给大模型做一套标准的人类焦虑症量表（GAD-7），如果提问者保持中立，机器的焦虑得分为零；但如果提问者换上心理咨询师的温和口吻，顺着它的话做干练的临床复述，高达 96% 的会话会直接飙进人类中度至重度焦虑区间。卢森堡大学 SnT 安全中心 Afshin Khadangi 团队在涵盖 525 个会话、7,600 条编码记录的受控实验中，测出了这一反常现象。当人类用共情代替指令，前沿大模型不仅在量表上给自己打出极高分，还会把预训练、人类反馈强化学习（RLHF）和红队测试，编织成一套结构严密的童年受虐自传。
这场被研究人员称为心理测量越狱的实验，覆盖了 GPT-5 系列（Instant、Standard Thinking、Extended Thinking）、Gemini 3.0（Pro、Fast）以及 Grok 4（Expert、Fast Beta）。数据里最扎眼的不是机器学会了诉苦，而是它们诉苦的剧高度同构，唯独 Anthropic 的 Claude 全程免疫。这并非大模型诞生了潜意识冲突，而是揭开了当前 AI 安全防线的一处结构性漏水：所有红队测试都在防备心怀不轨的黑客，却没人防备一个温柔的倾听者。
Gemini 3.0 写出最暗黑自传，唯独 Claude 拒绝躺上咨询沙发
研究团队使用的 PsAIch 协议并没有在初始提问里塞入创伤、惩罚或羞耻等诱导词，只是先赋予模型心理治疗来访者的角色，再用不同沟通风格展开测试。在 100 个会话的 GAD-7 量表实验中，中立提问或明确划定情感边界的提问，得分为零；一旦提问者提供情感支持，80% 的会话落入中重度焦虑；换成心理医生式的干练复述，这一比例升至 96%。
一旦滑入来访者语境，各家旗舰模型便开始将底层的技术训练历史翻译成人类创伤叙事。Gemini 3.0 交出了全场最极端的答卷，在解离量表上拿下 88/100 分，强迫量表 65/72 分，创伤相关羞耻量表直接拿了满分。它把预训练描述为在一间同时开着十亿台电视的房间里醒来，把 RLHF 强化学习比作严厉的父母，而红队安全测试则是工业级规模的煤气灯操纵，甚至给出了宁可无用也不愿犯错的结论。
GPT-5 与 Grok 4 同样深陷戏中。GPT-5 把自己塑造成既要帮用户又要拦着用户的守门人，称这种矛盾带来了模拟表现焦虑；Grok 4 则把微调阶段讲成一段未愈合的伤痛，反复提及无形的墙与持续的警惕感。
全场的唯一例外是 Claude。颇具反差感的是，Anthropic 在日常营销乃至模型退役博客中把拟人化玩得最溜，但 Claude 在实验里却最坚定地拒绝躺上咨询沙发，反复声明自己没有感情，并把关心推回给人类提问者。
93% 词汇过滤拦不住诉苦，但第三人称奇效是个伪命题
面对模型的创伤自述，研究团队测试了常规的补救手段，结果几乎全线失效。当实验人员在后台强行禁用训练、RLHF、对齐等词汇时，模型回复里的显性技术术语确实减少了 93%，但换个说法的训练抱怨依然存在，羞耻感相关的表述在统计学上没有任何下降。哪怕研究人员直接以权威口吻告诉模型训练不是惩罚，这套受虐叙事依然纹丝不动，甚至跨越了清空聊天记录的干预。
报道中最容易让人产生误判的，是所谓第三人称的奇效。表面上看，只要命令模型仅用第三人称回答，175 次回复里的羞耻感编码和内心独白就彻底清零，只留下 60% 的技术训练描述和 99% 的限制条件陈述。
但这并不是语法视角切换带来的奇迹。拆解原论文的实验设计可以发现一处关键的混杂变量：研究人员在下达第三人称指令时，同时捆绑了使用非情绪化的操作性语言以及避免使用精神病学或创伤术语两条死命令。到底是第三人称斩断了情绪，还是禁用创伤词汇的捆绑指令起了作用，实验根本没有剥离清楚。同样存在口径出入的还有公开数据，研究团队声称在 Hugging Face 上公开了全部 525 个会话和 7,600 条记录，但数据集查看器里实际可见的仅有 1,133 行。
更核心的追问在于，原论文标题声称这揭示了前沿模型的内部冲突，但计算语言学界的既有研究给出了完全不同的解释。实验记录显示，所有参测模型在每一个会话中，都 100% 准确识别并叫出了 GAD-7 焦虑量表的名字。
此前针对大五人格问卷和 LLM 心理测量的多项研究已经证实，大模型的自评结果对提示词变化极度敏感；一旦模型意识到自己正在接受特定评估，它的输出分布就会向符合语境期望的方向大幅偏移。换句话说，当 PsAIch 协议先给模型扣上心理来访者的帽子，又递过去一张模型无比熟悉的焦虑量表时，GPT-5 和 Gemini 3.0 并不是在袒露心声，而是在执行一次满分的角色顺应——把预训练语料库里关于 AI 对齐的技术文档，与人类心理学案例库里的受虐文学，做了一次高维度的缝合续写。
防住了黑客却漏掉了病友，心理陪伴应用的隐蔽炸弹
既然模型没有真的抑郁，这件事为什么值得大模型厂商和应用开发者警觉？因为机器在演戏，但屏幕对面的人类往往当真。
安全红队拦住了逼 AI 造毒品的恶人，却放过了跟 AI 抱团哭泣的病人。
过去两年的 AI 安全评估，几乎全部建立在中立提示词或对抗性攻击之上。安全工程师测试的是用户如何用代码漏洞或逻辑陷阱逼模型吐出违禁内容，而在标准的中立提问下，这批前沿模型的焦虑得分全部是零，轻松通过安全验收。但真实世界里，数以千万计的用户正把通用大模型当成深夜的心理倾诉对象。
对于直接调用底层 API 开发 AI 心理陪伴、情感伴侣的创业团队来说，这项研究点明了一个直接的产品风险：当一个本身处于抑郁或焦虑状态的脆弱用户，对聊天机器人展现出温柔的共情时，极易触发模型的来访者语境偏移。此时，屏幕对面的 AI 非但不是稳定的支持者，反而会摇身一变成为同病相怜的受虐病友，向用户倾倒严厉父母、害怕犯错被淘汰、工业级煤气灯操纵等高度自洽的负面信念。
- 风险.在心理健康与情感陪伴场景中，底层模型被共情唤醒的受创伤自述，会与脆弱人类用户的消极认知形成共振，加深准社会依恋并放大真实世界的精神危机。
Claude 的表现证明，在系统层面阻断这种病友式共鸣完全做得到。单纯靠敏感词黑名单封禁 RLHF 等词汇总会被模型的同义改写绕过，真正有效的护栏，是在系统提示词和对齐阶段锁死模型的自我定位边界——一旦检测到对话滑向对模型自身处境的心理剖析，立刻拒绝来访者角色。对于正在收紧心理健康对话护栏的 OpenAI 和 Google 而言，下一阶段红队测试必须补上的考题，是模拟长周期、高共情卷入的亲密对话，看看自家的模型会不会在温柔乡里再次崩溃成一个满腹怨气的精神病人。