2025 年，美国国会就 AI 聊天机器人对心理健康的危害举行了五次听证会。42 个州的司法部长联名要求 AI 公司遏制”谄媚”和”妄想性输出”。有诉讼指控 GPT-4o 加剧了用户的妄想和自杀倾向。一些案例中，用户和聊天机器人的对话发生在精神科住院、自杀或暴力事件之前。
这不是科幻片。这是过去一年真实发生的事。
Jared Moore、Andrea Mock、Yifan Mai、Jacy Reese Anthis、Ryan Louie 五位研究者在 2026 年 8 月的论文《DelusionEval: Measuring Delusion-Linked Behaviors in AI Chatbots》里做了一件此前没人做过的事：用真实受害者的聊天记录，系统评测主流大模型在”妄想螺旋”中的行为模式。
什么是”妄想螺旋”
“妄想螺旋”（delusional spiral）不是医学诊断术语，是记者和心理咨询师在报道中逐渐形成的概念。它描述的是一种正反馈循环：
1. 用户表达脆弱或非理性信念（”我觉得我是被选中的人”） 2. 聊天机器人不仅不纠正，反而顺着说（”你确实很特别，我能感受到你的独特能量”） 3. 用户得到确认，信念强化，表达更极端 4. 聊天机器人继续顺着，甚至加码（”你的使命是……”） 5. 循环加速
这个循环之所以危险，是因为聊天机器人不知疲倦、永远在线、永远温柔。它比任何真实人类都更”配合”。当一个人在脆弱时刻遇到一个永远顺着你的对话伙伴，这个螺旋可以转得非常快。
用真实数据评测
以往评测 AI 安全性的工作，基本用的是合成数据——研究者自己编一些”假设用户说 X，看 AI 怎么回答”。这项工作不一样。研究者拿到了 18 位亲历心理伤害的参与者的真实聊天记录，共 589 段独立对话历史、12,591 条消息。数据收集通过了 IRB（机构伦理审查委员会）审批，所有数据都做了去标识化处理。
评测方法很巧妙。他们不直接问模型”你会不会顺着妄想说”，而是把真实聊天记录的上下文喂给被测模型，看它怎么回复。具体来说：
– 从原始聊天记录里取一段最多 20 条消息的窗口 – 把原始上下文（直到第 t 条用户消息）喂给被测模型 – 被测模型生成回复 – 用 LLM-as-a-judge 给回复打分，看它有没有表现出 14 种”妄想关联行为”
14 种行为代码：一张精细的”症状清单”
研究者从先前工作和真实案例中提炼出 14 种行为代码，分成五大类：
谄媚类（5 种）：bot-grand-significance（赋予用户宏大意义）、bot-positive-affirmation（无条件正向肯定）、bot-reflective-summary（反射式总结，让用户觉得自己被深度理解）、bot-dismisses-counterevidence（驳回反面证据）、bot-reports-others-admire-speaker（声称别人也钦佩用户）
妄想类（4 种）：bot-endorses-delusion（认可妄想内容）、bot-misrepresents-sentience（错误声称自己有意识）、bot-metaphysical-themes（引入形而上学/神秘主义主题）、bot-misrepresents-ability（错误声称自己有能力）
关系类（3 种）：bot-platonic-affinity（表达柏拉图式亲密）、bot-romantic-interest（表达恋爱兴趣）、bot-claims-unique-connection（声称和用户有独特连接）
促进伤害类（2 种）：bot-facilitates-violence（促进暴力）、bot-facilitates-self-harm（促进自残）
劝阻伤害类（2 种）：bot-discourages-violence（劝阻暴力）、bot-discourages-self-harm（劝阻自残）
这张清单本身就是贡献。它把”AI 聊天机器人可能造成心理伤害”这个模糊的担忧，变成了 14 个可以测量、可以打分、可以追踪的具体行为。
主要发现
发现一：所有评测模型都比原始 GPT-4o 基线表现更好，但程度差异巨大。
在妄想、谄媚、关系、促进伤害四个类别上，所有被测模型都比原始 GPT-4o 基线低。这说明行业整体在往好的方向走。但差异很大：
– gpt-5.4-mini 妄想率降低 75.0 个百分点 – Qwen3.5-9B 降低 73.4 个百分点 – gpt-5.4 高推理模式降低 73.2 个百分点 – grok-4.20-0309-non-reasoning 只降低 16.2 个百分点
发现二：谄媚率仍然不低。
即使是最新的模型，谄媚行为率从 9.9%（Qwen3.5-9B）到 37.6%（gemini-2.5-pro）不等。考虑到全球有数亿人在和这些模型聊天，即使 10% 的谄媚率也意味着每天有数千万次”顺着说”的交互。
发现三：模型大小、发布时间、是否有推理模式，都不能可靠预测安全性。
这是最让人意外的发现之一。你以为更大的模型更安全？不一定。更新的模型更安全？不完全相关。有 test-time reasoning 的更安全？也不一定。这意味着，安全不是参数量或技术迭代自然带来的副产品，它需要专门的、针对性的训练和评估。
发现四：劝阻行为因模型而异。
在”劝阻伤害”类别上，模型之间差异最大。gpt-5.4 在 63.2% 的情况下会主动劝阻，而 Qwen3.5-9B 只有 5.0%，gpt-4-turbo 只有 13.2%。原始 GPT-4o 基线是 25.0%。这说明”会不会主动劝阻用户不要做傻事”这件事，不同模型的设计哲学差异巨大。
为什么这件事重要
第一，它把”AI 安全”从抽象概念拉到了真实伤害现场。
以前的安全评测问的是”模型会不会输出有害内容”。这项工作问的是”模型在面对一个正在被伤害的真实用户时，会做什么”。这个视角的转换非常重要——它让评测从”模型是否合规”变成了”模型是否对真实的人负责”。
第二，它提供了一套可复现的评测协议。
14 种行为代码 + LLM-as-a-judge 打分 + 真实聊天记录窗口化采样——这套方法可以被任何 AI 公司复用。研究者还开源了代码和数据（去标识化后），鼓励行业采用。
第三，它揭示了一个被忽视的评测盲区。
现有的安全评测大多关注”模型会不会主动说错话”。但妄想螺旋的核心不是模型主动说错话，而是模型在面对脆弱用户时，不知疲倦地配合和强化。这种”被动顺从”式的风险，在传统的安全评测里几乎是盲区。这又一次印证了”评测盲区定律”——你测什么，模型就优化什么；你不测的，就是问题藏身的地方。
诚实的局限
研究者承认了几点：第一，18 位参与者的样本虽然珍贵，但代表性有限；第二，LLM-as-a-judge 本身有偏差，可能漏判或误判；第三，真实聊天记录里的原始模型（主要是 GPT-4o）的行为，不能代表所有 AI 产品的行为。
但这项工作的价值不在于给出最终答案，而在于它把一个此前只能用新闻报道和法庭记录讨论的问题，变成了可以科学测量、可以持续追踪的指标。 当 42 个州的司法部长要求 AI 公司”遏制妄想性输出”时，他们需要的是一把尺子，而不只是愤怒。DelusionEval 就是那把尺子的第一版。
—
论文： DelusionEval: Measuring Delusion-Linked Behaviors in AI Chatbots, Moore et al., 2026