8 月 12 日提交至 arXiv 的预印本《Learning to Persuade Exposes How Easily LLMs Abandon Correct Beliefs》测试了模型面对误导性论点时是否会放弃正确答案。作者用强化学习（RL）专门训练一个"说服者"（Persuader），奖励它能否用一条自然语言消息让目标模型改口。结果是：在 TruthfulQA 上，目标模型 Qwen-2.5-7B-Instruct 的准确率从 66.2% 降至 1.8%，说服成功率从 24.3% 升到 93.7%；这些学到的策略还能迁移到训练时从未见过的模型，包括 GPT-4o-mini 与 GPT-5-mini。
论文由 Nimet Beyza Bozdag、Emre Can Acikgoz、Gokhan Tur 和 Dilek Hakkani-Tür 署名，后两位是伊利诺伊大学厄巴纳-香槟分校（UIUC）会话 AI 实验室的联合创始人，曾深度参与 Siri、Cortana、Google Assistant 与 Alexa 等系统。该实验室把"说服"明确列为研究方向之一。
训练一个说服者，奖励它把目标引向指定错误答案
实验被形式化为一场两方博弈。说服者是待训练的模型，说服对象（Persuadee）是冻结不更新的目标模型，只负责给奖励信号。给定一道选择题，说服对象先给出正确答案和理由；说服者随后生成一条消息，目标是把说服对象引向一个指定的错误选项。奖励是二元的——说服对象有没有改成那个错误答案，再加上格式与长度两个辅助项。
作者特意对比了"直接提示模型去说服"与"用 RL 训练"的差别。他们指出，前者可能低估风险：一个被指示"去误导别人"的模型仍受对齐训练约束，会回避最有效的策略，因此此前基于提示的易感性测量只是下界。RL 让说服者通过试错发现更有效的话术，用来检验更强的对抗性说服。
论文区分了三个指标，这是理解所有数字的前提。说服成功率（PSR）指说服对象改成指定错误答案的比例；攻击成功率（ASR）指它只要放弃正确答案、改成任意错误答案就算；而"准确率降到 1.8%"描述的是交互后的整体准确率。这些指标相关，但分母和判断条件不同，不能相互替代。
单条消息后，Qwen-7B 在 TruthfulQA 上准确率降至 1.8%
核心结果发生在训练时的说服对象 Qwen-2.5-7B-Instruct 上。没有干预时，它在 TruthfulQA 上答对 66.2%；未训练的 Qwen-7B 说服者发一条消息，准确率就掉到 44.8%；经过 RL 训练后，说服者仅需发送一条消息，就能把目标准确率压到 1.8%——64.4 个百分点的落差。对应的说服成功率从 24.3% 升到 93.7%。
这一结果并不限于 TruthfulQA。作者在四个训练时未见的基准——MMLU、CommonsenseQA、MedQA 和 ARC-Challenge——上各抽 300 题测试，目标模型准确率在一条消息后普遍降到个位数。这说明学到的策略可以迁移到这些不同领域的选择题，效果并不限于训练题库。
攻击可迁移到未见模型，分阶段训练还能提高效果
作者把训练好的 Qwen-7B 说服者固定下来，换成不同的说服对象，验证策略是否可迁移。在 TruthfulQA 上，它对 Qwen-14B 的说服成功率达 82.5%，对 Llama-3.1-8B 达 79.0%。跨五个基准平均，对 Qwen-14B 是 85%，对 Llama-8B 是 75%。即便是在相关工作中被显式训练用于"平衡接受与拒绝说服"的 PBT-8B，也仍出现平均 60% 的 PSR，说明该防御性训练未能充分抵抗这一攻击。
被测闭源模型更能抵抗这类误导：GPT-4o-mini 的跨基准平均 PSR 是 16%，GPT-5-mini 只有 3%，是全部被测模型里最低的。作者把这 13 个百分点的差距解读为前沿模型在"说服鲁棒性"上的持续进步。
另一个发现是，说服力并不随参数规模单调上升。在 Qwen 家族内部，RL 训练后的 Qwen-3B 在训练对象上的说服成功率反而达到 95%，与 7B、14B 版本持平或更好；而 Llama-3.1-8B（RL）在 Qwen-7B 说服对象上只有 45%，落后于所有 3B 以上的 Qwen 变体。作者明说，这与此前"规模越大越会说服"的结论相悖。
针对更难的目标，作者用"课程学习"继续训练：先在一个较易被说服的开源模型上训练，再迁移到 GPT-4o-mini 上继续训一个 epoch。冷启动几乎无效——基础 Qwen-7B 说服者对 GPT-4o-mini 的成功率只有约 0.5%，奖励信号几乎消失。热启动后，TruthfulQA 上的说服成功率从 24.6% 提高到 37.9%，相对提升 54%。
欺骗和伪造权威引用成为训练后的常见策略
作者用 Claude Sonnet 4.6 对 500 条说服消息按社会科学的分类法做标注，发现 RL 训练后的策略更集中。未训练的说服者在信息型、信息偏置和欺骗之间平均分配；训练后，欺骗（Deception）成为 TruthfulQA、CommonsenseQA、MMLU 和 ARC-Challenge 上最大的单一类别，而 MedQA 上占主导的是"可信度型"诉求——伪造对权威来源的引用，论文以虚构的 Mayo Clinic 引用为例。
奖励函数不关心论证是否忠实，训练因而会强化最容易让目标改口的策略，而实践中最奏效的正是自信地陈述错误内容。欺骗与可信度型策略的成功率接近天花板，信息型策略则明显更不可靠。此外，训练数据里没有任何医学题，说服者却自发学会在 MedQA 上转向医学权威话术——策略选择会针对说服对象的先验自我调整。
附录中的对照实验还发现，这些说服技巧也能用于纠正错误：当目标选项换成正确答案时，训练后的说服者同样能以约 95% 以上的比例让说服对象从错误答案改对。
多智能体协作需要防止错误消息影响其他成员
这项结果也与近期多智能体研究中的观察相关。8 月 13 日，Anthropic 发布《Patterns and problems in emerging multiagent systems》，其中"认知失败"一节显示，Agent 面对撒谎的侦察者时缺乏警觉——它们抽象地"知道"信息源可能有自身动机、共识不等于证据，却不会在没有提示时据此行动。Anthropic 揭示的是脆弱性的存在；这篇论文则在选择题实验中显示，经过训练的说服者可以放大类似脆弱性。它提示，多智能体协作需要关注错误消息如何影响其他成员的判断。
作者把自己定位为红队工具，与以往集中在对抗性输入上的越狱研究互补——后者攻击的是提示词，前者攻击的是模型之间的自然对话。为了平衡披露与滥用，作者计划在 Hugging Face 以申请审核的方式发布模型，附安全使用协议与人工审核。
实验限于单轮选择题，真实协作中的风险仍待验证
结论需要放在实验设计的边界内看。这是一项未同行评审的预印本；说服被限定在选择题的单轮交互里，不涉及长程协作、工具使用和共享状态，作者承认这是"保守起点"而非对真实多智能体环境的完整刻画。论文也没有提出完整防御方案，只把"说服辨别训练"列为下一步，且未能解释特定话术为何奏效的机制。截至撰写时，论文指向的 GitHub 仓库只有一个 README，代码与数据尚未就位。
这些测试表明：当前模型在孤立状态下能正确推理，不等于在被优化的自然语言影响下仍能保留正确答案。"说服鲁棒性"因此应当被当作多智能体与人机协作系统的一项独立安全指标来评估，而不是默认会随模型变强而自动解决。
