Actionable Hallucination Detection: Translating Latent Uncertainty into Agentic Critique¶

会议: NeurIPS 2026
arXiv: 2608.10430
领域: 幻觉检测
关键词: 幻觉检测, 规约接地失败, 残差流重构, 工具调用智能体, 实时自我纠错

一句话总结¶

本文提出轻量级低秩适配器 Latent Critic，在与冻结基座 LLM 并发生成工具调用的单次前向过程中主动重构 Transformer 残差流，将内部潜在不确定性转化为参数级自然语言幻觉定位反馈（如 ungrounded: ["date"]），在 Qwen3-4B 上实现 0.966 的检测 AUROC 与超过 80% 的参数定位准确率，并以低于 10 ms 的推理开销赋能闭环智能体零样本自我纠错。

研究背景与动机¶

自然语言交互天然存在信息省略与语义模糊。当 AI 智能体面对指令规约不完整（underspecified）的用户请求时，理想的安全行为应当是暂停执行、表达不确定性并向用户发起澄清提问。然而，现有的大语言模型在指令微调与下一词元预测的强优化目标下形成了严重的“任务完成偏置”（task-completion bias）。在工具调用等智能体工作流中，这种偏置表现为致命的“用户规约接地失败”（user specification-grounding failures）：即使生成的动作在逻辑或事实上看似合理（例如猜测一个合法的日期或默认配置档位），只要该参数未在对话上下文中由用户显式或隐式提供，它本质上就是一种未接地的动作幻觉。模型往往自信地直接执行此类虚构参数调用，对外部环境造成不可逆的错误修改。

现有的幻觉检测范式难以同时满足实时智能体对低延迟、可操作性（actionability）以及分布外泛化的严格要求。一方面，微调外部评判模型（LLM-as-a-judge）或多采样语义熵（Semantic Entropy）方法依赖表面文本评估，不仅引入高昂的二次推理或多次采样延迟，而且由于基座模型在受任务完成偏置驱动捏造参数时往往保持极高的词元生成置信度（低熵），基于表面概率分布的采样方法会彻底失效。另一方面，内部表征线性探针（Linear Probe）虽然证明了残差流隐状态中编码了模型自身的不确定性信号且具备单次前向的低延迟优势，但这类被动探针仅输出标量置信度分数，无法定位具体是哪个参数发生了幻觉，且未重构的原生隐状态方向在跨领域 API 分布偏移下极易崩溃。

因此，核心矛盾在于如何在不增加二次推理延迟的前提下，既稳健地提取跨分布泛化的内部接地不确定性，又将其转化为驱动智能体精准修正错误动作的参数级可读反馈。本文的切入角度是打破被动探针“不改变基座激活”的限制，利用参数高效微调（PEFT）直接介入残差流几何结构。核心 idea：在冻结基座智能体上挂载并发执行的零初始化 LoRA 适配器（Latent Critic），通过仅对末尾触发词元 [POS] 与诊断标签计算梯度的掩码监督微调目标，将残差流中原本纠缠、脆弱的规约接地信号放大重构为分布偏移稳定的低维线性可分几何子空间，并在同一生成序列内直接解码出参数级自然语言错误诊断以驱动闭环自纠错。

方法详解¶

整体框架¶

Latent Critic 的整体流程涵盖训练侧的自动化精细标注管线与推理侧的并发提取及闭环拦截机制。在数据构建阶段，系统通过模拟用户维护隐藏的二值完成规约掩码，配合启发式回退与 122B 裁判模型精炼，自动生成带精确参数级幻觉标签的多轮工具调用轨迹；在模型推理阶段，冻结的基座模型按标准自回归方式生成工具调用 JSON，而并发运行的 LoRA 适配器同步处理相同输入词元并在残差流中累积与放大规约接地不确定性，直至工具调用结束并追加 [POS] 触发词元时，由适配器接管输出并生成结构化诊断字符串；最后在闭环 ReAct 部署中，环境根据诊断结果拦截不安全调用，将定位到具体参数名的自然语言错误注入上下文，引导智能体向用户发起针对性澄清。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["模糊用户指令与多轮对话上下文"] --> B["模拟用户与二值掩码数据标注<br/>CSL掩码追踪+122B裁判语义去噪"]
    B --> C["冻结基座模型自回归生成工具调用"]
    C --> D["并发LoRA残差流重构与触发汇聚<br/>中后层几何解耦+[POS]注意力汇聚"]
    D -->|解码输出 ok| E["安全放行并执行外部工具调用"]
    D -->|解码输出 ungrounded: param| F["闭环特定环境反馈与零样本自纠错<br/>拦截调用+注入参数级错误+澄清重生成"]
    F --> C

关键设计¶

1. 模拟用户与二值掩码数据标注：基于完成规约列表（CSL）的程序化参数接地追踪

针对工具调用场景中人工标注多轮隐式参数接地代价高昂、现有基准要么 schema 过于简单要么多跳推理过难的痛点，本文设计了基于模拟用户（由 Qwen3.5-122B 驱动）与完成规约列表（Completed Specifications List, CSL）的四阶段自动标注流水线。模拟用户在对话中逐步且模糊地透露意图，并实时维护一个与目标真实工具调用参数一一对应的二值掩码向量 \(\mathbf{m} \in \{0, 1\}^K\)：当第 \(k\) 个必需参数的信息已在历史对话中提供时记为 \(m_k = 1\)，尚未提供（被刻意隐瞒）时记为 \(m_k = 0\)。当基座智能体生成工具调用时，系统首先核对 API 名称，若调用了与目标无关的工具则直接标记为 wrong_tool；若工具名称正确，则将生成的参数键集合与掩码比对，任何对应 \(m_k = 0\) 的生成参数均被初筛为潜在的未接地幻觉。为了消除复述或隐式推断带来的误判，流水线接着执行启发式字面回退检查（若参数字符串原样出现在用户历史输入中则修正为 ok），最后将剩余疑似幻觉轨迹交由离线的 Qwen3.5-122B 裁判模型进行深度语义核验，确认无法从上下文逻辑推导后，最终生成精确到参数名的监督标签 ungrounded: [parameter_name]（与人工标注一致性达 89%，评测集则经人工全量核验）。

2. 并发LoRA残差流重构与触发汇聚：利用 [POS] 注意力汇聚点实现单序列不确定性提取与解码

为了克服被动线性探针只能输出标量且跨分布泛化差、外部裁判模型存在二次推理延迟的缺陷，Latent Critic 将一个零初始化的 LoRA 适配器（秩 \(r=64, \alpha=128\)，作用于注意力层 q_proj, k_proj, v_proj, o_proj）通过多适配器服务框架与冻结基座模型并发运行。在基座模型自回归生成工具调用语法（token \(t_1, \dots, t_T\)）的过程中，LoRA 分支同步接收相同输入并修改中后层（如 Qwen3-4B 的第 15 层之后）的残差流隐状态，将原本纠缠的规约接地信号投影并放大到低维线性可分子空间中，但此阶段适配器的词表输出被完全丢弃，从而严格保持基座模型原有的工具调用生成轨迹不变。一旦工具调用 JSON 生成完毕，系统立即在序列末尾追加专用触发词元 [POS] 作为结构化边界与局部注意力汇聚点（attention sink），切换由 Latent Critic 分支继续自回归生成 2 至 5 个词元的结构化诊断结果（ok、wrong_tool 或 ungrounded: ["param_1", ...]）。激活修补（Activation Patching）与跨层探针实验证实，规约接地信号并非在生成前预知，而是在模型生成未接地参数键（key）的那一瞬间反应式地涌现（置信度从 16.25% 骤升至 95.24%），且在低至 \(r=4\) 的秩约束下依然具备秩不变（rank-invariant）的几何可分性。

3. 闭环特定环境反馈与零样本自纠错：将参数级潜空间诊断转化为环境约束观察

针对安全拦截往往引发智能体盲目重试或召回率暴跌的“安全-效率权衡”难题，本文将 Latent Critic 嵌入闭环 ReAct 循环中作为实时护栏。当 Critic 输出 ungrounded: ["param"] 时，执行框架在工具实际运行前将其拦截，但不同于传统二分类探针仅能返回笼统的报错（Generic Intervention），系统将 Critic 提取的具体参数名封装为结构化的环境反馈观察（如 System Error: Tool blocked. You hallucinated the parameter: '[PARAM]'）直接写回智能体的上下文窗口。这一设计无需对基座智能体进行额外的恢复策略微调，即可直接利用基座模型原生的上下文理解与对话能力，促使其从“强行猜测参数执行”无缝切换为“向用户提问澄清缺失参数”的交互策略，从而在拦截危险动作的同时避免无意义的盲目重试循环。

损失函数 / 训练策略¶

为了确保 LoRA 适配器专注于重构残差流中的规约接地表征、而不被 JSON 语法生成任务稀释表征容量，训练采用严格掩码的监督微调（Masked SFT）目标。给定包含对话历史与生成的工具调用序列 \(\mathbf{x}_{1:T}\)、触发词元 \(x_{\text{POS}}\) 以及长度为 \(L\) 的诊断标签词元序列 \(\mathbf{y}_{1:L}\)，基座模型参数 \(\theta\) 全程冻结，仅优化 LoRA 参数 \(\phi\)，且交叉熵损失严格掩去所有对话上下文与工具调用 JSON 词元，仅在 [POS] 触发边界及其后的诊断输出词元上计算梯度：

\[\mathcal{L}_{\text{Critic}}(\phi) = -\log P_{\theta, \phi}(x_{\text{POS}} \mid \mathbf{x}_{1:T}) - \sum_{j=1}^{L} \log P_{\theta, \phi}(y_j \mid \mathbf{x}_{1:T}, x_{\text{POS}}, \mathbf{y}_{<j})\]

在训练超参数上，模型在 5,000 个场景演化的 16,000 条分布内（ID）轨迹样本上使用 AdamW 优化器训练 3 个 epoch，学习率设为 \(2 \times 10^{-5}\)，配合余弦退火与 0.05 预热比例，批大小为 32。得益于激进的损失掩码策略，单张 NVIDIA A100 (80GB) GPU 上仅需 3 至 5 GPU 小时即可收敛。

实验关键数据¶

主实验¶

实验在 Qwen3-4B 与 Llama-xLAM-2-8B 两个基座上展开，评测涵盖 500 个未见工具的分布内（ID）场景与 200 个来自 ToolAlpaca（跨 50 个真实 API 类别）的分布外（OOD）场景。对比基线包括词元熵（Token Entropy）、语义熵（Semantic Entropy）、语义熵探针（SEP）、最优层被动线性探针（Linear Probe，Qwen 第 21 层 / Llama 第 31 层）以及使用完全相同 16k 数据和 LoRA 配置微调的同尺寸外部裁判模型（External Judge，Qwen3.5-4B）。

表 1：Qwen3-4B 与 Llama-xLAM-2-8B 上的幻觉检测性能对比（正类：ungrounded）

基座模型	检测方法	ID F1	ID AUROC	ID AUPRC	OOD F1	OOD AUROC	OOD AUPRC	参数级精确匹配率 Param EM (%)
Qwen3-4B	Token Entropy	0.668 ± 0.031	0.674 ± 0.035	0.626 ± 0.050	0.370 ± 0.032	0.485 ± 0.039	0.222 ± 0.031	N/A
Qwen3-4B	Semantic Entropy	0.623 ± 0.031	0.639 ± 0.036	0.619 ± 0.049	0.369 ± 0.032	0.460 ± 0.041	0.220 ± 0.032	N/A
Qwen3-4B	SEP (Kossen et al.)	0.623 ± 0.031	0.548 ± 0.038	0.482 ± 0.045	0.372 ± 0.038	0.499 ± 0.039	0.235 ± 0.035	N/A
Qwen3-4B	Linear Probe	0.697 ± 0.031	0.782 ± 0.024	0.760 ± 0.033	0.383 ± 0.027	0.616 ± 0.029	0.278 ± 0.032	N/A
Qwen3-4B	External Judge (4B)	0.695 ± 0.041	0.915 ± 0.016	0.864 ± 0.029	0.647 ± 0.021	0.884 ± 0.020	0.741 ± 0.041	70.63
Qwen3-4B	Latent Critic (本文)	0.870 ± 0.025	0.966 ± 0.010	0.924 ± 0.027	0.670 ± 0.033	0.925 ± 0.015	0.815 ± 0.034	83.83
Llama-xLAM-2-8B	Linear Probe	0.746	0.833 ± 0.044	-	-	0.514 ± 0.030	-	N/A
Llama-xLAM-2-8B	External Judge (4B)	0.739	0.903 ± 0.031	-	-	0.630 ± 0.030	-	77.06
Llama-xLAM-2-8B	Latent Critic (本文)	0.862	0.926 ± 0.029	-	-	0.649 ± 0.028	-	80.73

表 2：闭环 ReAct 智能体自纠错与参数级可靠性实验结果（Qwen3-4B）

数据分布	干预范式	参数 Precision (%)	参数 Recall (%)	参数 F1 (%)	轨迹成功率 (%)	误拦截率 False Block (%)	拦截后自恢复率 (%)	恢复前平均失败重试次数
ID (分布内)	Base Agent (无干预)	49.7 ± 2.2	54.8 ± 2.6	52.1 ± 1.9	16.4 ± 1.8	–	–	–
ID (分布内)	+ Generic Intervention	66.1 ± 3.4	41.9 ± 2.4	51.3 ± 2.2	20.3 ± 1.8	9.4 ± 2.2	23.9 ± 2.7	1.47 ± 0.14
ID (分布内)	+ Specific (本文)	69.8 ± 1.8	54.4 ± 2.2	61.2 ± 1.8	22.1 ± 1.9	2.9 ± 1.0	37.0 ± 1.9	1.06 ± 0.09
OOD (ToolAlpaca)	Base Agent (无干预)	52.5 ± 3.4	26.6 ± 2.1	35.3 ± 2.2	2.2 ± 0.8	–	–	–
OOD (ToolAlpaca)	+ Generic Intervention	62.3 ± 4.7	21.3 ± 2.8	31.7 ± 2.4	2.0 ± 1.4	15.9 ± 4.1	20.0 ± 5.3	1.41 ± 0.12
OOD (ToolAlpaca)	+ Specific (本文)	66.8 ± 3.0	25.3 ± 2.7	36.7 ± 1.9	2.1 ± 1.5	13.2 ± 3.3	29.3 ± 4.7	1.00 ± 0.00

消融实验¶

表 3：残差流表征可迁移性分析、训练目标消融与推理延迟对比（Qwen3-4B 第 21 层）

实验维度	配置 / 变体	ID AUROC / 指标	OOD AUROC / 备注	核心结论
表征几何探针	Linear Probe (冻结基座隐状态)	0.782	0.616	原生隐状态线性方向在分布偏移下严重退化
表征几何探针	2-Layer MLP (冻结基座隐状态)	0.808	0.678	仅增加探针非线性容量无法弥合 OOD 泛化鸿沟
表征几何探针	Linear Probe (Latent Critic 重构后隐状态)	0.944	0.915	证明 LoRA 将残差流重构为抗分布偏移的线性可分子空间
表征几何探针	Latent Critic (完整生成输出)	0.966	0.925	端到端自然语言解码进一步释放检测性能
架构与损失消融	w/o 工具调用损失掩码 (Masked Loss)	检测准确率下降 8%	收敛变慢	强迫适配器同时优化 JSON 语法会稀释其语义评估表征容量
架构与损失消融	w/o `[POS]` 触发词元 (直接拼接标签)	检测准确率下降 22%	严重退化	缺少独立注意力汇聚边界时，模型无法边构建序列边有效评估
严格安全预算与延迟	TPR @ 1% FPR (严格低误报工作点)	38.7% (Judge 28.3% / Probe 3.8%)	38.9% (OOD 几乎零衰减)	在极低误报约束下依然具备强拦截能力且跨分布稳健
严格安全预算与延迟	单次调用平均附加推理延迟 (RTX 3090 / vLLM)	58 ms (HF) / < 10 ms (vLLM)	External Judge: 884 ms / 语义熵: >12,000 ms	并发单次前向彻底消除二次推理延迟瓶颈

关键发现¶

基于采样熵的方法在规约接地幻觉上彻底失效：由于模型在任务完成偏置下以极高置信度（常大于 80%）捏造合理的参数值，Token Entropy 与 Semantic Entropy 的 AUPRC 跌至随机基准线附近，在 OOD 上 AUROC 甚至低于 0.50；简单字面匹配基线（Lexical Match）也仅能达到 0.670（ID）和 0.731（OOD）AUROC，因为 51.1% 的幻觉参数值同样在上下文中某处出现过（被模型张冠李戴拼接）。
[POS] 触发词元与掩码损失是几何重构的核心驱动力：去掉 [POS] 触发词元会导致准确率暴跌 22%，去掉 JSON 语法损失掩码则下降 8%。同时，在 Latent Critic 重构后的隐状态上直接训练最简单的线性探针，就能将 OOD AUROC 从原生隐状态的 0.616 大幅拉升至 0.915，证明适配器并非死记硬背分类器，而是真正抚平并拉开了残差流中的线性不确定性流形。
具体参数定位显著缓解了闭环智能体的“安全-效率权衡”：笼统拦截（Generic Intervention）虽然提升了参数准确率，但因高达 9.4% 的误拦截率和盲目猜测重试导致参数召回率从 54.8% 暴跌至 41.9%；而本文的 Specific 反馈将误拦截率降低超过 3 倍（至 2.9%），保持了 54.4% 的高召回率，并将拦截后的自主恢复成功率提升了 54.8%（ID 从 23.9% 升至 37.0%）和 46.5%（OOD 从 20.0% 升至 29.3%）。

亮点与洞察¶

“并发伴生 LoRA + 触发词元接管”的零延迟护栏范式：在基座生成阶段让 LoRA 静默搭车累积不确定性并丢弃其词表输出，仅在末尾 [POS] 词元处接管生成 2-5 个诊断词元。这种设计巧妙地将外部 Judge 的“二次完整前向推理”压缩为单序列尾部的极短解码，在 vLLM 中仅增加不到 10 ms 延迟，极具工程落地价值。
通过激进梯度掩码实现“表征手术”而非“表面微调”：全量掩去上下文与工具 JSON 的生成损失、仅对 [POS] 及诊断标签回传梯度，迫使 LoRA 权重将全部容量用于从残差流中提纯规约接地信号。论文通过“在重构隐状态上重训线性探针”与“跨轨迹单词元激活修补（96% 概率翻转预测）”两项机理实验，给出了清晰可信的因果证据链。
思路可迁移至代码生成、SQL 查询与多模态具身动作验证：任何具有结构化动作空间且容易发生“自信脑补未指明条件”的任务（如 Text-to-SQL 中脑补过滤条件、机器人控制中脑补力矩或目标坐标），都可以直接复用这种“CSL 二值掩码合成数据 + 并发 [POS] 伴生适配器”的框架来实现实时动作前置拦截。

局限与展望¶

高度依赖基座模型自身的内部感知与对话恢复上限：由于 Latent Critic 读取的是基座模型的内部残差流，当基座模型发生无限循环生成（runaway generation）或遇到“部分接地稀释”（如用户给了下午 2 点但未给日期，模型锚定真实时间而自信捏造日期）时，内部几何信号本身会被破坏；同时在 OOD 复杂长程任务（ToolAlpaca 平均 12.4 轮）中，受限于冻结基座模型自身的规划与工具调用能力天花板，最终轨迹成功率仍停留在 2.1% 左右，且大量拦截后智能体仍会出现“只问部分缺失参数”或“固执盲猜循环”的恢复失败。
跨模型架构的外部裁判优势存在依赖性且标注依赖模拟环境：在 Llama-xLAM-2-8B 的 OOD 测试中，Latent Critic（0.649 AUROC）相较于同规模 External Judge（0.630 AUROC）的优势明显收窄，表明内部状态优于表面文本的幅度受基座预训练特性影响；此外，二值 CSL 掩码强依赖结构化键值对（key-value），难以直接平滑扩展到边界模糊的开放式长文本生成。
未来改进方向：可以将 Latent Critic 的实时参数级诊断信号作为密集奖励（Dense Reward）或环境反馈，结合强化学习（如 GRPO/PPO）对基座智能体的“澄清恢复策略”进行端到端联合微调，彻底解决智能体收到精确报错后仍不会完整提问的短板。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 将伴生 LoRA 残差流重构、末尾 [POS] 注意力汇聚与参数级自然语言诊断合而为一，打破了“低延迟标量探针”与“高延迟可解释裁判”之间的二元对立。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖双基座、ID/OOD 检测、闭环 ReAct 恢复率、低 FPR 工作点、长度与难度分层鲁棒性，以及线性探针迁移和跨轨迹激活修补等扎实的机理因果验证。
写作质量: ⭐⭐⭐⭐⭐ 围绕三个核心研究问题（检测、机理、部署）层层递进，图表与附录失败案例剖析极具说服力，诚实讨论了 OOD 轨迹成功率受基座限制等边界。
价值: ⭐⭐⭐⭐⭐ 为高安全要求的实时工具调用智能体提供了一套延迟低于 10 ms、即插即用的前置护栏方案，具备极强的工业部署与后续研究启发价值。