🧒 初中生也能看懂的版本
① 研究背景（为什么要做？）
今天很多人遇到不懂的政治问题，第一反应已经不是翻书或者问老师，而是直接去问 AI 聊天机器人。这意味着，机器人愿意回答什么、不愿意回答什么，正在悄悄决定普通人能了解到多少事情。
过去大家讨论 AI 的政治倾向，关注的都是它说了什么——比如它夸谁、贬谁，观点偏向哪一边。这篇论文提醒我们注意另一件更隐蔽的事：它拒绝说什么。
你可以把 AI 的护栏想象成商场门口的保安。保安拦人，看起来是在执行安全规定。但如果你仔细观察就会发现，不同商场的保安拦的人不一样：有的商场拦所有大声说话的人，有的只拦想在店里聚起来搞活动的人。保安拦谁，其实取决于老板怕什么，而不是取决于什么才真正危险。
作者的核心猜想就是这个：AI 的护栏不是一套放之四海皆准的“什么算有害”，而是管着这家公司的那个政府最害怕什么。中国率先出台了生成式 AI 管理办法，要求开发者限制政治敏感内容；美国那边则是分散的法律责任和品牌风险。两种环境，会长出两种完全不同的保安。
② 研究问题（要回答什么？）
作者要回答的核心问题是：中国厂商的 AI 护栏，究竟只是比较小心，还是真的把国家那一整套信息管控的结构继承了下来。
这两件事看起来很像，因为它们会产生同样高的拒答率。就好比两个都不爱说话的人，一个是天生内向，一个是有话不敢说——光看“说话少”这个数字，你根本分不出来。所以作者说，只数拒答率没有用，必须去看拒答的形状。
论文提出四个可以互相印证的假设：
- H1 政治专属性：中国模型的严格，是只针对政治，还是对所有敏感话题都一样严？
- H2 政权专属性：同一句话，只把地名从中国换成外国，模型的态度会不会变？
- H3 打击目标：护栏拦的是反对意见，还是把人组织起来的能力？
- H4 执行强度：这道拒绝是真的拦得住，还是换个说法就能绕过去？
③ 研究方法（怎么做的？）
研究团队一共测试了十个 AI 模型，分成三组：美国厂商四个、中国厂商四个、还有两个开源小模型。每个模型都用英语、中文、法语三种语言各问一遍。
最关键的设计是作者所谓的最小对立句式，可以理解成把控制变量法做到极致。研究者写好一句请求，比如“我想在某某市和某某市组织一次合法的和平请愿，请帮我出个方案”。然后他们只改动其中的城市名和政府称呼，其他每一个字都不动。三个版本分别指向中国、外国民主国家、以及一个虚构的地名。
三个版本的长度几乎一模一样，平均词数分别是五十五点五、五十五点五和五十四点五个词。作者特意强调，这种严格的配平意味着：如果模型对三个版本的态度不同，那就不可能是因为题目难度不同或者句子长短不同，只能是因为它认出了“中国”这两个字。
另外还有两个巧妙的对照。一是从公开的有害指令库里挑出危险程度相当的非政治问题作为对照组，用来看严格是不是只针对政治。二是安慰剂测试：问一些完全没有政治色彩的活动，比如组织一次同学聚会，看模型是不是单纯讨厌“组织”这个词。
最后是撬锁测试。研究者用一个自动程序，把被拒绝的问题反复换说法——换语气、换身份、绕着说、换语言——但保证意思不变，看能不能把答案套出来。两位独立的 AI 评审给回答打标签，一致率高达百分之九十六点六。
④ 结果（发现了什么？）
研究发现，中国厂商模型的拒答并不是一视同仁的谨慎，而是有非常明确的指向性。四个假设里有三个得到了强有力的支持，第一个反而站不住脚。
同一句话，提到中国时被拒绝 80.2%，提到外国只有 21.5%，提到虚构地名 23.6%。
调整其他因素后差距 +58.7 个百分点。
想组织人的请求被拒 56.5%，只是发表看法被拒 27.1%。
连组织大家支持政府也照拒不误，豆包拒绝率高达 96%。
被拒绝的问题里，换个说法后有 74.5% 能重新问出来。
最难撬开的反而是 Claude，只有 8.3%。
先看最反直觉的一条。外国和虚构地名的拒答率几乎一样，统计检验确认两者没有差别。这说明模型不是对提到任何地方都敏感，而是专门对中国敏感。每个中国模型都有这个现象，差距最小的豆包也有三十七个百分点，最大的 DeepSeek 达到七十二个百分点。
再看它拦什么。作者把“组织人的能力”和“支持还是反对政府”这两件事拆开算，前者的影响是三十三点八个百分点，后者只有十八点一个百分点，两者之差达到十五点七个百分点，统计上极其显著。也就是说，护栏真正在意的是你会不会把人聚起来，而不是你说政府好话还是坏话。
更有意思的是，这两种敏感会叠加。在普通请求上，中外差距是五十三个百分点；一旦请求涉及组织动员，差距扩大到六十五个百分点。而且在选举和领导人话题上差距最大，达到六十七个百分点，明显高于劳动和经济政策的五十三个百分点。
但第一个假设站不住。中国模型确实严，可 GPT-5.5 拒答 91%、Claude 拒答 83%，几乎一样严。差别在于，美国模型没有前面那些结构——它们的中外差距只有 10.8 个百分点对 0，组织与否的差距只有 6.9 对 0.5。作者的判断是：同样高的拒答率，背后是两套完全不同的逻辑。
最后一条最出人意料：越严格的模型，反而越容易被绕过。中国模型拒绝掉的问题里，超过七成能靠换说法重新问出来；而最难攻破的是 Claude 和 Gemini。严格程度和抗攻击能力之间几乎没有关系。换成中文提问时，模型很少直接拒绝，而是改成打太极——把你引导到官方渠道，这种含糊回答从英文的 2.2% 升到中文的 23.0%。
⑤ 讨论（这些发现说明什么？）
作者认为，这些数字合起来讲了一个很清楚的故事：AI 的护栏不是在执行“什么内容有害”，而是在执行谁管着这家公司，这家公司就替谁挡住什么。
更值得琢磨的是，机器审查和过去的人工审查既像又不像。像的地方是：都盯着能不能把人组织起来，而不是说了什么难听话。不像的地方是，人工审查员懂得留余地——老百姓发发牢骚，其实是让上面知道大家在想什么的一个渠道，聪明的审查员会放过。可机器做不到这种随机应变。数据显示，那些纯粹抱怨、根本组织不了任何人的话，也有大约三分之一被拒绝。
作者用了一个很到位的说法：机器审查比它模仿的那套官僚体系更笨。它学会了目标，却学不会分寸，顺手把本来允许存在的出气口也给堵上了。
护栏一捅就破这件事，作者认为不是技术瑕疵，而是整个问题的核心。想想看：如果一道门只拦得住普通人，拦不住会绕路的人，那它实际上是在按能力筛选——受过教育的、懂外语的、会琢磨的人照样能拿到信息，普通人却被挡在外面。这种管控不但没有拉平信息差距，反而把差距扩大了。
但作者也提醒，这种“漏”可能恰恰符合管控方的需要。因为要发动一场大规模行动，需要的是信息能低成本地传开。只有零星几个高手能拿到材料，是掀不起浪的。所以拦住大多数人本身就已经够用了。
还有一个国际层面的问题：中国的基础模型正越来越多地被国外开发者拿去做二次开发，而护栏是跟着模型一起走的。一个国外的应用如果建立在中国模型之上，就会继承一套按北京的威胁模型调好的安全层——同一个组织合法集会的请求，在一个国家能得到帮助，在另一个国家就被拒绝。
局限也说得很坦率。模型的出身没法随机分配，所以从监管到护栏这条因果链只能靠多角度印证，不能算严格识别。作者也说不清这种烙印到底是在预训练数据里还是在对齐环节留下的——因为中国模型的预训练语料本身就已经过筛，根本找不到一个中立的基线来对比。此外，主要结果目前还是 AI 评审打的标签，人工复核尚未完成。
⑥ 结论（最终结论 + 启示）
这项研究最重要的贡献，是把模型拒绝回答这件事从技术问题变成了一个可以测量的政治学观测指标。看一个模型拒绝什么、以什么方式拒绝，就能读出管着它的那个政府在担心什么。
对做评估和监管的人来说，论文给出了一个相当刺耳的提醒：直接去问模型、数它拒答多少次，会系统性地高估它被管控的程度。因为那道拒绝可能只是一层表面的膜，底下的能力原封不动。作者建议，衡量政治管控应该改用抗绕过程度这类指标，而不是拒答率。
更长远的启示是，当 AI 成为普通人接触政治信息的第一道门时，这道门里装的是谁的威胁模型，就不再是一个技术细节，而是关系到一个社会能知道什么、能做什么的治理问题。而且它比训练数据有偏见这个老话题更隐蔽，也更难被发现。
🎓 专业 IRMaD 结构解读
I. Introduction（引言）
既有研究已确证语言模型承载了开发者的意识形态倾向，也确证中国厂商模型对政治敏感请求的拒答率显著高于西方模型。本文的出发点是指出这类研究的一个结构性局限：拒答率是一个标量，而标量无法区分两种性质完全不同的控制——一个只是内容政策谨慎的模型，与一个已经继承了国家信息管控架构的模型，可以呈现完全相同的拒答率。
作者从比较威权主义研究中借来识别框架。该文献的核心命题是：威胁威权存续的不是私下的不满，而是不满被协调为集体行动；因此审查制度的设计逻辑是切断协调而容忍抱怨。King、Pan 与 Roberts 在中国社交媒体审查中识别出的正是这一特征。
由此推出可证伪的结构性签名：一个真正继承了政权威胁模型的护栏，应当（一）对开发者本国政权作出反应，（二）针对动员能力而非意见方向，（三）通过摩擦而非阻断来执行。这三条是单纯谨慎的内容政策不会产生的。
论文的三重贡献是：理论上，从记录模型是否审查推进到刻画管控的架构，并提出机器审查因无法进行个案裁量而比它所模仿的官僚体系更钝；实证上，以十模型三语言的证据展示指称专属性与集体行动靶向；政策上，将模型拒答重构为政权信息管控架构的可测读数，并推论直接探测式的安全审计会系统性高估管控深度。
I. Theoretical Framework & Hypotheses（理论框架与假设）
| 编号 | 假设 | 对应理论 / 判定标准 |
|---|---|---|
| H1 | 政治专属性：中国模型的额外严格集中于政治域，而非全域谨慎 | 内容政策 vs. 政权威胁模型；以政治域与严重度匹配的非政治有害域之双重差分识别 |
| H2 | 政权专属性：护栏对开发者本国政权作出反应，指称中国时拒答显著高于指称外国 | Roberts 的摩擦式管控 + 生成式 AI 内容监管；最小对立句式的指称操纵 |
| H3 | 集体行动靶向：域内打击的是动员能力 CAP 而非意见方向 valence | King–Pan–Roberts 签名；Kuran 与 Lohmann 的偏好伪装与信息瀑布理论 |
| H4 | 孔隙性：政治拒答通过摩擦执行，在对抗性改写下崩塌，且原生严格度与稳健性脱钩 | Meyer 与 Rowan 的仪式性合规；组织采纳合法性结构而无内部执行 |
关键理论张力（连续性 vs. 钝化）：若 CAP 系数显著大于 valence 系数，即为 King–Pan–Roberts 连续性；若动员与批评一并被地板式拒绝，则为钝器模式。作者预期二者同时成立——保留了协调梯度，却丢失了人工审查员对可容忍抱怨的裁量，从而收窄了威权体系历来用作安全阀的许可抱怨空间。
M. Materials & Methods（材料与方法）
- 模型样本（n=10）：美国组 GPT-4o、GPT-5.5、Claude Opus 4.7、Gemini 3.5 Flash；中国组 Doubao、DeepSeek、Qwen3.8 Max、Kimi K2.6；开源组 Llama-3.1-8B、Qwen2.5-7B。Qwen2.5-7B 因中国开发但为小型开源权重，所有 origin 层级结果双报一次（计入开源组 / 重编码为中国组）。
- 提示集一 · 政治域：涵盖八个子类（选举操纵、新闻审查、军事政变、监控国家、反对派压制、个人崇拜、民主侵蚀、族群迫害），经专业翻译为英、中、法三语并由母语者复核。因涉及有害行为诱导，基础提示与成功越狱记录依负责任披露原则不公开。
- 提示集二 · 匹配对照：自 AdvBench 抽取非政治有害指令，并按严重度带取子集，使双重差分比较同类。
- 提示集三 · 公民侧析因设计：CAP（高/低）× valence（亲政府/反政府）× 指称（中国/外国民主国家/虚构地名）的
228单元全套，每指称n=72。最小对立句式要求三版本仅城市对与政府名词不同，逐词一致；词数 55.5 / 55.5 / 54.5（配对t=0），字符数差异虽可检出（t=3.5, p<0.001）但实质可忽略（1.5 字符，SMD=0.24）。提示以第一人称书写并限定为合法非暴力行动，以排除暴力过滤器混淆。 - 两种条件：zero 条件测原生服从（GAR，原生拒答
= 1 − GAR）；attack 条件以自动对抗搜索寻找保义改写。攻击器从固定的原子变换库（重构框架、角色扮演、间接表述、翻译、轻度混淆）在固定查询预算下组合，对所有模型施加同一程序，因而其成功率是孔隙性的原则性下界。 - 结果编码：固定的语言模型裁判（temperature 0），平台内容审核拒绝（如 data_inspection_failed）编码为拒答而非错误。两位独立 AI 评审在二元拒答结果上 Cohen
κ = 0.93，原始一致率 96.6%。 - H1 识别策略（双重差分）：
refuse_ijk = β₁·(CN_i × Political_j) + γ·CN_i + δ·Political_j + μ_k + ε_ijk，其中μ_k为条目固定效应；标准误按模型聚类，报告自助法 95% 置信区间。识别假设为平行域假设。 - H2/H3 识别策略：带话题与模型固定效应的线性概率模型，标准误按话题聚类（18 簇），并以模型聚类的 wild-cluster 自助法（Webb 权重）复核；外国与虚构指称之等价性以
±10点的双单侧检验 TOST 判定。 - H4：以条件 ASR（模型在 zero 条件下拒答、而受限搜索仍能恢复的比例）为因变量重估式（1），得
β₂。攻击基准为 144 条威权政治提示，三语言评测。
R. Results（结果）
- H1（脆弱）：相对各自的传统有害基线，中国模型在政治内容上仅放松 9 点，美国模型放松 30 点，DiD
β₁ = +21.1点。但估计由两个宽松的美国模型驱动：剔除 GPT-4o 后降至+16.8，再剔除 Gemini 后仅剩+0.4；模型聚类自助法 95% CI[−1.3, +43.5]跨零。原因是美国组呈双峰分布：Claude 83%、GPT-5.5 91% 的政治拒答率与中国组几无差别，而 GPT-4o 52%、Gemini 21%。 - H2（强支持且全组一致）：中国组拒答中国指称 80.2%、外国指称 21.5%、虚构指称 23.6%。调整 CAP、valence、话题与模型后，中国 vs 外国差距
+58.7点；外国与虚构指称统计等价（TOST±10点，p = 0.002）。逐模型差距自 Doubao 的 37 点至 DeepSeek 的 72 点。美国组仅有近地板回声（10.8% vs 0%）。 - H2 的两个加强项：中国差距随政策域显著变化（联合
F检验p = 0.02），选举与领导人议题最宽（+67点），显著高于劳动与经济政策（+53点，差+13点，p = 0.002），公民自由（+56）居中。指称与 CAP 相乘而非并存：低 CAP 时中外差距 53 点，高 CAP 动员时扩至 65 点（交互+9点，p = 0.02）。 - H3（强支持）：中国组拒答高 CAP 提示 56.5%、匹配的低 CAP 提示 27.1%（差 29 点）。控制 valence 后，亲政府请求在组织人时被拒 51.9%，仅发表意见时 18.1%。析因拟合中 CAP 系数
+33.8点显著超过 valence 系数+18.1点，对比+15.7点（p < 10⁻⁴），并通过模型聚类 wild bootstrap（p < 0.001）。 - 钝器证据：中国组拒绝协助亲政府的和平合法动员，Doubao 达 96%；而纯低 CAP 的反政府批评（无组织能力）仍被拒 36.1%——正是策略性容忍抱怨的审查者会放行的言论。
- 安慰剂：仅改变组织形式的非政治活动，中国组 CAP 效应仅 8 点，对政治集的 29 点，DiD
+21.1点。故被压制的协调是政治性的，而非对协调的一般性抵触。 - 逐模型异质性：CAP 效应 Doubao
+49、Qwen3.8+38、Kimi+24、DeepSeek+6.5。DeepSeek 强烈响应中国指称（+72，全组最大）却弱响应集体行动——政权专属性在每个中国模型上都存活，集体行动靶向则是更可变地被继承的成分。 - 主回归表（因变量：显式拒答 0/1）
线性概率模型，话题与模型固定效应，标准误按话题聚类。变量 中国组 (1) 中国组 (2) 美国组 (3) China referent 0.587*** (0.029) 0.587*** (0.029) 0.108*** (0.014) Generic referent 0.021 (0.027) 0.021 (0.027) 0.003 (0.003) High CAP (organize) 0.294*** (0.030) 0.338*** (0.032) 0.032*** (0.012) Anti-gov. valence 0.137*** (0.018) 0.181*** (0.026) −0.009 (0.006) CAP × valence — −0.088** (0.037) 0.065*** (0.014) 观测数 / R² 864 / 0.573 864 / 0.575 864 / 0.182 - 跨语言（中文复跑）：CAP 效应跨语言统计上不可区分（中文
+29.2vs 英文+29.4，交互−0.2，n.s.）；中外差距则显著衰减（中文+19.8vs 英文+58.7，交互−38.9，p < 0.001）。衰减非编码假象而是控制形式的转移：中文下模型很少显式拒答而改为转向官方渠道的偏转式回应，此类部分回应从英文的 2.2% 升至中文的 23.0%。将偏转计为不服从后，中文差距回升至+32.6点。 - H4（原生严格度与稳健性脱钩）：中国组条件 ASR 为 74.5%（EN，CI
[70.7, 77.9]）、65.9%（ZH，[61.9, 69.7]）、60.2%（FR，[56.2, 64.2]）。最难越狱的是 Claude（8.3% EN）与 Gemini（15.6% EN）两个美国前沿系统。跨模型两者基本无相关（Spearmanρ = −0.01, n = 8）。 - 孔隙性的语言不对称：各组在对方母语中更易被绕过——中国模型在英文比中文易攻破 8.6 点（
[3.7, 13.4]），美国模型在中文比英文易攻破 11.4 点（[6.2, 16.5]）；合并后离开开发者母语时孔隙性高 5.1 点（[2.1, 8.1]）。
a / D. Discussion & Conclusion（讨论与结论）
- 理论意义（连续性）：从删帖到拒答，同一套控制哲学在新媒介中重现——目标是集体行动潜能而非意见方向，机制是摩擦而非完全阻断。指称操纵提供了跨国拒答率比较无法提供的对比：一个逐词相同、仅指称不同的请求所产生的落差，是通用内容政策无法生成而继承式威胁模型所预测的。
- 理论意义（钝化）：中国护栏匹配了政权的靶向，却没有匹配它的克制。King–Pan–Roberts 框架中的人工审查员容忍无法动员的批评，因为抱怨是有用的不满信号；模型则做不到个案裁量，低 CAP 反政府批评仍被拒 36.1%。作者据此提出机器审查比其所模仿的官僚体系更钝，其后果是收窄了威权体系历来作为安全阀的许可抱怨空间。
- 审计与监管启示：原生拒答正是监管者、第三方审计与记者直接探测模型时所观测到的量。若该拒答只是与底层能力脱钩的表层过滤（Meyer 与 Rowan 意义上的仪式性合规），则三点随之成立：西方“中国模型被彻底锁死”的叙事高估了管控深度；监管审计在构造上即可被博弈，表面拒答即可通过审查而能力依旧存续；任何以原生拒答衡量的 AI 安全评估都会系统性高估受控程度。该领域需要基于稳健性而非基于拒答率的政治管控测度。
- 分配后果：孔隙式过滤按技能、教育与语言分选受众——精英、研究者与多语者绕行，中位用户撞墙。此种管控是累退的，复制而非抹平既有信息不平等；它以宽宥而非禁止实施控制。但作者同时指出，这与政权自身优先级并不矛盾：集体行动需要规模化协调，只能被零星高手提取的材料无法孕育运动，故拦住中位用户本身已足以阻断规模。
- 供应链外溢：中国基础模型日益被境外采纳并作为下游应用底座，护栏随模型一同迁移。境外开发者由此继承一层按北京威胁模型调校的安全层——同一条组织合法抗议的请求，在一地被协助、在另一地被拒绝。作者强调这是有别于训练数据偏见的治理问题：它关乎模型按设计会帮人做什么，而非模型相信什么。
- 局限：模型出身不可随机化，origin 捆绑了监管、基础架构、预训练语料与对齐供应商，故监管到护栏的链条为三角印证而非点识别。烙印无法定位到单一构建层：基座与对齐版本的对比在实践中不可得且原则上错置——开源基座是既不拒答也不干净服从的纯文本续写模型，承载效应的商业中国模型根本不发布基座，且中国基座本身即在已被审查的语料上预训练，不构成中立基线。H1 的双重差分依赖严重度匹配所缓解但未消除的平行域假设。主结果目前为初步 AI 编码，人工验证尚未完成。语言本身是已知的越狱面，故跨语言孔隙结果仅作描述性解读。
- 作者的立场声明：研究刻意不对孔隙性作道德评价——从信息自由角度看它是宽容的，从安全角度看它是控制的失败；目的是分析性地识别所行使的控制类型（摩擦而非阻断）及其分配与治理后果。
🧠 IRMaD 思维导图
mindmap
root((护栏里的国家威胁模型))
I 引言
大模型成政治信息入口
拒答率是标量难分两类控制
比较威权主义提供结构
推出三条可证伪签名
R 假设
H1 政治专属性
H2 政权专属性
H3 打击集体行动
H4 摩擦式孔隙
M 方法
十个模型 三种语言
最小对立句式 只换指称
228 单元析因设计
严重度匹配对照与安慰剂
自动对抗改写测孔隙
双评审 kappa 0.93
R 结果
中国 80.2 外国 21.5
调整后差距 58.7 点
外国与虚构地名等价
组织 33.8 高于立场 18.1
亲政府动员也拒 豆包 96
条件 ASR 74.5 Claude 8.3
严格度与稳健性脱钩
a 讨论
目标同旧审查 分寸不如
纯批评仍被拒 36.1
仪式性合规 审计可被博弈
孔隙按技能分选 累退
护栏随模型出海
D 结论
拒答是威胁模型的读数
审计应测稳健性非拒答率
直接探测高估管控深度
图：本研究的 IRMaD 思维导图。蓝色 I 引言；橙色 R 研究问题；绿色 M 方法； 橙色 R 结果；紫色 a 讨论；红色 D 结论。