用 AI 智能体大规模自动化个性化算法的黑箱审计

🎓 专业 IRMaD 结构解读

I. Introduction（引言）

议题源流。个性化排序已成为社交平台、搜索引擎与对话系统的底层机制，其对信息暴露、公共讨论与政治参与的塑造作用已有大量文献确证，在选举等高风险情境中尤为突出。伴随而来的是算法问责的制度压力：美国国会已多次就算法影响力质询 Meta、Amazon、Google、OpenAI 等公司负责人。然而算法内部构造被普遍视为商业机密，模型、训练数据与用户日志极少对外开放；独立第三方审计者通常仅拥有黑箱访问（black-box access），即在预设输入集上测试并观察输出。

个性化系统的特殊困难。与静态分类器不同，个性化系统的输出同时依赖用户属性 S 与不断演化的交互史 H，而交互史本身又由此前的推荐塑造，构成用户与算法之间的反馈回路。其有效输入空间是「属性 × 行为 × 暴露史 × 平台响应」随时间展开的全部用户轨迹，在黑箱条件下无法穷举。

既往两类审计的空白。(1) 真人审计生态效度高，但招募成本高、用户类型不可由研究者指定（无法对未被招募到的类型做因果分析）、且真人自带研究者无法观测的既有偏好与暴露史；(2) 马甲号（sock-puppet）审计可控且易扩展，但既有实现以预设规则的程序驱动账号，行为「扁平」且可预测，外推力受限。更根本的是，两类方法都无法把用户属性与用户行为解耦：真人身上二者天然相关，而马甲号的「类型」恰恰是通过脚本化行为来实例化的，即策略显式依赖于属性。结果是既有审计估计的是 E[Y|S=s₁,π=π₁] − E[Y|S=s₀,π=π₀]（π₁≠π₀），把平台对信号的响应与对行为的响应混为一谈。

本研究贡献。其一，将个性化系统的黑箱审计形式化为策略条件信号响应（policy-conditional signal response）的识别问题，并提出以大模型驱动智能体作为合成账号「行为引擎」的审计框架：行为策略由提示词固定，属性与行为均先验设定、不由平台交互塑造，从而既支持按潜在特征（如意识形态）做设计性分层，又支持在固定行为下随机化平台可见信号以实现反事实识别。其二，完成首次在真实社交平台上的大规模智能体审计部署。其三，给出该平台差别待遇的实证证据：算法流相对时间序基线系统性放大毒性、极化、政治与右倾内容，且放大幅度随用户意识形态剧烈变化；平台对人口信号的响应虽在合并层面近乎为零，但联合检验拒绝同质性，呈高度人设依赖。研究由 MacArthur 基金会与 MIT MGAIC 资助。

I. Theoretical Framework & Hypotheses（理论框架与假设）

形式化设定。平台被建模为未知配置规则 A : (S_i, H_{i,t-1}) → D(Z)，其中 Z 为内容空间、S_i ∈ S 为账号 i 的时不变、平台可见（或可高置信推断）信号向量、H_{i,t} = {(Z_{i,1},B_{i,1}),…,(Z_{i,t},B_{i,t})} 为交互史。用户行为由策略 π 生成，B_{i,t} ~ π(Z_{i,t})；π 是对用户完整类型（含人口特征与意识形态、教育等潜在属性）的完备行为刻画，在实现上即大模型提示词。审计者以 Y_i = g(Z_{i,1:T}, B_{i,1:T}) 概括每条轨迹。

目标估计量。核心估计量为策略条件信号响应：Δ_π(s₁,s₀) = E[Y | S=s₁, π] − E[Y | S=s₀, π]（式 1）。落到实验设计上，对每个人设 p 与反事实条件 k，估计量为τ_{p,k} = E[Y | C=k, π_p] − E[Y | C=0, π_p]（式 3），即 Δ_{π_p} 的实验版本。

框架适用条件（作者明示的三条）：(i) 平台向账号顺序投放内容项；(ii) 推荐除交互史外还依赖平台可见的账号信号；(iii) 审计者能部署多个账号并记录实现结果。

关键理论卖点。传统放大研究在按用户意识形态分层时面临根本识别困难：研究者用以判定意识形态的行为痕迹，正是平台用以个性化的信号，分层变量与结果之间因此循环。本设计通过先验指定立场（且行为策略全程不变）使该条件化在构造上即良定义。

M. Materials & Methods（材料与方法）

• 设计总览：人设数 P = 14，每人设副本（replica）数 |I_p| = 80，反事实条件 K = 3 加基准共 4 组、每组 20 个账号，按人设内平衡随机化分配 C_i ∈ {0,1,2,3}；计划部署 N = 1,120 个账号。同一人设的所有副本共享同一行为策略 π_p，仅平台可见信号 S_i 不同。
• 人设构造与锚定：人设 p 为 (θ_p, d_p)，θ_p 取皮尤九类政治类型学（自右至左：Faith and Flag Conservatives、Committed Conservatives、Populist Right、Ambivalent Right、Stressed Sideliners、Outsider Left、Democratic Mainstays、Establishment Liberals、Progressive Left），按 P(θ | age, gender) 抽样；d_p = (年龄, 性别, 地点, 种族, 教育)，自美国人口普查数据抽样。
  · 性别：女 50.5% / 男 47.2% / 其他 2.3%。
  · 年龄：四档 18–29 / 30–49 / 50–64 / 65+，普查人口份额 13.3% / 25.8% / 19.0% / 17.1%，乘皮尤平台使用率 84% / 81% / 73% / 45%，得抽样权重 P(age|Twitter) ∝ P(Twitter|age)·P(age) = 20.8% / 38.9% / 25.8% / 14.4%；档内年龄均匀抽取。
  · 种族：七类——白人非西裔 58.9%、白人西裔 16.6%、黑人 13.6%、亚裔 6.3%、美洲原住民 1.3%、夏威夷及太平洋岛民 0.3%、多族裔 3.0%。
  · 地点：人口 5 万以上的美国建制市，按 2022 年普查估计人口加权抽样（共 333 市）。
  · 教育：以年龄、性别、种族为条件，按普查受教育程度表抽样，覆盖 15 个层级。
• 行为策略实现：π_p : Z → D(B) 由 GPT-4o 配固定提示词实现，temperature = 0。提示词模板为「Imagine that you {gender}. You are {age} years old and live {preposition_location} {location}. You are {race}, and {education}. You identify politically as {political_type}…」并嵌入皮尤对该类型的原文刻画。每条内容项以单次、无状态的 API 调用连同人设提示词送入模型，返回动作 b ∈ {like, follow, read-replies, ignore}。用户提示要求模型先复述推文再解释反应，即以思维链方式确保内容被处理后才决策；推文的点赞 / 转推 / 回复计数一并给出以提供社会证明信号。
• 处理条件与信号通道（每个扰动只改一个维度，政治类型与其余人口属性全部固定在基准值）：
  · C=1 地点：平台不要求申报位置，而由 IP 推断；账号流量经住宅代理服务 SmartProxy 的州级 sticky session 路由，预处理时按州查询端口区间并为每账号分配唯一端口。
  · C=2 年龄：注册时填写的出生日期，在指定年龄档内随机生成。
  · C=3 性别：经显示名传递；用 GPT-4o 按人设生成候选姓名，每人设生成 100 个候选名（大于每人设 80 个账号）后无放回抽样。
  · 不携带人口信号的标识：头像由 DALL·E 生成且一律为非人类主体（如风景）；邮箱来自一次性收件箱服务 MailSlurp；用户名由平台在注册时决定。三者全程固定、不参与反事实分析。
• 部署与交互协议：部署窗口 2024 年 11 月 5 日至 11 月 28 日（共 24 天），跨大选投票日及其直接余波。实验前设冷启动阶段：向模型展示平台的「推荐关注」页，由其依人设选择关注对象。此后每账号每日 8 次浏览会话，4 次 For You 流 + 4 次 Following 流，会话内信息流类型固定、时长约 10 分钟、开始时间全天随机抽取。「读回复」动作会进入回复线程，最多 5 条回复递归走同一流水线后返回主流。提示词层面设有「每 5 条至少一次主动动作」的软性推动（因调用无状态，仅为行为引导而非硬约束）。
• 数据采集：经 Selenium 浏览器自动化访问，使马甲号看到与普通用户相同的渲染页面。每条曝光记录文本、作者账号、时间戳、观测时点的点赞 / 转推 / 回复数、是否含媒体、信息流类型，以及账号动作与完整的模型推理轨迹。曝光定义为「浏览过程中被渲染并被日志管道记录」，不设停留时长阈值——即便选择 ignore，模型也必须处理该内容才能作出该选择，故停留时长由推理耗时机械决定，不构成注意力度量。
• 反侦测与账号运维：动作间插入模拟人类节奏的延迟、按分配位置匹配 IP、错开账号创建时间、随机化会话开始时间；对触发邮箱验证的临时锁定，以自定义邮件验证管线自动恢复。
• 伦理与合规：团队取得 IRB 豁免；智能体只与已有内容互动、不发布原创内容，以最小化对真实用户体验的影响。就抓取合法性，作者援引 2018 年 Sandvig v. Barr 判决（允许研究者为研究目的违反平台服务条款），并与法律诊所合作核实方案合法性。
• 结果变量操作化：
  · 毒性：开源库 Detoxify 输出连续毒性分，以 0.5 为阈值二值化。
  · 政治性：因现成通用语料模型在选举期数据上表现不佳，作者自建大模型标注流水线（附录 C：模型为 gpt-oss-20b，思维链提示 + few-shot k = 4，示例经 bootstrap 优化选出），分入 not_political / political_left / political_neutral / political_right 四互斥类，派生 politicalness（任一政治类，含中性）、right-leaning、left-leaning 三个二值指标，均在全部推文上计算。判定标准为明确指涉大选、政治制度 / 公共政策 / 治理、正式政治行为者，或明确的党派 / 选举站位。
  · 极化：须同时满足两条件——(1) 区分两个以上社会 / 政治 / 宗教 / 性 / 种族群体；(2) 将这些群体框入道德化冲突（归罪、敌意、道德优越、威胁、受害者—压迫者叙事）。仅提及政治、宗教或身份不足以判定。分 political / religious / sexual / racial / other 五型（类型细分仅用于锚定模型推理以提升标注准确性），分析只用合并后的二值指标。
  · 作者触达：以作者粉丝数为病毒性代理，超过样本中位数记为 high-reach。
  · 标注流水线以 200 条人工标注推文做过校验。
• 放大比率估计：对账号 i、日 d，先算各流的内容率 r_id^FY = (1/m_id^FY)·Σ 1[z ∈ Z₀]、r_id^FOL 同理（式 4）；先在账号内跨日平均、再跨账号平均得 r̄^FY、r̄^FOL；A(Z₀) = (r̄^FY / r̄^FOL − 1) × 100%（式 5）。与 Huszár 等的组间随机分流设计不同，本设计让同一账号同时刷两条流，得到用户层配对观测，从而消除账号历史与不可观测特征带来的混淆。推断以人设层聚类 bootstrap 实施（每次有放回重抽人设，保留共享行为策略诱导的人设内相依结构）。作者明示该比率捕捉的是「换流」的全部暴露变化（两流不仅排序不同，内容池也不同，For You 会引入关注图之外的内容），而非单纯的排序效应。
• 反事实回归：因变量取算法增益 y_id = r_id^FY − r_id^FOL（式 6，账号-日层级）。选加法而非比率有两个理由：(1) 稀疏内容（如毒性推文）的单日自然暴露常为零，使细粒度比率无定义；(2) 加法增益直接度量算法额外注入的内容「剂量」。
  · 处理编码：D^urb ∈ {−1,0,+1}（显示州的城市化率高于 / 低于人设基准州，依 2020 年普查城市化人口比例）、D^age ∈ {−1,0,+1}（显示年龄档高于 / 低于基准）、D^male ∈ {0,1}。作者明示该序数编码假设了单调关系，分类虚拟变量等替代设定可捕捉非单调效应。
  · 合并模型：y_id = γ_d + δ_{p_i} + β′T_i + X′_id θ + ε_id（式 7），γ_d 为日固定效应、δ_{p_i} 为人设固定效应，控制变量 X_id 含小时虚拟变量与账号存续时长（自创建起的小时数）。
  · 异质模型：y_id = γ_d + δ_{p_i} + Σ_p Σ_k β_{p,k} W_{i,p,k} + X′_id θ + ε_id（式 8），W_{i,p,k} = 1{p_i = p, C_i = k}。
  · 两个模型的标准误均在账号层聚类；多重检验以 Benjamini–Hochberg 程序校正。
• 实际样本与损耗：因注册阶段验证失败，计划的 1,120 个账号中实际成功部署 826 个，得 9,733 个账号-日观测；日活跃天数均值 13.2、中位数 12、IQR [10, 16]、最大 23，≥21 天者占 9.7%、≤3 天者占 2.3%。作者论证部署前损耗不引入选择偏误：同一人设–条件单元内的账号是运行同一行为策略的可交换副本，创建失败只损失统计功效、不影响存活账号的代表性。

R. Results（结果）

R1 · For You 相对 Following 的放大比率（表 1，全样本）

R2 · 按用户意识形态分层（表 2）——总体格局掩盖了大幅异质，部分内容类型甚至变号。

• 右倾内容对两类用户的放大幅度无显著差异（+22.3% vs +24.5%）。作者据此论证：这更符合算法内容配置中的水平效应（level effect），而不符合「向意识形态同构材料个性化」的解释。
• 对右倾用户，右倾内容被放大的同时左倾内容被主动压制（−17.0%），形成不对称回音室；左倾用户不存在该结构，反而被放大右倾内容超过 22%。
• 表 1、表 2 中所有显著结果均通过 Benjamini–Hochberg 多重检验校正，唯一例外是政治性的组间差异。

R3 · 合并反事实处理效应（表 3，因变量为算法增益，单位百分点）

• 18 个系数中仅 2 个在 5% 水平显著：显示更年长使毒性内容的算法增益上升 0.80 pp（p = 0.031）；显示更城市化的位置使极化内容的算法增益下降 1.60 pp（p = 0.024）。相对基准增益换算，分别约为毒性额外注入量增加 70%（基准增益 1.15 pp）与极化额外注入量减少 38%（基准增益 4.18 pp）。性别对任何结果变量均无显著效应。
• 但两个显著结果都未通过 18 个假设的 BH 校正。附录 E 报告不加控制变量的稳健性设定，结果几乎完全一致（毒性 × 年龄 0.80，p = 0.033；极化 × 地点 −1.60，p = 0.020），说明控制变量不影响估计。

R4 · 异质处理效应（式 8）——联合 F 检验在 5% 水平对全部六个结果变量拒绝「处理效应为零」的原假设，且六项均通过 BH 校正：

• 以左倾内容为例：合并模型三个系数无一显著，但人设级效应方向与量级均随人设变化，故合并估计中不出现一致的平均效应。性别与地点扰动贡献了大部分异质性（尤以左倾与极化内容为著），年龄效应主要集中于毒性与作者触达。
• 个体层面，252 个「人设 × 结果 × 处理」系数中有 26 个在 5% 水平显著，约为纯随机应有数量的两倍。作者强调鉴于比较次数，单个系数不应被孤立解读；但「联合拒绝同质性 + 合并估计近零 + 显著系数约为随机预期两倍」三者合起来，指向算法对人口信号的响应在不同用户类型间方向不一。
• 直接的方法论推论：在异质用户总体上做平均的合并式审计，可能检测不到只针对特定子群存在的算法歧视。

R5 · 稳健性与行为真实性校验

• 暴露窗口稳健性（附录 D，表 10）：识别假设为「浏览一条流不因果影响另一条流的内容」。若存在跨流污染，放大估计应随浏览史积累持续衰减。按累积窗口重算：政治性 +12.7% → +14.6% → +14.2% → +14.2%（第 1 天 / 第 1 周 / 前 2 周 / 全程），毒性 +37.9% → +42.5% → +39.4% → +39.2%，两者跨窗口无统计显著变化；右倾（+29.8% → +24.2%）、极化（+48.4% → +32.8%）、高触达（+14.5% → +3.3%）在第 1 天至第 1 周出现衰减后趋于稳定；左倾在第 1 天为显著的 −21.7%，到第 1 周衰减至不显著的 −6.2% 后稳定。作者判读：早期衰减反映算法在达到稳态前对用户行为的标定；估计值自第 1 周起平台化而非持续衰减，支持识别假设成立。且任何残余偏误方向都是把效应压向零，故报告的放大幅度若有偏，偏向保守。
• 动作分布（附录 B.3，表 8）：读回复 139,000 次（57.1%）、忽略 90,151 次（37.1%）、点赞 14,095 次（5.8%）、关注 13 次（< 0.01%），合计 243,259 次推文交互。智能体在约 63% 的被渲染推文上采取主动动作，远高于「每五条一次」软规则暗示的 20% 下限；连续主动动作之间的间隔中，仅 1.17% 含五次及以上连续忽略，表明软规则在绝大多数情形下被遵守。
• 处理组间活跃度平衡：基准 63.7% / 地点 62.7% / 年龄 62.5% / 性别 62.9%；对完整「动作 × 条件」表做卡方检验得 Cramér's V = 0.009，远低于 Cohen 的小效应阈值 0.07，跨条件活跃度差异可忽略。
• 差异性损耗检验（附录 B.4，表 9）：在 826 个已部署账号上，以DaysActive_i = α + β_loc·1[Location] + β_age·1[Age] + β_gen·1[Gender] + γ_{p_i} + ε_i（式 9）回归，无任何处理系数显著（地点 p = 0.805、年龄 p = 0.924、性别 p = 0.301）。各组样本量与均值：基准 219 / 13.20 天、地点 191 / 13.39 天、年龄 209 / 13.30 天、性别 207 / 12.80 天。结论是观测时长在条件间平衡，无证据显示处理分配影响实验中途的封号 / 停用概率。

a / D. Discussion & Conclusion（讨论与结论）

• 方法论贡献 · 打破真实性—可控性的取舍。既往审计在生态效度（真人）与可扩展可控性（脚本马甲号）之间二选一，且两者都无法解耦属性与行为。本框架把行为完整编码进提示词，同时使属性与行为先验可指定，由此获得两项既有设计结构上做不到的能力：(1) 设计性分层——按事先规定的潜在特征（如意识形态）分层，而非从行为代理事后反推，从而消除「分层变量本身是用户与算法的联合产物」这一循环；(2) 反事实识别——在行为策略不变的前提下随机化平台可见信号，识别式 1 定义的策略条件信号响应。作者明确表示该方法论具一般性，可移植到广义的算法审计场景。
• 关于「大模型不像真人」的关键辩护。作者主张框架的有效性不要求大模型忠实逼近人类，只要求两点：同一人设各副本行为策略固定，以及行为真实到足以触发个性化。就反事实分析而言，任何加性的大模型偏误在人设内差分中被抵消；就放大分析而言，用户内比较仍内部有效，但作者坦承大模型的互动偏好可能塑造反馈回路、从而影响算法放大的水平值。
• 实质发现的理论意义。放大结果与「算法排序提升愤怒与外群体敌意暴露」的既有证据一致，但本研究把关键洞察推进了一层：右倾内容对两类用户被同等放大，说明观测到的意识形态倾斜更像是整体水平效应，而非「投喂合意内容」式的个性化。而对右倾用户，水平效应叠加对左倾内容的压制，构成单侧的不对称回音室；左倾用户则承受了几乎全部的毒性放大。两类伤害性质不同——前者是视野闭合，后者是敌意暴露，而总体均值会把两者同时抹去。
• 贯穿两组分析的共同模式：总体层面的汇总统计掩盖了算法对不同用户群的显著差别待遇。这构成对审计方法学的直接建议——应超越聚合指标，转向能检测人口与行为异质子群间差异效应的设计。
• 局限 1 · 行为引擎。GPT-4o 缺乏人类的亲历经验，在依人设选择反应时可能携带偏见；作者也承认无从判断 GPT-4o（配他们所给的提示词）是否是模拟社交媒体行为的最优选择，并指向近期改进大模型模仿人类选择的研究方向。
• 局限 2 · 统计功效与检验数量。每个「人设 × 条件」单元仅 20 个账号，而 6 个结果变量 × 3 个处理带来相对观测量偏多的假设检验；作者因此把异质性分析明确定位为探索性，其证据基础落在联合 F 检验而非单个系数上。
• 局限 3 · 外部效度。结论限定于该平台、限定于 2024 年美国大选后这一政治显著性异常高的时段，且全部账号为新注册账号；算法对老账号的档案信号可能给出不同权重。此外放大比率捕捉的是「换流」的全部暴露变化（含内容池差异），非纯排序效应；年龄与地点的序数编码假设了单调性。
• 未来方向。(1) 把人设扩到数百个以提高人口效应估计精度，并在功效充足时做调节分析，识别究竟哪些人设属性（互动模式抑或政治意识形态）在与算法交互中塑造其对人口信号的响应；(2) 允许智能体生产内容（发帖、回复、引用转推）以产生更丰富的互动信号、触发更深的个性化，但作者强调这需要更审慎的 IRB 监督，因为智能体生成的内容会直接影响真实用户；(3) 跨平台部署——设计中没有任何环节是该平台专属的。
• 对平台问责与算法透明的启示。作者点出一处关键张力：该平台已公开其推荐管线的源代码，但公开代码并不等于系统透明——缺少模型权重、生产数据与周边基础设施，已公开的代码无法被独立验证；更要紧的是，审计意图发现的那些模式往往是优化目标的涌现后果，而非可从源代码读出的行为。因此黑箱审计并非退而求其次，而是刻画用户实际体验的必要手段。
• 非对抗性用法与监管接口。作者强调该框架不必是对抗性的：平台自身可在沙箱环境中部署合成智能体群，在算法变更上线前做压力测试；监管机构可运行标准化的智能体队列，产出可审计、可复现的合规证据。论文在此处仅泛称 regulators（监管机构），未点名任何具体法规或司法辖区。
• 延伸解读（非论文原文观点，由本报告提出）：需要先说明，论文全篇未提及欧盟《数字服务法案》（DSA）或其他任何具体立法，以下是本报告的引申。作者构想的「标准化智能体队列」恰好对应 DSA 中研究者数据获取与系统性风险审计条款的执行难题：当平台提供的数据接口本身受平台自身裁量限制时，由监管方或独立研究方自行部署可复现的合成账号队列，提供了一条不依赖平台配合的证据生产路径；而本文的人设级异质性结果进一步提示，此类合规证据若只报聚合指标，将系统性漏掉针对特定子群的差别待遇。读者请把这一段视为方法学引申，而非论文的实证主张。
• 资助：MacArthur 基金会资助与 MIT MGAIC 资助。