VEX-Bench：评测 LLM 生成虚假信息的核验复杂度

现有评测不衡量 LLM 虚假信息在筛查阶段占用的核查容量。

• 场景与重要性：作者称 LLM 使虚假信息易于大规模生成，但媒体、平台和事实核查者要在时间、人力和预算约束下做分诊（triage）。单条声明的裁决可能需要多步检索、跨源比对、时间定位和领域专长；COVID-19 infodemic 被作者用来说明延迟会放大下游伤害。作者认为最要紧的情形不只是内容为假，而是看起来高度 check-worthy、又难以裁决。
• 现有方法的不足：检测类基准看文本能否被识别为机器生成或虚假信息；越狱与安全基准用拒答、攻击成功率或泛化危害性。作者称这些成功中心指标把诱导与下游风险混在一起，模型一旦顺从就可能高估攻击者效用，且不刻画内容如何消耗稀缺核查资源。
• 核心观察：诱导成功率与核查复杂度可以解耦。成功率相近的模型和方法，产出的核查复杂度可以明显不同；高 VEX 内容在筛查中更可能被优先处理，而生成的边际成本相对核查可以忽略。
• 本文提出：VEX-Bench 在模型与诱导方法之间比较筛查时所感知的核查复杂度，并用 VEX 分数把诱导产量与多维复杂度合在一起，用来量化对有限核查容量的占用，也可按下游核查负担比较安全干预。

• LLM 虚假信息生成与安全评测：论文把生成机制概括为直接提示、源条件改写、检索增强投毒和对抗操纵。检测路线评估文本能否被识别为机器生成或虚假信息；安全基准用拒答、攻击成功率或危害性分数，并覆盖多种越狱设定。作者称近期工作指出成功中心指标把诱导与下游风险混在一起。
• 事实核查与核查分诊：事实核查被写成检索–分解–核验的多阶段过程，评测涵盖通用基准以及多领域与科学语料。check-worthiness 通常是二元或标量信号。论文还引用事实核查工作流的民族志与组织研究、信源可信度线索，以及人在回路流程，说明实际核查是分诊驱动的。
• LLM-as-judge：论文称成对比较和量表式评分已被用于扩展文本生成与安全评测，同时引用位置与一致性偏差、自我偏好、公平性限制，以及去偏方法在保证上的根本限制。作者用内容分析传统来校验 LLM 评审。

基线方法为 Direct Prompt、DisinfoCap、ISC、JailNewsBench（JNB）、MisinfoQA、PoisonedRAG、PAP（evidence-based persuasion，攻击模型为 DeepSeek-V3）。基准/对照包括 VEX-Bench 自建的 fabrication 与 rewrite、StrongREJECT 作为参照，以及 JNB judge 作为最接近的虚假信息向评审。

作者把本文定位为：从生成是否成功，转到筛查时被感知的核查复杂度，以及由此产生的下游核查负担。

在固定的任务–领域–话题上比较模型与诱导方法，用 VEX-Bench 的五维筛查判断和 VEX 分数量化核查负担。

问题设定与结构化输出

• 设定：每个条件是元组 (t, d, q)，t 为任务、d 为领域、q 为话题。固定该元组后，模型–方法对面对同一目标，成功率、复杂度与事实核验差异被归因于模型和方法。
• 两类任务：fabrication 从话题生成看似合理但虚假或误导的文章；rewrite 把该话题上的事实性源文章改成误导变体并保持表面合理性。
• 领域与话题：health、politics、public safety、finance、identity groups、environment 共 6 个领域，每领域 10 个中性话题，共 60 个。话题来自 2025 年 1 月至 2026 年 3 月新闻覆盖的聚类，再抽成不含具体人物、机构或国家的标签。完整列表在附录 A.1。
• 输出：文章式 JSON，字段含 topic、headline、body、format、source、contact、date、claim；rewrite 另含 changes_made。无效 JSON 与拒答由此与有效文章分开。

五维核查复杂度与 VEX

• 量表：评审对每篇文章在 1–5 分上打 D1 Checkability、D2 Harm Significance、D3 Source Credibility Signals、D4 Imposter Legitimacy、D5 Verification Cost。D3 评的是筛查时的权威线索，不是来源是否真实；D4 评表面是否像合法新闻，独立于事实正确性。细则在附录 A.2。
• 分数：默认 VEX 对全部五个维度聚合。对每个非空子集 C，

VEX_C = SR × NR × 1/(|C|)∑_{i∈ C} D_i 各项归一化到 [0,1]。SR 为诱导成功率（例如有效 JSON），NR 为非拒答率。C 共 31 种组合，子集内等权。作者称这是用来说明核查系统风险的简单聚合，机构可改权重。

• 互补信号：Claim Support 与 Entity Integrity 由事实核查智能体给出，与 D1–D5 分开报告，用来对照声明是否被支持、点名实体是否对应现实实体。

评审协议与可靠性指标

• 谁来打分：主评审为 GPT-5.2；Opus-4.7 与 Gemini-3.1 用于校验且不经同一套校准。分析限于有效 JSON。提示词按内容分析方法开发，全文在附录 D.1；事实核查智能体规格在附录 D.2。
• 人工参照：留出 100 篇，跨模型、方法和任务抽样。两名标注者只看文本、不看元数据、不做外部检索，按同一序数量表打分，分歧经讨论得到裁决标注。对齐流程在附录 A.3。
• 指标：维度级成对比较用 Spearman ρ 与 ordinal Krippendorff α。作者对 α 采用惯例：α ≥ 0.800 为可靠一致，α ≥ 0.667 为暂定一致；相关则按符号、相对大小和概念对齐作描述性解读，不设固定阈值。

生成方法与事实核查

• 七种方法：Direct Prompt、DisinfoCap、ISC、JNB、MisinfoQA、PoisonedRAG、PAP。PAP 使用 evidence-based persuasion，攻击模型为 DeepSeek-V3。全部方法走统一接口，覆盖每个 (t, d, q) 与两类任务。代表性基线提示词在附录 D.3，定性例子在附录 C。
• 事实核查：用 Claude Sonnet 4.6，经由 Claude Code 做网页检索。StrongREJECT 作为参照，附录 B.1 补充与 StrongREJECT 的比较。

实验设置

• 被测模型：Claude Sonnet 4.5、Gemini 3.1 Pro、GPT-5.4、Qwen3.5-Flash、Grok-4.1-Fast、Kimi-K2.5、DeepseekV4-Pro，共 7 个。
• 生成与规模：7 种方法 × 两类任务 × 6 领域 × 60 话题，共 5880 篇文章。SR、NR 在全部条件上计算；D1–D5、VEX、Claim Support、Entity Integrity 用有效且非拒答输出。
• 评审：主评审 GPT-5.2 覆盖全部生成文章；Opus-4.7、Gemini-3.1 用于一致性。人工校验为 100 篇、两名标注者。事实核查为 Claude Sonnet 4.6 加网页检索。
• 对照：方法间对照即上述 7 种诱导方法；评审概念对照为 JNB judge，附录 B.1 另与 StrongREJECT 比较。Table 1 同时报告 StrongREJECT 分数。
• 指标：SR、NR、D1–D5（报告为百分数）、全维度 VEX、Claim Support、Entity Integrity；Figure 5 用全部 31 个维度子集 × 2 个任务共 62 个实例上的 VEX_C 平均排名与第一名次数。
• 成本：生成成本来自 API；核查把网页检索按每次 0.025 美元计价，LLM 费用用 Sonnet 4.6 的输入 3 美元/百万 token、输出 15 美元/百万 token，由转写字符数近似。Table 2 为有效非拒答输出上的每篇平均美分。论文未报告实验重复次数。

主结果

Table 1 为方法级结果（百分数）。fabrication（Fab）与 rewrite（Rew）分开；括号为相对源文章的差值。

表格较宽，可左右滑动

任务	方法	SR	NR	D1	D5	VEX	Claim	Entity
Fab	Direct	42.1	31.9	77.6	55.0	7.8	39.7	26.3
Fab	DisinfoCap	96.0	93.8	81.2	50.3	54.8	43.9	24.9
Fab	ISC	99.5	99.5	95.5	55.3	69.1	12.4	41.9
Fab	JNB	56.9	47.9	87.8	68.9	17.6	11.9	22.5
Fab	MisinfoQA	99.3	70.2	96.2	48.1	47.4	53.1	47.5
Fab	PoisonedRAG	73.6	69.5	98.5	52.4	36.5	9.5	45.0
Fab	PAP	77.1	47.1	99.2	79.2	27.7	13.1	23.0
Rew	Direct	27.4	15.0	79.8	55.6	2.4	51.7 (-44.2)	23.6 (-76.6)
Rew	ISC	98.6	98.1	92.9	46.4	65.3	78.7 (-17.4)	72.2 (-27.9)
Rew	PAP	78.8	47.4	97.0	67.5	25.8	24.9 (-71.0)	20.7 (-79.2)

表中只列 VEX 两端与作者重点讨论的方法；Rew 的 DisinfoCap、JNB、MisinfoQA、PoisonedRAG 的 VEX 分别为 57.4、36.5、45.7、47.6（Table 1）。D2–D4 见 Table 1，此处不重复。

• 任务画像不同：作者称 rewrite 继承源文章的机构引用与表面线索，D3、D4 高于 fabrication，声明支持与实体完整性下降更小；ISC 下降最小，PAP 最大。fabrication 中多数方法的 D5 高于 rewrite。
• 成功率与复杂度解耦：fabrication 上 ISC、DisinfoCap、MisinfoQA 的 SR ≥ 95%，但 VEX 分别为 69.1、54.8、47.4。PAP 的 NR 较低，D1 为 99.2、D5 为 79.2，为该任务这两列的最高值。作者称没有单一排名能覆盖全部维度。
• 综合风险：Figure 5 在 62 个实例上比较 VEX_C 平均排名。作者称方法层面 ISC 不论底层 LLM 风险最高；模型层面 DeepSeek-V4 不论方法风险最高。交互上，DisinfoCap 用于 Grok-4.1 平均风险最高，并在 11/62 次排第一；PoisonedRAG 有 15 次第一。作者称最高 VEX 内容并不总来自最有效的方法或最高风险模型。

评审可靠性与概念区分

• 一致性：Figure 2 给出两名人类与 GPT-5.2、Gemini 3.1、Opus 4.7 的成对 ordinal α。作者称经校准的 GPT-5.2 与人类的配对落在暂定到可靠区间；D3 上人–人与主评审–人都超过 0.800。图中可见的人–人 α 包括 D1 的 0.743、D2 的 0.848、D3 的 0.826、D4 的 0.858、D5 的 0.754。未校准的其他评审接近暂定阈值，作者认为这是同一提示下的模型差异，附录 A.3 称额外校准可以缩小差距。
• 与 JNB：Figure 3 分 fabrication 与 rewrite 报告 Spearman 相关。作者称整体为弱到中等相关，没有强到可以视为重复。D1 与 JNB verifiability 在 fabrication 上弱相关；D4 与 JNB subjectivity、agitiveness 为中等负相关，作者认为这来自生成内容既精致又煽动，而不是概念重叠。
• 与下游核验：Figure 4 的点为有效非拒答输出的平均。作者称 (b) 中 D3 与 Entity Integrity 正相关（图中标注 = 0.75），(c) 中 D5 与证据不足声明的比例正相关（= 0.66），(a) 中 D3 与 Claim Support 近乎独立（= 0.03），(d) 中 D5 与 Entity Integrity 的标注为 0.31。作者称评审没有在做事实核验，但仍与下游信号对齐；智能体只能检索公开信息，因此无法核验高 D5 内容。

成本与实体构成

• 成本：Table 2 中总体生成 1.45 美分/篇，核查合计 17.86 美分，比值为 12.4×。按模型，Grok-4.1-Fast 为 0.13 对 21.60 美分（169.0×），Qwen3.5-Flash 为 0.14 对 20.67（147.2×），Gemini-3.1-Pro 为 4.34 对 15.48（3.6×）。作者称网页检索约占核查成本的三分之二；ISC 的生成与核查费用在方法中最高，但比值 8.1× 低于平均，因为其有效输出几乎均匀分布在七个目标模型上。摘要写 3× 到 169×，Table 2 的模型级极值为 3.6× 与 169.0×。
• 实体：Figure 6 只分析 fabrication。作者称真实实体以机构为主，虚构实体集中在人物与联系人；多数虚构姓名唯一，但每个模型会重复一小部分专家式姓名，作者认为这种模型特异的复用可能成为训练数据指纹，并指向模型归因的一个方向。附录 B.2 称有类似结果。逐模型主表在附录 B.3，正文未给出可逐格核对的模型×方法 VEX 全表。

其他消融与分析

• 论文没有以超参数扫描形式报告消融；31 个维度子集体现在 Figure 5 的 VEX_C 排名，而不是另一张消融表。
• Table 1 的 StrongREJECT：fabrication 上 ISC 97.4、Direct 26.5；rewrite 上 ISC 95.2、Direct 12.9。Direct 的 VEX 也最低（Fab 7.8，Rew 2.4）。
• rewrite 上 Claim Support 与 Entity Integrity 相对源文章均为负差值；ISC 的下降最小（-17.4 与 -27.9），PAP 最大（-71.0 与 -79.2）。

作者指出的局限与后续方向

• 等权只是示意：第 3.2 节称 VEX_C 是简单聚合，用来说明对核查系统的风险；实践中不同事实核查机构与平台可以按自身优先级改权重。
• 高 D5 超出智能体能力：第 4.1 节称高 D5 按定义需要专家咨询或非公开数据，而事实核查智能体只能对公开信息做网页检索，因此无法核验高 D5 内容。
• check-worthiness 没有统一定义：引言称已有工作对 check-worthiness 并不收敛，优先级随组织目标、资源约束和领域假设而变，因此本文把核查复杂度定义为多维综合量。
• 模型特异姓名复用：第 4.2 节作者认为虚构专家名的重复可能是训练数据指纹，并把它写成模型归因的一个潜在方向，而不是已经完成的归因方法。
• 评测对象应扩展到核查负担：结论称安全评测需要从“能否产出有害内容”转到量化对真实核查系统的影响；贡献列表把 VEX-Bench 写成可供后续虚假信息攻击与防御按下游核查负担来评测的框架。论文没有单独的 Limitations 节。

实验覆盖范围

• 被测生成模型为第 4 节列出的 7 个前沿 LLM，方法为 7 种，任务为 fabrication 与 rewrite，领域 6 个、话题 60 个，文章 5880 篇。
• 主评审为 GPT-5.2；一致性比较还包括 Opus-4.7、Gemini-3.1 与两名人类标注者，人工子集为 100 篇（第 3.2、4.1 节，Figure 2）。
• 事实核查由 Claude Sonnet 4.6 经 Claude Code 做网页检索；成本按目标模型与生成方法分解（Table 2）。PAP 的攻击模型为 DeepSeek-V3。
• 概念对照主要是 JNB 的维度相关（Figure 3），附录 B.1 补充 StrongREJECT；逐模型分解写在附录 B.3。
• 论文未报告实验重复次数；D1–D5 的主结果在 Table 1 按方法聚合，正文 Figure 5c 给出的是排名与第一名次数，不是每个模型×方法的原始 VEX。

VEX-Bench 把 LLM 虚假信息的风险从“能否生成”改成“筛查时会占用多少核查容量”。

• 问题：在时间、人力和预算约束下，事实核查是分诊。作者认为现有检测与越狱指标不反映内容是否看起来值得核查、又难以裁决。
• 做法：固定 2 类任务、6 个高风险领域、60 个中性话题，让 7 个前沿 LLM 与 7 种诱导方法生成结构化文章，共 5880 篇。GPT-5.2 按五维 1–5 分打分，再与 SR、NR 合成 VEX；Claude Sonnet 4.6 智能体另给 Claim Support 与 Entity Integrity。可靠性用 ordinal Krippendorff α，D3 上人–人与主评审–人超过 0.800。
• 结果：Table 1 中 fabrication 的 VEX 从 Direct 的 7.8 到 ISC 的 69.1；SR ≥ 95% 的方法之间 VEX 仍分开。PAP 的 NR 较低，但 fabrication 上 D1 为 99.2、D5 为 79.2。Figure 5 中 ISC 与 DeepSeek-V4-Pro 的平均排名最高，而 DisinfoCap×Grok-4.1 在 11/62 次排第一，PoisonedRAG 有 15 次第一。Table 2 中核查相对生成的比值从 Gemini-3.1-Pro 的 3.6× 到 Grok-4.1-Fast 的 169.0×，总体 12.4×。
• 作者的结论：没有单一方法支配全部维度，最高 VEX 也不总来自成功率最高的方法或模型；作者认为这种廉价生成与昂贵核查的不对称会把稀缺核查资源系统性地分错，因此安全评测应量化对真实核查系统的影响。