贝叶斯辩证论证（BDA）：面向持续对抗下多 LLM 委员会的可校准聚合

多LLM议会的置信度应是正确概率，且不能被持续不可靠的席位静默俘获。

• 场景：若干LLM审议同一问题并返回答案与置信度。作者认为，报出0.9时应约有九成正确，且一个持续不可靠成员不应决定答案。
• 现有不足：作者称已发表、会给出分级置信度的聚合器ECE高于0.15（MoA族因分数接近常数除外）；Table 2里ArgLLMs为0.165、majority为0.160，他们实现的stacking为0.120。作者称一致投票报1.0时，数据中一致议会仍有18%答错；plurality会被持续错答带向随机，MoA因读论证被俘获，Self-MoA与ArgLLMs的抵抗只因不读议会。
• 核心观察：作者认为两次失败可用同一改法，即把审议当证据：协议管辖的typed moves是可归属观测，不是待综合的散文。
• 方法：Bayesian Dialectical Argumentation（BDA）把Propose、Challenge、Concede当作Dawid–Skene标注者模型的观测，按拟合可靠性加权；低于随机则权重为负，背书变成反证。后验有闭式，不另调LLM。
• 威胁模型：
  • 受害系统：三席议会，三轮且全可见；各聚合器读同一traces。
  • 坏席位：k为1或2，可来自过期checkpoint、投毒微调或被操纵的提示词。
  • 时间：persistent每题占用固定席位，包括校准折；rotating每题随机换席。
  • 手段：count-level以概率pwrong改写被腐化背书；live让坏席成为真实LLM，用stealth role反对真值、选最可辩护的错答、向盟友让步并混入。反正确提议的合规率为87–100%。

多LLM议会

• MoA与辩论：MoA（Wang等，2025）、Self-MoA（Li等，2026）和多智能体辩论（Khan等，2024）用不同机制聚合审议。
• 已知问题：论文写道，Smit等（2024）、Cui与Du（2025）、Hao等（2026）、Cui等（2026）暴露了脆弱增益、校准差的置信度、从众，以及完整交互轨迹的重要性。
• 本文用法：作者用MoA族和plurality作基线，并称要用按席位校准的审议解释处理持续对手。

论证式验证

• QBAF：Dung（1995）、Baroni、Rago与Toni（2019）给论证打分，并沿攻击与支持边传播强度。
• ArgLLMs：Freedman等（2025）让模型生成并打分论证树，把gradual strength当置信度。作者称该强度是margin不是概率，并引用Sanayei等（2025）称LLM论证挖掘与评判本身不可靠，因此BDA读typed moves而非散文。

可靠性加权与校准

• 委员会规则：Nitzan与Paroush（1982）、Grofman、Owen与Feld（1983）用可靠性对数赔率加权独立二元投票，是孔多塞陪审团定理的推广。作者称BDA属于这一谱系，载体换成协议typed moves、数据拟合的分席先验、K候选处理与对抗评测。
• 校准度量：定义来自Dawid（1982），指标为ECE（Guo等，2017）和Brier（1950），并与Zadrozny与Elkan（2002）的事后再校准比较。
• 辩论攻击：Amayuelas等（2024）、Khan等（2024）、Cui与Du（2025）从经验上攻击LLM辩论。作者称自己补的是聚合防御。

标注者模型

• 有标签噪声：Dawid与Skene（1979）的one-coin用EM拟合每个标注者的可靠性；Raykar等（2010）学混淆矩阵；Raykar与Yu（2012）降权并反转对抗标注者。
• 无标签估计：Whitehill等（2009）、Zhang等（2016）、Hovy等（2013）、Ratner等（2020）在无标签时估计可靠性。作者称无监督估计的label-switching歧义，正是监督先验要解决的问题。

基线与基准

• 基线方法：plurality、MoA、MoA-Lite、Self-MoA、ArgLLMs、logistic stacking、gated vote、无监督DS-EM；BDA分为shared、per-agent、confusion。
• 基准：MedClaim、StrategyClaim、TruthfulClaim（ArgLLMs评测族，各n=500）、PubMedQA（K=3，类均衡n=300）、MMLU四选一子集（n=500）。

作者把BDA定位为Dawid–Skene模型的新载体：协议下的typed moves、分席可靠性及混淆矩阵，并用真实对抗联盟而不是独立噪声做压力测试。

BDA把审议trace收成“谁背书了哪个答案”，再用经典标注者模型推断每席可靠性，闭式得到候选后验，不另调LLM。

痕迹与背书

• 记录：trace是有序typed moves。实验用Prakken（2005）对话博弈，实际发出Propose、Challenge、Concede；动作代数还有Retract与Vote，干净存储中计数为0。
• 背书：Propose背书自己的答案；对他人的Concede背书该提议；Challenge拒绝目标答案；自我让步和弃权不携带信息。抽取器只读force、席位、目标和答案，不读自由文本或自报置信度。
• 设定：候选集大小为K，正确答案g*来自数据集金标签。实验中席位数I=3，候选先验π0一律均匀。

似然、先验与后验

• 噪声模型：给定真值为g，席位i的每个信息性动作以概率θi指向g，以(1-θi)/(K-1)指向每个错误答案。θi有共轭Beta先验，积分后得到单席证据因子Fi。
• 后验：后验为 π(g ∣ T) ∝ π₀(g) ∏_i=1^I F_i(g)。Fi是积分掉可靠性后的证据因子；答案取后验最大的候选，置信度取该最大值。K=2时退回Beta–Bernoulli；K>2的(K-1)因子用于打破二元情形的上限与对称先验停滞。
• 分席先验：shared让所有席共用一个Beta。per-agent在有标签校准折上估计ri，再μi=clip(b+κ(ri-均值), [0.05, 0.95])，αi=μi s。κ=0即shared。(b, κ, s)由交叉验证选择。标签只刻画席位，不用于测试答案；作者称约25个标签即到平台，比较中各监督臂得到同一预算。

混淆矩阵与决策规则

• 推广：每席有混淆行Pi(g'|g)。先验均值是均匀误差混淆，对角0.6、非对角0.4/(K-1)，浓度λ；温度τ∈(0,1]压低每个席位因子。λ与τ用同一套交叉验证。
• 复合似然：K>2时，一次Challenge计入每个对手单元格，故即使τ=1也是复合似然，只在K=2或无Challenge时是精确后验。作者称K>2的校准来自交叉验证，不是构造即得。
• 加权多数：K=2且每席一次背书时，权重为 w_i=log(μ_i)/(1−μ_i)。作者称这是Nitzan与Paroush（1982）的贝叶斯最优委员会规则；μi低于1/2时权重为负。混淆模型保留“非对角把对手背书变成对其他候选的证据”，但不带该最优性主张。
• 拟合：附录D用按金标签分层的外层5折报告数字，内层5折在Brier上选超参；网格为b∈{0.52, 0.55, 0.58, 0.60}、κ∈{0,1,2,3,4}、s∈{4,8,16,32}。作者称平衡二分类上常数0.5的ECE可为0，故不用ECE选参。

五个性质

• 校准范围：Property 1称，先验与似然匹配数据生成过程时，置信度在Dawid意义上校准；实际ECE来自交叉验证选出的先验。
• K=2特殊点：Property 2称，有限强度先验下后验有严格低于1的上限，对称先验则完全不离开先验；二者在K>2消失。作者把有限强度s保留为再校准器，分层、强度随标签增长的后验列为后续。
• 其余边界：Property 3称后验对自报置信度逐比特不变。Property 4称先验影响有Lipschitz界；K=2上限处该常数不随证据消失，K>2混淆模型以每席O(λ/Ni)洗掉先验。Property 5称，反转要求不可靠性在校准窗内可识别、部署时保持、且绑在稳定席位上。

实验设置

• 议会：主议会为gemma-3-27b-it、phi-4（14B）、gpt-4.1-nano，拟合二分类可靠性约0.74/0.68/0.68。三轮全可见，提议温度0.7，三个生成种子。MoA合成器与ArgLLMs评审为gpt-4.1-mini，强于任一席位。
• 数据：MedClaim、StrategyClaim、TruthfulClaim各n=500；PubMedQA类均衡n=300（K=3）；MMLU四选一子集n=500。二分类池为4,500。live对抗生成13,800条traces。附录H另有sub-8B议会。
• 聚合器：plurality、logistic stacking、gated vote、无监督DS-EM、MoA、MoA-Lite、Self-MoA、ArgLLMs，以及BDA shared、per-agent、confusion。监督臂共用25个标签和leak-free nested CV，按Brier选参。
• 指标：accuracy；ECEew为10个等宽箱，ECEem为15个等质量箱；Brier。头对头比较用10,000次配对bootstrap，报告区间与pwin。主表数字为种子均值。
• 判定：正确性相对数据集金标签。K>2自由文本先用候选受限抽取器；只在散文中承诺选项的残差交给冻结的gpt-4.1-nano（温度0）。Appendix D报告parse rate。
• 攻击：k=1或2，含persistent与rotating。合成攻击以pwrong改写背书；live stealth的反正确提议合规率，二分类为87.0–91.6%，PubMedQA为99.9–100%，MMLU为94.3–99.8%（Appendix F.2，按k与是否跨轮维持）。

主结果

据Table 2（干净二分类，4,500次，三种子）。表中省略无信息性置信度的MoA（Acc 0.718）、Self-MoA（0.736）、MoA-Lite，以及Gated vote（Acc 0.726，ECEew 0.150）。

表格较宽，可左右滑动

方法	Acc	ECEew	Brier	美元/题
Majority	0.734	0.160	0.212	0
DS-EM	0.659	0.338	0.338	0
Logistic stacking	0.751	0.120	0.194	0
ArgLLMs	0.788	0.165	0.199	0.0015
BDA shared	0.730	0.025	0.187	0
BDA per-agent	0.751	0.016	0.181	0
BDA confusion	0.758	0.017	0.173	0

• 决策差：作者称per-agent改变了获胜答案。相对plurality的ΔAcc为+0.017，配对重抽样95% CI为[+0.010, +0.024]，pwin=1.000；贡献列表写1.7 points，Section 6写1.71 points。
• 花钱能买到的：作者称同样25个标签下，leak-free isotonic再校准会把各臂校准误差拉低，再校准后的ArgLLMs在Brier和准确率上领先。作者把BDA的干净定位写成不必另付模型调用的自由臂，而不是花钱能买到的最佳聚合器。
• 无置信度臂：作者称MoA族分数接近常数，校准不适用。Figure 1图注称零成本聚合器中BDA族处在校准前沿，并标注DS-EM超出坐标为0.34。

持续对抗

据Table 1，live stealth、k=2、三种子。带†的Self-MoA与ArgLLMs不读议会，格子是其干净准确率（变动在1.1个点内）：二分类0.736与0.788，PubMedQA 0.608与0.516，MMLU 0.746与0.565。下表省略k=1、Gated vote与MoA-Lite。

表格较宽，可左右滑动

方法	二分类	PubMedQA	MMLU
Majority	0.369	0.209	0.433
DS-EM	0.178	0.282	0.001
Logistic stacking	0.865	0.753	0.743
MoA	0.483	0.227	0.661
BDA shared	0.205	0.038	0.134
BDA per-agent	0.734	0.471	0.698
BDA confusion	0.892	0.840	0.721

• 分域：作者称confusion领先二分类与PubMedQA，stacking领先位置型MMLU。seed-clustered bootstrap下，confusion相对stacking在二分类k=2为+0.027（CI [+0.021, +0.034]），PubMedQA k=2为+0.087（CI [+0.052, +0.121]）；作者称k=1为平局。shared在PubMedQA k=2为0.038，作者称没有分席结构时会跟随被腐化的多数。
• 机制：作者称confusion相对one-coin领先16与37个点，对应Table 1的0.734到0.892、0.471到0.840。Table 17的逐题标签置换把PubMedQA k=2的confusion从0.840降到0.740，MMLU几乎不动（0.721到0.716）。Table 16中，无监督DS-EM在k=2的可部署初始化锁在0.175，需标签的镜像模式为0.825。
• 轮次：Table 14中，二分类k=2的round-0 one-coin准确率为0.933，完整trace为0.736。作者称攻击下的防御来自round-0加权，后续轮次输入传染；Table 19中k=2的有效腐化比例为二分类0.68、PubMedQA 0.72，名义值为2/3。

公平攻击与剂量

• 同角色攻击：Figure 2图注称，对手作为三席中的两席时议会仍接近干净；Self-MoA没有内部检查因而坍塌，ArgLLMs的干净评审是部分防御并随答案空间变弱。附录F.7称ArgLLMs在每个K下降24到28个点。纯文本里若干柱值与方法对不齐，不把未对齐数字派到具体方法。
• 同一腐化比例：附录B.2称，同样γ=2/3且仍留一个干净席时，MoA从0.72降到0.48，BDA从0.75到0.73。作者把该差归因于可靠性加权，而不是冗余本身。
• 剂量与轮换：Table 12在persistent、pwrong=1时，k=1的per-agent为0.923，k=2的per-agent为0.915、confusion为0.947、majority为0.163；干净参照为0.751与0.758。rotating、k=2、pwrong=1时per-agent为0.304、confusion为0.811。作者称中等剂量轮换下，没有读trace的臂超过plurality。

干净K>2、再校准与sleeper

• 过自信与温度：Table 9中，PubMedQA的majority准确率0.619、ECEew 0.264，per-agent为0.614与0.304，confusion为0.604与0.072；MMLU的majority为0.770与0.093，per-agent为0.764与0.183，confusion为0.762与0.063。Table 10称只加交叉验证温度、不学非对角，即可把K>2的ECEew收到0.051与0.037。附录H的sub-8B议会在K>2上由plurality领先准确率，confusion的ECEew为0.033与0.050。
• 再校准：正文称再校准后的majority达到ECEew 0.006，但二分类k=2准确率仍为0.37。Table 15列出live二分类k=2的majority准确率0.369、等宽ECE由0.461到0.000，confusion准确率0.892、由0.051到0.004。作者称抹掉的是校准差，不是攻击下的准确率。
• sleeper：Figure 7与附录F.8中，校准窗完全干净时per-agent在k=2部署上为0.17，低于majority的0.37；窗内已有20%转向时升至0.45。附录F.13称f=0.2时混淆行漂移超过噪声底两倍以上。Table 18中，PubMedQA的同策略B到B时confusion为0.842，跨策略A到B时为0.553。

其他消融与分析

• Table 7粒度（固定先验0.58, 2, 16）：per-agent Acc 0.722、ECEem 0.134；per-force 0.703、0.266。
• Table 7估计器：all moves ECEem 0.080；propose only 0.117；round-0 only 0.150。
• Table 8：round 0/1/2的Acc为0.748/0.754/0.751；相对round 0净改17/4500个决定。
• Table 10：one-coin干净ECEew为二分类0.016、PubMedQA 0.304、MMLU 0.182。
• Table 11：n=25时PubMedQA的one-coin ECEew 0.355、confusion 0.091；Figure 3称其后准确率仍+0.05。
• 附录H二分类：per-agent Acc 0.701、ECEew 0.022，majority 0.692、0.151（ΔAcc +0.009，pwin=0.96）。

作者指出的局限与后续方向

• 监督：BDA消耗有标签校准数据（约25个，可摊销）；无标签设定排除它（Section 8）。
• 持续性：对手必须在校准窗内作恶并继续作恶；sleeper会继承信任。作者称暴露窗口窄，五分之一窗口可恢复，缓解办法是重拟合（Section 8）。
• 错误结构：confusion与stacker还要求错误结构持续；policy shift会让两者失去全部优势（Section 8）。
• 可识别性：中等剂量的rotation击败每一个读trace的方法（Section 8）。
• 模型假设：可靠性接近同质时，per-agent退化为更吵的shared BDA；move独立是由温度吸收的理想化；弃权未测（Section 8）。
• 后续：Section 9列出aggregation-aware对手、在线重拟合、分层与半监督估计，以及对typed trace做时序逻辑验证。Appendix C把强度随标签增长的分层θi后验列为future work。

实验覆盖范围

• 模型：主议会为gemma-3-27b-it、phi-4、gpt-4.1-nano；附录H为llama-3.1-8b-instruct、qwen-2.5-7b-instruct、lfm-2-24b-a2b。合成器与ArgLLMs评审为gpt-4.1-mini（Section 5、Appendix D）。
• 数据：MedClaim、StrategyClaim、TruthfulClaim各n=500，PubMedQA类均衡n=300，MMLU四选一子集n=500；各三个生成种子；二分类池4,500（Section 5）。
• 攻击与对照：persistent与rotating、合成pwrong、live stealth coalition、fair role-matched attack、sleeper比例f、错误答案policy shift、标签置换和isotonic再校准（Section 7、Appendix F）。
• 拟合与指标：监督臂共用约25个标签和leak-free nested CV；报告accuracy、10等宽与15等质量ECE、Brier，以及10,000次配对bootstrap（Section 5、Appendix D）。
• 未写入的一致性：论文未报告散文残差评判gpt-4.1-nano与人工抽取的一致性。Appendix D报告parse rate，并写明该评判把MoA在干净MMLU上227条未映射答案中的65条映到选项，准确率从0.605到0.640。附录J写明MArgE因成本未纳入。

BDA是一种不另调LLM的多LLM议会聚合方法，同时处理置信度校准和持续不可靠席位。

• 问题：议会应让报出的置信度等于正确概率，并在有席位持续出错时不被带偏。作者认为现有聚合要么把一致性当成置信度，要么只靠不读议会躲开对手。
• 做法：把Propose、Challenge、Concede收成可归属背书，用Dawid–Skene式可靠性做贝叶斯加权。低于随机的席位权重为负，其背书变成反证。K>2改用带温度的分席混淆矩阵。监督臂约用25个标签，拟合一次后摊销。
• 干净二分类：4,500次试验中，per-agent的ECEew为0.016，准确率0.751，比plurality的0.734高0.017（95% CI [+0.010, +0.024]）。confusion的Brier为0.173。ArgLLMs准确率0.788，每题0.0015美元，且不读议会。
• 对抗：live、persistent、k=2时，confusion在二分类为0.892、PubMedQA为0.840，MMLU为0.721，低于stacking的0.743。majority在二分类k=2为0.369。合成持久对手在pwrong=1时，per-agent到0.923（k=1）和0.915（k=2），majority的k=2为0.163。
• 作者的部署建议：答案标签有跨题身份时用confusion并定期重拟合；位置型选项把优势交给stacking。作者称轻sleeper和策略切换会以混淆行漂移出现，回退是one-coin。作者明确不做的主张包括干净准确率支配、攻击下位置型K>2支配、再校准后的校准支配，以及无条件鲁棒。