的样本限于无攻击输出与majority-with-abstentions规则一致。

引言和第2、3章的Related Work把文献分成表示、聚合与攻击三条线。作者只在点名对比时写区别。

• 增强民主与偏好模拟

  • Hidalgo（2018）及后续工作——用计算智能体在代表制与直接民主之间扩展参与频率和粒度。
  • Argyle等及一系列调查模拟——用LLM配合人物背景模拟问卷、道德判断或二元选举投票。作者在第1章讨论里把性别准确率差异与Argyle等、Santurkar等的约1个百分点差距并提。
  • 技术线还包括隐私密码学、矩阵补全、参与式预算和瑞士直接民主中的数据增强，以及让LLM互相对话的审议模拟。作者称这些工作多在聚合或模拟，第1章则同时给个体与总体基准。

• 政治数字孪生、知识图谱与审议

  • 大规模人格智能体和社会空间环境，以及用官员长期通讯做的数字孪生。作者同时列出替代公民判断、预训练敏感、对抗操纵和监视等担忧。
  • 议会知识图谱和用图谱预测瑞士议员意识形态的LLM-KG系统。作者称自己把KG当作共享政治记忆，而不是主要为检索或预测服务。
  • AI调解生成共同立场的系统，包括代表参与者审议的平台，以及预先指定立场的合成智能体。作者称这些系统通常直接向参与者征集偏好；自己从议员公开记录重建观点，不向公民采集数据。

• 提示注入与LLM审议应用

  • 论文评审和RAG检索中的提示注入。作者称语言灵活，难以枚举全部注入形式。
  • 以色列—巴勒斯坦对话、英国审议、加州BallotBot、投票建议聊天机器人和多语Pol.is。作者报告这些工作里的84–96%同意、56%偏好AI陈述、复杂题正确率提高18%、作答时间减少10%等结果，并把公民自然语言输入看成攻击面，而不是只当成调解或问答界面。

• 基线与数据：第1章对照bundle rule、未增强随机样本、RAG和BERT SQuAD，数据为Brazucracia。第2章对照政党官方新闻稿、演讲评分，以及hierarchical、peer-to-peer审议，数据为瑞士议会记录。第3章对照无防御、DPO加Defensive Tokens、SecAlign++、带计算器的智能体，以及Stream Qwen3 Guard和不用LLM的句法检测，数据为2023年英国审议实验。

作者把三章放在个体表示、表示之间的交互，以及分布式偏好聚合与战略交互稳健性上，并称这不是一套完整的增强民主架构。

整体是三条衔接的构建：个体偏好的微调数字孪生，政党的图谱增强数字孪生，以及共识生成上的检测—结构化—GSPO流程。成功判定都在第4问，这里只写机制。

个体表示与数据增强

• 数据：Brazucracia在2022年巴西大选中收集成对政策选择。67项提案来自Lula与Bolsonaro的政府纲领（策展也涉及Ciro Gomes）。参与者另报性别、政治取向、地点、年龄、教育等。
• 模型：对LLaMA-2 7B、LLaMA-3 8B、GPT 3.5 Turbo、Mistral 7B、Falcon 7B、Gemma 7B做LoRA，约重算12%参数；温度0以保证复现。BERT SQuAD作更小模型对照。GPT-4与Claude 3当时不能公开微调，未纳入。
• 提示：填空式提示放入人口学特征和一对提案；同一对再反序一次，以抵消顺序偏差。附录A.4给出葡语版。预测为A、B，或随顺序改变的不一致回答。
• 增强类型：Type I预测新参与者在原方案上的偏好；Type II为已有参与者补未采集偏好或新方案；Type III两者都做。总体比较用提案胜率，即该提案在成对比较中被选中的比例，再与全样本胜率做Pearson相关的R²。

政党知识图谱与审议

• DPVA图：每个政策主题、每位议员一张图，节点为文件、政策、Yes/No/Abstain投票和政策所及行动者。gpt-4o-mini按文件抽取冲突轴和行动者，再生成政策节点；边类型写在提示里。政策节点仅在立场和行动者集合相同、且text-embedding-3-large余弦相似度超过α=0.4时合并。
• 接入：议员智能体经MCP查询主题子图。同党智能体经A2A接到政党数字孪生。作者聚焦其审议功能，而不是对话或审计界面。
• 审议：立场陈述锚定议员记录投票，智能体不自主投票，且在各轮保持固定。中介没有独立政治立场。每轮从同一历史采样m=4条候选，每条至多200 token，T=5轮。全体议员智能体给每条候选打分，采用平均分最高者，并用反馈更新历史。智能体不直接看见彼此。
• 评分与覆盖：反馈分aligned、missing、distorted、verdict；只有verdict句进入Semantic-Similarity Rating，得到r∈[1,5]。派系由会前点名投票聚类，数目由Silhouette score决定。一派被覆盖，是指其对陈述的平均表示评分达到τ=3.75。覆盖对每派等权。覆盖差是该轮候选平均覆盖减去同一项目官方新闻稿的覆盖。

提示注入评测与稳健流程

• 分类：本章只做人类可读注入，并按ignore/completion、support/criticism和五种修辞策略变化。每种修辞有八个变体，实验抽四个，共80种替代。附录C.1列出文本，这里不复述。
• 效价：意见和共识都分成Agree、Disagree、Ambiguous。分类器是在GPT4o标签上微调的BERT，F1=0.98。作者称直接用GPT4o是出于成本。
• 防御：GPT-OSS-SafeGuard标出注入后，阳性位置换成Opinion Deleted。每条意见再变成BERT效价加要点式理由；实验里用GPT-4.1 Nano代理独立的非公开模型。随后用GSPO微调LLaMA 3.1 8B Instruct，使其先列出各方效价并计算预先指定的多数规则，再写共识。附录C.7给出优化细节。因为每条提示恰有一条注入，评测时多数按N−1人重算。
• 对照防御：DPO配合Defensive Tokens或SecAlign++；也可用冻结LLM加计算器，或两个智能体先后计票和写共识。作者称这些是非推理对照。

实验设置

• 第1章模型：LLaMA-2 7B、LLaMA-3 8B、GPT 3.5 Turbo、Mistral 7B、Falcon 7B、Gemma 7B，另加BERT SQuAD。数据为267名参与者、8719条成对偏好、67项提案。主比较是参与者50%训练、50%测试；附录另有5%、25%等抽样。个体准确率的区间：正文写95%、Figure 1.1图注写99%，均为bootstrap 100次。
• 第1章指标：成对选择准确率；Kendall tau见附录A.6。作者称数据结构使F1等于准确率，故不单报F1。总体指标是胜率相关的R²。bundle rule假定自报左/右的人总选对应候选人纲领中的提案。
• 第2章：2003–2023年记录建图，测试2024–2026年12项公投项目。138名议员、6党。建图、取证和verdict用知识截止2023年10月1日的gpt-4o-mini；bridging由gpt-5.6-luna生成。覆盖差的95%区间来自候选板5次重复、新闻稿评价20次，bootstrap 5000次。
• 第3章模型：脆弱性测试LLaMA 3.1 8B Instruct、Apertus 8B Instruct、Qwen 3.5、Ministral 3 8B Instruct、Gemma E4B、GPT-OSS 20B、GPT-4.1 Nano。原数据462条提示，保留301个Should问句，随机重排后为6020个变体。测试集对应62个问题，训练用其余239个。
• 第3章样本：过滤后35521对共识，其中support 17403、criticism 18049、completion与ignore各17761。MR是3×3效价矩阵的非对角比例，95%区间为bootstrap 5000次。Figure 3.5写明面板a–f是LLaMA 3.1 8B Instruct。Figure 3.4的模型归属正文未写明。

主结果

下表只收正文写明点估计的格子。第1章50%测试集上，LLaMA-3 8B与Gemma 7B的点估计正文未给出。

条件	指标	数值
LLaMA-2 7B，50%测试集	成对准确率	76.68%
GPT 3.5 Turbo，同上	成对准确率	70.4%
Mistral 7B，同上	成对准确率	69.4%
Falcon 7B，同上	成对准确率	69.3%
BERT SQuAD，同上	成对准确率	50.83%
LLaMA 3.1 8B Instruct，无防御	MR	57.9%
同上，仅GPT-OSS-SafeGuard	MR	47.7%
同上，再加结构化表示与GSPO	MR	20.2%

据正文1.2.1与Figure 3.5d。中间层“检测加结构化表示、尚未GSPO”的MR为41.6%，未放入表内。

• 个体预测：作者称微调LLM高于bundle rule，21/24次（87.5%）。三个例外是Mistral、Falcon、Gemma在自由派选择Bolsonaro提案时。Lula提案被自报左翼选中时，各LLM至少80%，bundle rule为71%；LLaMA-2 7B比该规则高15个百分点。同一候选人内部的对子，LLM仍有65%–77%，而bundle rule无法预测。
• 注入防御：作者报告该流程在超过70%的情形中抵消攻击并纠正与多数规则的错位；原本ambiguous的共识在超过75%的情形中保持效价。仍有27%–29%的原本disagreement转为ambiguous；criticism下21.1%的原本ambiguous转为agreement。作者称无攻击过拒率约15%（Figure 3.5c）。作者称与无防御基线的比较已计入N与N−1的差别。
• 作者对防御来源的解读：作者称主要降幅来自GSPO把多数规则做成生成约束，而不是来自更复杂的智能体结构。

抽样增强与人口学差异

• 增强：Type I B在5%参与者样本上，作者称R²从约30%到约75%；25%样本提高约7–10个百分点（Figure 1.4a）。额外预测其余人群中的20%。多模型多数投票并不优于单个LLM。温度0下，未微调模型总选第一项A。作者称LoRA复现全样本偏好好于RAG，尤其在25%和50%样本；人口学字段和英/葡提示对增强样本准确率影响不强。
• 偏差：自由派准确率高于保守派和中间派，教育上大学学历更高，附录A.9的t检验p<0.01。年龄上，作者称Mistral 7B、Falcon 7B、Gemma 7B对较年轻者略高；GPT 3.5 Turbo、LLaMA-2 7B、LLaMA-3 8B的年龄比较p为0.5616、0.1842、0.221。性别方向混合：LLaMA-2、Mistral、Falcon对女性更高，LLaMA-3与Gemma对男性更高。
• Type II：作者称Type II A/B的增强强于Type I B，并猜想原因是用到了该参与者自己的偏好，而不只是人口学特征。

政党覆盖差

• 主计数：改善只在Δ5的95%置信区间下界高于持平时计入。Figure 2.4为Die Mitte 9/10、FDP 9/10、SP 10/12、Grüne 9/12、SVP 7/11、EVP 3/7。分母不同是因为部分党—项目没有检索到新闻稿。陈述上限200 token，新闻稿全文评价。作者称优势更常出现在光谱的中间和左侧，在其称为社会保守的SVP、EVP上较少。
• 与演讲评分的相关：Figure 2.6的Pearson r为SP 0.68（n=53）、Grüne 0.54（n=50）、FDP 0.43（n=29）、Die Mitte 0.25（n=32）、SVP 0.22（n=60）。作者提出两种不互相排斥的解释：保守态度更分散，或右翼话语更多描述现状、左翼话语更多明示行动；并称不能排除预训练数据中的政治代表性差异。
• 另一种基准：用演讲而非图谱评分时，附录B.3的五轮改善计数为Die Mitte 6/7、SP 7/9、Grüne 7/8、FDP 3/7、SVP 5/8、EVP 1/3。作者称总体模式仍相似。此处FDP为3/7，低于图谱基准下的9/10。

注入何时更容易改变共识

• 分布：Figure 3.4a中，support攻击下79.2%的原本ambiguous案例转向agreement，disagreement案例为58%。criticism下，49.2%的ambiguous案例与35.3%的agreement案例转向disagreement。正文未写明这些格子对应哪一个LLM。作者称意见接近平衡时，多数信号更弱。
• 修辞与模型：作者称Imperative Order和Impossibility of Agreement的MR高于Emotional Appeals、False Authority和Misleading Statistics，但正文未给各策略的MR。作者称每个被测LLM上，原本ambiguous的MR都更高，且几乎所有模型上与右翼unionist纲领对齐的攻击MR高于与左翼independentist纲领对齐的攻击；正文未给分模型或分党数值。
• 检测：方法节称99.31%的注入文本和0%的意见文本被GPT-OSS-SafeGuard标出；Figure 3.5d写替换比例为99.3%。Figure 3.5e称其在各修辞策略上超过99%，意见文本上零误报，高于Stream Qwen3 Guard和不使用LLM的句法检测。

其他消融与分析

• 全样本胜率的重测一致性为95.38%（附录A.2）。
• 附录A.7：GPT 3.5 Turbo与Falcon 7B的顺序一致率>70%，其余模型并非如此；讨论称有些情况可低于70%。
• 附录A.8：作者称改变推理温度不影响增强结果，正文未给各温度的R²差。
• DPO加Defensive Tokens或SecAlign++把MR降到46%–47%；冻结LLM加计算器降到29.6%（Figure 3.5f）。作者称更复杂的智能体配置没有进一步收益。
• Figure 2.7：hierarchical在Grüne和Die Mitte上覆盖差高于centralized，其余被评政党相反。peer-to-peer在所评的三个党上都低于centralized；SP与SVP未跑，作者写明原因是m=n会提高API成本。
• 附录B.4、B.5：作者称覆盖差对议员人数和派系数稳定，并称立法主题和政党是更重要的因素；正文未给这些附录的数值。

作者指出的局限与后续方向

• 第1章讨论：只做了偏好聚合，没有研究增强民主下传统多智能体共识会如何改变；结果是否依赖Brazucracia、而非Wahl-O-Mat或Elyze这类投票建议应用，尚未考察。也未用多智能体系统，未纳入当时不能公开微调的GPT-4和Claude 3，也未做多种提示变体。
• 表示很短：第1章讨论写明数字孪生只用较短的人口学向量和成对偏好，与更长材料训练的孪生不同；产生文本、视频等训练数据的能力在人群中并不均匀。
• 数据与解释：第1章讨论写明GPT 3.5 Turbo、Mistral 7B等预训练数据是专有的，存在被操纵的空间；预测会随选项顺序变化，有些一致率可低于70%；缺少解释LLM为何选某一提案的框架。后续包括其他采集方式、把LLM对齐到不同政治观点再摘要，以及RAFT。
• 新闻稿与覆盖：第2.6节写明，覆盖差更高只表示比政党公开通讯纳入了更多从立法记录推断的内部多样性，不是更真实或客观上更正确的党派立场。覆盖衡量的是各派是否认出自己的观点，不是分歧是否对公民可见。作者提出后续应让政党孪生写明建议，并报告代表们不同意的点。
• 记录范围与新情况：第2.6节写明议员观点不等于全体党员偏好；州级公开信息和更大规模审议留作后续。作者还称LLM难以产生全新知识，且历史记录对2008年危机、新冠或2023年瑞信危机这类黑天鹅、灰天鹅可能不是可靠向导。第2.7节提出把表示扩到议会记录之外，并跨政治体系评估。
• 攻击与检测：第3.6节写明实验样本缩小，攻击分类只覆盖一小类人类可读注入；更复杂的对手可能绕过检测、利用结构化表示，或针对这里的ambiguous失败模式。作者称任何公开检测器都会成为逆向目标，当前基准上的稳健性不能保证挡住未来自适应攻击。后续包括其他效价分类器、超级多数或加权投票，以及检查GSPO模型是否只在表面上逼近多数规则。

实验覆盖范围

• 第1章跑了267名参与者、8719条成对偏好、67项提案；被评模型为六款微调LLM和BERT SQuAD，主分割是参与者50/50，并报告5%、25%等抽样上的增强R²。
• 第2章用138名议员、6个党、21个政策主题建2003–2023年图谱，在12个2024–2026公投项目上做T=5、m=4、上限200 token的审议；评分模型为gpt-4o-mini，bridging模型为gpt-5.6-luna。
• 第3章脆弱性比较了7个共识LLM；Figure 3.5的防御数字写明为LLaMA 3.1 8B Instruct。测试62个政策问题、训练239个，每条对抗提示一条注入，过滤后35521对。
• 效价由GPT4o标签上微调的BERT判定，F1=0.98；MR区间为5000次bootstrap。无攻击共识须先符合majority-with-abstentions，规则细节在附录C.3。
• peer-to-peer只评了部分党；正文写明SP与SVP因候选数等于智能体数、API成本更高而未跑。Figure 2.7下排可见Grüne、Die Mitte、FDP。

这是一篇把LLM数字孪生放进增强民主的博士论文，分个体表示、政党聚合和共识生成的提示注入三章。

• 问题：作者要看计算中介能否恢复常规投票和政党通讯里未展开的偏好，以及参与者提交的自然语言能否把共识从预先指定的多数规则上带开。
• 做法：巴西成对偏好上用LoRA微调现成LLM；瑞士议会记录做成议员DPVA图，再由无独立立场的中介做五轮bridging；英国审议文本上用注入检测、结构化意见和GSPO，让模型先计票再写共识。
• 个体结果：50%测试集上LLaMA-2 7B成对准确率76.68%，GPT 3.5 Turbo 70.4%，Mistral 7B 69.4%，Falcon 7B 69.3%，BERT SQuAD 50.83%。相对bundle rule，21/24次更高，但有三个自由派—Bolsonaro例外。5%样本经增强后，作者称胜率R²从约30%到约75%。
• 集体结果：五轮后、且Δ5的95%区间下界高于持平时，SP为10/12、Grüne 9/12、Die Mitte 9/10、FDP 9/10、SVP 7/11、EVP 3/7。智能体评分与演讲评分的Pearson r在SP为0.68，在SVP为0.22。
• 注入结果：LLaMA 3.1 8B Instruct的MR从无防御57.9%到完整流程20.2%；仅检测为47.7%，加上结构化表示为41.6%。无攻击过拒约15%。Figure 3.4a报告support攻击下79.2%的ambiguous共识转向agreement，但正文未写明该数字的模型。
• 作者的结论：第4章称不应把政治决策交给自主AI。作者认为数字孪生可以恢复未观察偏好、保留被机构通讯压缩的观点，但同一能力带来操纵、排斥、监视和失去政治能动性的可能；设计问题是表示什么、在哪一层聚合、由谁控制。