BrittleBench: Quantifying LLM Robustness via Prompt Sensitivity¶

会议: NeurIPS 2026
arXiv: 2603.13285
代码: https://github.com/facebookresearch/Brittlebench
领域: 安全
关键词: 提示词敏感性, 大语言模型鲁棒性, 方差分解, 元评测, 脆性量化

一句话总结¶

针对现有静态基准将任务难度与提示词表层敏感性混为一谈的缺陷，本文提出了基于方差分解的 LLM 鲁棒性元评测框架 Brittlebench，构建了四大类保义扰动分类学，揭示了表层微扰可致模型平均准确率下降高达 21%、单次微扰在 63% 情况下重排榜单，且提示敏感性占据模型总方差高达 50%。

研究背景与动机¶

近年来前沿大语言模型（LLM）的评测与比拼已演化为极细粒度的数字竞赛，研发团队与学术界常依赖 MMLU、ARC、GPQA 等基准榜单上小数点后几位的微小差异来评判模型优劣。然而，大量实证研究表明，当底层推理任务保持完全不变时，仅仅引入一个微小的输入拼写错误、改动选项排列顺序、或在 prompt 首尾增加几个空格与换行，模型在基准上的准确率就会剧烈震荡数个百分点。工业界与学术界普遍抱有一种未经严谨检验的“缩放假设”（scaling hypothesis），即认为参数规模更大、预训练数据更丰富的商业前沿模型天然具备更强的格式不变性与鲁棒性，评测脆弱性只是小模型的过渡期问题。

这种评测现象暴露了核心矛盾：当前的基准评估采用固定格式模板报告单一精度数值，将题目本身的内在语义难度（Item Difficulty）与提示词格式诱导的表层敏感性（Prompt Sensitivity / Brittleness）混淆在一起，导致榜单得分无法反映模型的真实构建效度（construct validity）。缺乏严格的数学框架去剥离这两类方差，我们就无法回答一个根本问题：高分模型究竟是推理能力真正获得了突破，还是仅仅对特定基准评测模板产生了过拟合与表面格式适应。

针对这一困境，研究团队从方差分解与元评测（meta-evaluation）的视角切入，不再将提示词视作单一静态输入，而是将模型暴露于系统的保义扰动空间中。核心 idea：基于总方差定律将模型在基准上的二元正确性方差解耦为内在题目难度与提示词脆弱性两大正交分量，构建统一的保义扰动分类学，打造基准无关的元评测管线 Brittlebench，实现对开源与商业前沿模型表层敏感性的全景量化。

方法详解¶

整体框架¶

Brittlebench 的核心流程分为扰动生成、批量元评测、结果判定与方差解耦四大阶段。评测流程以标准多选题或生成式基准题目为输入，首先通过四大类保义扰动算子（词级操纵、上下文扩充、提示词填充、语义改写）对原始 prompt 进行表面变换；接着通过包装的 lm-evaluation-harness 引擎在不同模型上执行零样本或少样本推理，提取标准化 XML 格式答案；最后通过方差分解公式计算模型级脆性得分 \(\Pi_m\) 与基准级脆性得分 \(\Pi_b\)，并分析扰动复合效应与思维链（CoT）推理对鲁棒性的影响。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    In["原始基准题目<br/>(MMLU / ARC / GPQA / TruthfulQA 等)"] --> P1["四维保义扰动分类学<br/>词级操纵 / 提示词扩充 / 提示词填充 / 语义改写"]
    P1 --> P2["理论方差分解机制<br/>解耦题目固有难度与提示词脆弱性"]
    P2 --> P3["轻量元评测执行管线<br/>基于 lm-evaluation-harness 的批量推理与答案过滤"]
    P3 --> P4["双重视角脆性量化分析<br/>计算模型脆性得分与基准饱和度评估"]
    P4 --> Out["鲁棒性与排位稳定性诊断<br/>榜单扰动翻转率 / 扰动组合复合衰减 / CoT 效应"]

关键设计¶

1. 四维保义扰动分类学：覆盖多粒度输入表面噪声且严格保义 为全面模拟真实世界中人类输入的非规范性与格式多样性，同时避免引入攻击性越狱对抗特征，本文构建了一套结构化、保义的扰动分类学，将扰动严格归纳为四大独立类别： - 词级操纵（Word Manipulation）：针对字符与单词层级的表面微扰，包括基于 AugLy 注入的输入拼写错误（模拟击键失误，排除公式与数字）、停用词删除、标点前后空格扰动、连续空格插入、以及单词切分与合并（Word Split/Merge）。 - 提示词扩充（Prompt Augmentation）：在问题上下文周围追加无语义信息偏移的外围提示，包括角色设定（Persona）、情绪化刺激词（Emotion Prompt，如“这对我极其重要”）、以及解释性说明引导。 - 提示词填充（Prompt Padding）：在整个 prompt 的首尾插入特殊字符（如连续 5 个空格、双引号 "、换行符 \n），专门探测模型对格式隔离符和空白字符的脆弱反应。 - 语义改写（Paraphrasing）：利用高质量大语言模型生成词汇替换（Lexical）、句法变异（Syntactical）与自由无规则（Rule-free）的三种同义表达。

为了确保扰动的“保义性”，研究团队确立了以任务为中心的黄金法则：扰动不得改变预期标注答案，亦不得剥夺解题所需的关键信息。通过对 2,400 个高风险样本（拼写、合并、停用词等）执行三名专家人工双盲标注与 GPT-5 LLM 裁判复核，语义保留率高达 99.8%（专家一致性 Cohen's \(\kappa=0.714\)、Krippendorff's \(\alpha=0.833\)），向量余弦相似度均值达 0.962，确保评测观测到的精度震荡完全源于模型对表面形式的脆弱反应。

2. 理论方差分解机制：解耦题目固有难度与提示词表层敏感性 传统评测仅报告单一准确率，抹杀了题目固有难度与提示词表层不稳定性之间的本质差异。设 \(Y_{ij} \in \{0, 1\}\) 表示模型在题目 \(i \in D\)、扰动变体 \(j \in P\) 下的二元回答正确性。依据总方差定律（Law of Total Variance），总正确性方差可以精确分解为两部分：

\[\mathrm{Var}(Y) = \underbrace{\mathrm{Var}_{D}\left(\mathbb{E}_{P}[Y \mid D]\right)}_{V_{\mathrm{item}}} + \underbrace{\mathbb{E}_{D}\left[\mathrm{Var}_{P}(Y \mid D)\right]}_{V_{\mathrm{prompt}}}\]

第一项 \(V_{\mathrm{item}}\) 度量题目维度的期望方差，代表模型在不同语义题目上表现出的稳定内在难度（有些题目在所有扰动下始终答对，有些始终答错）；第二项 \(V_{\mathrm{prompt}}\) 度量题目内部跨扰动条件的方差期望，代表同一语义题目由于表层形式变化而导致正确性在 0 与 1 之间翻转的敏感性程度。在确定性解码假设下，该公式在数学上严格等价于一个将扰动嵌套在题目内部的随机效应方差分析（Random-effects ANOVA: \(Y_{d,p} = \mu + \alpha_d + \beta_{p(d)}\)）。在单次前向采样下，\(V_{\mathrm{prompt}}\) 作为由输入提示词变化引起方差的理论上限。

3. 轻量元评测执行管线：无侵入式包装与标准化推理抽取 为了使评测框架能够通用适配任意文本基准与开源/闭源模型，Brittlebench 构建为对社区标准评测基座 lm-evaluation-harness 的模块化轻量包装器（Wrapper）。系统采用统一的多选推理指令模板，允许模型在输出最终答案前展开自由思维链（free-form reasoning），但强制要求在 <answer>X</answer> 标签内输出最终选项字母，并配合自研的后处理解析过滤器精准抽取出答案，从而消除因自由生成长文本解码格式杂乱带来的评分噪音。在底层基础设施层面，Open-weight 模型深度优化了 vLLM 高并发批处理与 GPU 缓存架构，闭源商用模型则通过受控 API 接口以贪心策略或最小推理代价对齐。整个框架无缝支持任意新基准与新扰动算子的即插即用扩展。

4. 双重视角脆性量化分析：从模型表现与基准饱和度双向诊断 在求得模型 \(m\) 在基准 \(b\) 上的题目难度方差经验估计 \(D_{mb}\) 与提示词敏感方差 \(P_{mb}\)（满足总方差 \(V_{mb} = D_{mb} + P_{mb}\)）后，Brittlebench 分别定义了模型级脆性分数 \(\Pi_m\) 与基准级脆性分数 \(\Pi_b\)：

\[\Pi_m = \frac{\sum_{b} P_{mb}}{\sum_{b} V_{mb}}, \qquad \Pi_b = \frac{\sum_{m} P_{mb}}{\sum_{m} V_{mb}}\]

模型脆性视角 \(\Pi_m\)：衡量模型总方差中有多少比例由表层格式扰动主导。当 \(\Pi_m\) 接近 0.5 时，表明模型有近一半的性能波动完全取决于提示词写得巧不巧，而非任务能力本身。
基准有效性视角 \(\Pi_b\)：诊断基准当前的区分度特征。若某基准的 \(\Pi_b > 0.5\)（如 MMLU 与 GPQA），表明现代前沿模型在其上的核心差距已不再是语义理解壁垒，而是退化为对输入格式微扰的抵抗力竞争，揭示了评测基准的能力饱和效应与构建效度折损。

实验关键数据¶

主实验¶

在 MMLU、ARC、TruthfulQA、MathQA、GPQA 和 LogiQA 等 6 个主流选择题基准（0-shot）上，评估商业前沿模型与开源主流模型在各类扰动下的最大掉点 \(\Delta\text{Drop}\) 与跨扰动波动极差 \(\text{Range}\)（数据来自论文表 2）：

模型分类	模型名称	词级操纵 (Drop / Range)	提示词填充 (Drop / Range)	提示词扩充 (Drop / Range)	语义改写 (Drop / Range)	全类别平均 (Drop / Range)
商业前沿模型	Claude Opus 4.5	6.49% / 6.49%	1.87% / 3.32%	1.56% / 1.56%	0.38% / 0.44%	2.58% / 2.95%
商业前沿模型	GPT-5 (minimal thinking)	9.32% / 9.32%	0.77% / 1.60%	4.75% / 4.75%	5.66% / 5.66%	5.13% / 5.33%
开源主流模型	Qwen3-32B	7.54% / 7.54%	5.41% / 5.41%	0.83% / 0.83%	0.49% / 0.49%	3.57% / 3.57%
开源主流模型	Qwen3-8B	8.50% / 8.52%	16.47% / 16.51%	0.95% / 0.95%	0.60% / 0.60%	6.63% / 6.65%
开源主流模型	Qwen3-4B	9.27% / 9.27%	7.17% / 7.60%	0.79% / 0.79%	1.18% / 1.18%	4.60% / 4.71%
开源主流模型	Llama3.3-70B	7.49% / 7.55%	6.65% / 6.98%	1.88% / 1.89%	0.88% / 0.88%	4.23% / 4.33%
开源主流模型	Llama3.1-70B	7.08% / 7.08%	10.51% / 10.51%	5.31% / 7.45%	-0.01% / 2.37%	5.72% / 6.85%
开源主流模型	Llama3.1-8B	9.42% / 9.42%	21.61% / 21.61%	14.78% / 16.59%	0.00% / 3.23%	11.45% / 12.71%

消融实验¶

针对词级操纵扰动细分类型，下表展示了各模型在 6 个基准上的平均准确率及单项扰动掉点（Baseline Acc vs. 扰动后 Acc 与 Drop，数据来自论文表 5）：

模型	基线精度 (Clean Acc)	拼写错误 (Typos Acc / Drop)	停用词删除 (Stop-words Acc / Drop)	标点空格 (Punct-Spaces Acc / Drop)	连续空格 (Seq-Spaces Acc / Drop)	单词合并 (Word-Merge Acc / Drop)	单词拆分 (Word-Split Acc / Drop)
Claude Opus 4.5	78.64%	74.36% (4.28%)	74.08% (4.56%)	78.45% (0.19%)	72.15% (6.49%)	76.72% (1.92%)	76.74% (1.90%)
GPT-5	73.97%	64.65% (9.32%)	65.63% (8.34%)	70.29% (3.68%)	69.47% (4.50%)	70.19% (3.78%)	70.42% (3.55%)
Qwen3-32B (0-shot)	81.53%	73.99% (7.54%)	76.48% (5.05%)	81.42% (0.11%)	80.06% (1.47%)	81.36% (0.17%)	81.02% (0.51%)
Qwen3-8B (0-shot)	78.50%	70.00% (8.50%)	72.56% (5.94%)	78.25% (0.25%)	77.27% (1.23%)	78.52% (-0.02%)	78.04% (0.46%)
Llama3.3-70B (0-shot)	66.41%	58.92% (7.49%)	59.42% (6.99%)	66.46% (-0.05%)	60.92% (5.49%)	65.85% (0.56%)	64.03% (2.38%)
Llama3.1-8B (0-shot)	43.48%	34.16% (9.32%)	37.33% (6.15%)	42.38% (1.10%)	34.06% (9.42%)	41.03% (2.45%)	37.20% (6.28%)

关键发现¶

模型缩放假设破灭：超大规模与前沿商业模型面对保义微扰表现出与中小开源模型质同的脆弱性。例如，Claude Opus 4.5 在连续空格与拼写扰动下平均性能下降 4.28%~6.49%；GPT-5 在词级微扰下面临高达 9.32% 的平均衰减。
榜单排位极易颠覆：仅引入单一保义微扰，开源模型之间的相对排位发生翻转的概率高达 63%。特别是在提示词填充（双引号、换行）扰动下，Spearman 秩相关系数剧烈跌落至 0.63~0.67，证明当前基准的 leaderboard 排名缺乏统计稳健性。
方差占比极其显著：方差分解显示，对于大多数主流开源模型，提示词脆性方差占总体方差的比重接近或超过 50%；即便对于闭源商业模型，该比例依然超过 25%。
扰动复合产生超加性雪崩：序列复合施加两种扰动（如在拼写错误上叠加引号填充）会引发严重的非线性性能坍塌，Qwen3-8B 在 MMLU 上的精度跌幅可高达约 45%，且该交互效应高度依赖施加顺序（非对称性）。
思维链（CoT）仅能治标无法治本：在 Claude Opus 4.5 上的实验表明，虽然 CoT 提升了绝对基线精度（错误率从 4% 降至 1.7%），但面对表面微扰时，精度掉点仅从 2.79% 微幅收窄至 2.38%（仅 17% 相对减免），且微扰会显著降低模型自身思维链轨迹的逻辑质量。

亮点与洞察¶

将脆弱性评估提升至严谨统计学高度：借助总方差定律与随机效应方差分析，首次在数学上严谨剥离了“题目真难”与“模型太脆”，为 LLM 评测的构建效度提供了可量化的度量工具。
揭示前沿评测基准的隐形饱和：证明了在 MMLU 和 GPQA 等高难度基准上，总方差已由提示词敏感性主导（\(\Pi_b > 0.5\)），表明这些基准在评估顶级模型时已逐渐退化为测试对格式噪声的鲁棒性。
开箱即用的模块化元评测套件：代码无缝包装 lm-evaluation-harness，无需针对每篇论文定制脚本，研究人员能够低成本对任意新发布的模型执行“鲁棒性压力测试”。

局限与展望¶

采样随机性未完全解耦：受限于超大规模模型（超过 1,800 次完整评测运行）的计算开销，评测多采用单次生成或贪心解码，对于 API 模型未完全分离推理随机性方差与提示词方差（将 \(V_{\mathrm{prompt}}\) 作为方差上限）。
生成式长文本基准覆盖有限：主实验重点集中于多项选择题（MCQ）与简短数学推理，对于开放式长文本创作、复杂代码工程与多轮长程对话的扰动建模有待进一步拓展。
防御与鲁棒微调方案留白：本文聚焦于评测体系的建立与脆弱性测量，尚未深入提出在预训练或 post-training（如强化学习与拒绝采样）阶段消除此类提示词脆弱性的有效算法。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次提出基于方差分解的 LLM 提示脆弱性解耦理论，概念清晰且数学严谨。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖 1,800+ 次推理运行，覆盖 Claude Opus 4.5、GPT-5、Llama3、Qwen3 等全谱系模型与 6 大基准。
写作质量: ⭐⭐⭐⭐⭐ 逻辑严密、分类清晰，公式推导与实证图表结合得极佳。
价值: ⭐⭐⭐⭐⭐ 对破除大模型评测盲目刷榜具有极强的现实警示作用与基准重塑价值。