一种自适应模块化检测技术，结合动态决策机制，用于增强当归根土壤附着识别的鲁棒性

《IEEE Access》：Adaptive Modular Detection With Dynamic Decision Mechanism for Robust Soil Attachment Recognition on Angelica Roots

　　摘要：大型语言模型（LLMs）生成流畅、类似人类语言的文本，这增加了诸如虚假信息等风险，因此需要能够在不同领域有效应对对抗性攻击（如改写）的强大检测系统。我们利用经过微调的LLMs进行AI生成文本的检测，评估了三种策略：监督式微调（SFT）、结合直接偏好优化（SFT+DPO）的微调以及多阶段微调（SFT+SFT）。我们在单一领域和多领域环境中对这些策略进行了评估，考察了它们对领域影响和对抗性操纵的鲁棒性。结果表明，这种方法在性能上与当前文献中的方法相当或更优。在四种不同的评估设置中，无论领域重叠程度或生成器重叠程度如何，我们的最佳检测器在十种对抗性变换（格式调整、拼写扰动和语义重写）下都能保持高F1分数。在最具有挑战性的情况下，即在使用未见过的模型生成的、来自未见过的领域的文本时，顶级多阶段配置的平均F1分数达到了95.25%，超过了强零-shot基线（Binoculars、RADAR、GLTR）以及在相同评估协议下的监督式RAID排行榜基线（e5-small）。这些结果突显了基于微调的LLM检测器的实际鲁棒性和泛化能力，而不仅仅是一个新的检测范式的提出。CCBY - IEEE不是该材料的版权持有者。请根据https://creativecommons.org/licenses/by/4.0/的说明获取全文文章和API文档中的条款。

第一部分 引言
近年来，基于变压器的架构（如BERT、GPT和Llama）彻底改变了自然语言处理（NLP）领域[1]。这些大型语言模型（LLMs）在文本生成和分类等任务中达到了先进的性能水平。它们的有效性源于通过注意力机制捕捉复杂的语言模式和上下文关系，生成的文本通常与人类写作难以区分。因此，它们在各种应用中起着核心作用，从客户服务自动化和创意内容生成到研究辅助和个人化学习。LLMs的普及引发了一些重大担忧，特别是关于它们被用于生成危险内容[2]的问题。例如，LLMs可以创建高质量的假新闻文章并传播虚假信息[3]。随着这些模型变得更容易获得，区分人类编写和AI生成的文本对于维护数字通信中的信任和问责制至关重要[4]。正如本研究所调查的，开发强大的检测系统对于缓解这些风险具有直接的实际意义，包括维护学术诚信、打击社交媒体平台上的虚假信息以及确保新闻内容的真实性。由于现代LLMs的高流畅性和连贯性，检测AI生成文本具有挑战性。虽然其他缓解策略（如提供方侧的加密水印[5]和元数据来源框架（例如C2PA1）提供了强大的验证机制，但它们需要AI提供者的普遍采用，并且可能被恶意行为者移除。因此，纯粹基于文本的、事后的检测仍然是不可或缺的防御层，尤其是对于不受控制的、“野外”内容。这一挑战因对抗性技术（如改写）而被放大，后者可以规避基本的检测系统[6]，以及基于强化学习的技术[7]。此外，文本领域的多样性（如新闻、社交媒体、科学写作）使得开发通用检测模型变得复杂，因为不同上下文中的语言特征和风格规范差异很大[8]。为了解决这些挑战，本研究探讨了将微调技术应用于LLMs以检测AI生成文本的方法。这呈现出一种有趣的二元性：利用LLMs来识别其他LLMs生成的内容，利用它们对自己生成模式的理解。使用LLMs进行AI生成文本的检测利用了它们在大量文本数据上预训练获得的语言结构理解。这种深入的语言知识使它们非常适合区分人类文本和AI文本之间的细微差异。此外，它们处理多种写作风格和领域的能力使它们成为开发具有良好性能的强大、适应性强的分类系统的有希望的候选者。

这项工作的主要目标是在现实条件下，提供对经过微调的LLMs作为AI生成文本检测器的严格和系统的实证评估。我们没有引入新的检测架构，而是专注于分析不同的微调策略、训练领域覆盖范围和顺序训练流程如何影响对对抗性操纵的鲁棒性和跨未见领域和生成器的泛化能力。我们在多种训练配置、对抗性攻击类别和领域/泛化制度下进行了大规模的受控基准测试。这使我们能够分离微调策略、领域多样性和训练顺序的影响，并为有根据的系统设计和部署提供可操作的指导。特别是，研究揭示了不同的顺序微调策略如何诱导不同的精度-召回权衡，对语义攻击和表面攻击的敏感度不同，以及在跨未见领域和生成器时的泛化能力也有所不同。本文的方法论贡献在于这种结构化的比较分析以及从中得出的实用见解，这些见解可以指导强大检测系统的设计和部署。因此，这项工作的核心贡献是分析性和实证性的，而不是方法论上的。我们没有提出一种新的检测架构，而是提供了一个系统性的、大规模的基准测试，研究了现有的微调范式如何与对抗性噪声和领域变化相互作用。与大多数现有的基于LLM的检测器不同，后者通常评估单一的微调方案或固定架构，本研究在受控的多领域和对抗性条件下系统地比较了不同的顺序训练流程，从而获得了关于训练顺序和目标选择如何影响鲁棒性、泛化和操作权衡的新实证见解。直接偏好优化（DPO）[9]作为一种替代对齐方法，已在监督式微调后 refine 模型行为，最近的研究评估了DPO如何与不同微调配置在各种任务中的交互[10]、[11]。然而，它在顺序微调流程中用于强鲁棒性、多领域AI生成文本检测的作用仍需探讨。因此，尽管之前的工作已经探索了AI生成文本检测方法，但在对抗性和多领域设置下的系统证据仍然有限。

本研究旨在通过受控和实证的评估来填补这一空白。我们评估了三种微调策略：监督式微调（SFT）[12]、结合DPO的SFT（SFT+DPO）以及多阶段微调方法（SFT+SFT）。每种方法都在单领域和多领域训练设置中进行了测试，以分析领域覆盖范围如何影响检测性能和泛化能力。特别是在四种不同的设置中进行了评估，并与零-shot方法（Binoculars [13]、RADAR [14]、GLTR [15]）以及像fine-tuned e5-small2（一个顶级RAID排行榜 performer3）这样的监督方法进行了比较。我们还提供了代码、数据集和模型。这项工作有助于理解如何利用LLMs来应对它们构成的威胁，为设计更强大和泛化的检测系统提供了见解。

本文的其余部分安排如下。第二部分介绍了指导我们研究的研究问题。第三部分回顾了关于AI生成文本检测、鲁棒性和对抗性攻击的相关工作。第四部分我们正式化了检测任务并介绍了我们的基于阈值的决策规则。第六部分A描述了训练数据集和多领域设置的构建，而第六部分B、C和D分别详细介绍了对抗性攻击、评估设置和阈值优化程序。然后我们在第八部分展示了所采用的LLM和用于构建检测器的微调方法，之后是广泛的实验评估。最后，在第九部分，我们讨论了研究的结论和局限性，并概述了未来工作的方向。

第二部分 研究问题
本研究由以下研究问题指导：
- 经过微调的LLMs在现实操作条件下作为AI生成文本的实际检测器的有效性如何？
这个问题是由基于LLM的检测器日益广泛的使用所激发的，而在之前的工作中，这些检测器往往在有限或理想化的条件下进行评估。
- 这些检测器对常见的对抗性操纵有多大的抵抗力？
这解决了最近研究中指出的现有检测器对改写和重写攻击的已知脆弱性。
- 不同的微调策略在不同领域和生成模型之间的泛化能力如何？
这针对的是之前基于LLM的检测方法中缺乏系统性的领域和生成器泛化证据的问题。
- 在相同的评估条件下，经过微调的LLM检测器与已建立的零-shot和监督基线相比如何？
这回应了在不同检测范式之间进行受控和公平基准测试的需求。我们的工作通过一个受控和系统的实证比较来填补这一空白。为了便于与识别的研究空白进行结构化的比较，表1提供了代表性方法的概览，强调了它们在鲁棒性、泛化能力和训练策略方面的关键特征和局限性。该表还根据这些维度定位了我们的方法。表1：AI生成文本检测的代表性方法比较。我们专注于对序列微调策略及其在对抗性和多域变化下的行为进行受控的比较评估。我们的研究提供了：不同序列微调策略（SFT+DPO、SFT+SFT）的系统性比较及其对鲁棒性的影响；以对抗性韧性为中心的评估，这是随着对各种攻击研究[34]的增长而变得越来越重要的一个主题。我们的工作通过针对四种具有挑战性的设置测试十种不同的攻击类型而与众不同；对领域泛化进行了细致的分析，研究了多域训练数据的影响。这个问题在该领域是一个已知的问题，因为检测器在未见过的领域上的表现是一个已在类似[35]的工作中被严格基准测试过的问题。我们的贡献是特别在微调后的大型语言模型（LLM）的背景下研究这个问题。然而，据我们所知，没有先前的工作提供了在一个统一的评估中同时分析对抗性鲁棒性、领域泛化和序列微调策略。这一空白直接激发了第二节中定义的研究问题。通过关注这些维度，我们的工作旨在提供更深入、更实用的理解，即如何使用现代LLM构建鲁棒且泛化的AI文本检测器。

第四节：任务形式化
在本节中，我们正式定义了使用微调后的LLM检测AI生成文本的问题。我们的目标是在包括跨域变异性、生成模型和潜在的对抗性操作在内的现实条件下描述检测任务。我们引入了整篇论文中使用的符号和假设，并定义了支撑我们实验评估的分类设置。这种形式化为以下部分描述的方法选择提供了基础。本研究的主要任务是AI生成文本检测。我们将这视为一个二元分类问题。给定一个输入文本文档，记为x，目标是将它分类为人工编写或机器生成。设可能的来源标签集合为Y={human, machine}。我们的目标是学习一个检测函数D，它将输入文本x映射到其预测的标签y^∈Y。在我们的方法中，检测器D是使用一个微调后的LLM实现的，记为M。输入文本x被嵌入到一个特定的提示结构p(x)中，然后将其输入到LLM中（见图1，用于主要提示）。图1：用于AI生成文本检测的提示。

第五节：采用的大型语言模型
本研究使用Llama-3.1-8B-Instruct11作为代表性的LLM来研究这类模型在AI生成文本检测方面的总体潜力，而不是寻找最优模型。它的选择基于广泛的使用、可访问性、性能以及其8B的参数大小，为微调资源提供了合适的折中。作为一种经过SFT和DPO等方法改进的Instruct变体，它非常适合于指令遵循，与我们的基于提示的检测方法非常吻合。为了进行实验，我们使用了该模型的4位量化版本。

第六节：数据集设计
A. 训练集
用于单域、双域和多域设置的训练数据集是使用来自RAID [28]和M4GT-bench [37]的未扰动文本构建的，这些是旨在评估跨不同领域和生成设置的机器生成文本检测的基准语料库。每个训练集总共包含21,280个文本，均匀地分为来自RAID和M4GT-bench的人工（H）和机器（M）生成的样本。所有文本都是英文的。使用未扰动数据作为训练集的原因是为了分析测试集中存在的每种攻击（扰动文本）如何影响模型。对于来自RAID数据集的文本，通过采样解码[28]生成的样本因其更大的变异性而被优先考虑。
创建了三种训练设置：单域（科学摘要）、双域（科学摘要与Reddit）和多域（涵盖7个不同的RAID领域）。这些数据集的详细组成，包括具体的生成模型和来源分布，在图2中有所说明。选择科学摘要作为单域设置，以及科学摘要与Reddit结合作为双域设置，是为了评估接触不同语言风格对泛化的影响。为了防止训练和评估阶段之间的任何数据泄露，实施了严格的隔离协议。
对于设置3和4（未见过的领域），通过构造确保了零重叠，因为测试领域与训练期间使用的领域完全不相交。
对于设置1和2（见过的领域），我们通过在程序层面进行过滤来强制实现互斥。具体来说，用于生成评估样本的基提示和源文本从训练数据中移除。由于生成的文本是从这些提示中得出的，因此这种程序防止了训练和测试实例之间的任何重叠。

B. 对抗性攻击
为了评估模型的韧性，我们应用了来自[28]的十种对抗性攻击：替代拼写：将美式英语转换为英式英语（100%的单词）；文章删除：移除50%的文章（‘a’、‘an’、‘the’）；添加段落：在50%的句子中插入双行换行；上下文颠倒：将50%的单词的首字母大写；空白：在50%的单词中添加额外的空格；拼写错误：在50%的单词中引入拼写错误；同形异字：用视觉上相似的字符替换100%的字母；数字：在50%的数字中随机排列数字；改写：使用T5模型[4]和chatgpt_paraphraser_on_T5_base模型改写文本。第一种方法会重写整个文本，第二种方法只改写50%的句子；同义词：使用基于BERT的模型[38]替换单词。攻击执行参数（百分比目标）遵循[28]中使用的参数。

C. 测试集
评估涉及四种不同的设置，旨在测试不同级别的泛化能力。这些设置由文本领域和生成模型是否存在于训练集（‘见过’）或新的（‘未见过’）来定义。每个设置的具体组成，包括数据来源和模型版本，在图3中进行了总结。关于未见过的领域（设置3和4）的数据来源，我们确保了人类文本和生成提示的严格来源：评论来自RAID，Wikihow来自M4，而金融和医学领域则来自HC3数据集。对于医学领域，人类文本经过了额外的后处理以去除格式化伪影。对抗性攻击使用了来自[28]的源代码。然而，对于设置2-4的改写（设置4中的评论除外），由于计算限制，采用了chatgpt_paraphraser_on_T5_base模型。
在构建我们的测试集时，每个领域最初贡献了300个基础文本：150个由人类编写，150个由AI生成。AI生成的部分被平等分配：75个文本是使用贪婪解码创建的，而另外75个使用采样创建的。贪婪解码时，温度top_p和频率_penalty设置为0.0，倾向于产生更确定性和可预测的文本，因为它始终选择最可能的下一个单词。相比之下，采样生成时温度=1.0，top_p=1.0，频率_penalty=0.5（Claude-Sonnet由于其API限制除外，13，频率_penalty=0.0）会产生更多不可预测和不太重复的结果，因为它根据单词的概率分布选择单词。每个干净的文本（无论是人类生成的还是AI生成的）都受到了第六节B中描述的所有10种攻击的影响。因此，对于每个初始的干净文本，创建了10个不同的扰动版本。我们的最终测试集是通过将原始干净文本与所有相应的受攻击版本结合起来构建的。例如，设置1涉及1,200个基文本（每个领域300个文本）；对1,200个干净文本应用10种攻击后，得到了12,000个扰动文本，总共为该设置准备了13,200个样本（干净文本+扰动文本）。将相同的程序（为每个基文本生成1个干净版本+10个受攻击版本）应用于所有基文本和设置，并考虑到设置2只有3个领域（9,900个样本），而其他设置有4个领域（每个13,200个样本），因此总语料库包含49,500个用于评估的样本，中位文本长度为194个单词。

D. 阈值优化集
为了确定最佳的分类阈值（τ），我们创建了一个专门用于此目的的独立数据集，称为阈值优化集。该集的构建方法与主测试集（在第六节C中描述）完全相同，其在四个设置（领域/模型重叠）中的结构相同，并且使用了来自相同来源（RAID、M4、HC3）的文本。唯一的区别是每个设置中每个领域的初始基文本数量：这里我们使用了100个基文本（50个人工编写，50个AI生成[25个贪婪解码，25个采样]，而不是最终测试集使用的300个）。像主测试集一样，每个设置中的每个领域的这100个基文本都受到了所有10种对抗性攻击（第六节B）。这导致了一个较小的（16,500个样本）且在结构上相同的数据库，其中包含干净和受攻击的样本（设置1,3,4分别为[100个干净 + (100×10)个受攻击] × 4个领域和设置2为3,300个样本）。这个优化集反映了包括攻击在内的多样条件，专门用于找到在这些不同条件下最大化平均F1分数的阈值τ，然后在评估中全局应用。我们选择了一个全局阈值，而不是多个特定领域的阈值，主要有两个原因。首先，全局阈值代表了一种现实的部署场景，其中检测器必须在不知道文本领域的情况下运行。其次，这种选择增强了优化过程的鲁棒性。我们的完整阈值优化集包括16,500个样本，为找到决策阈值提供了稳定的基础。相比之下，在特定领域上优化会固有地分割优化数据（将每个领域的可用样本减少到2,200个），增加了对较小样本的偶然特征的过拟合风险。为了验证这一选择，我们使用表现最佳的模型比较了两种策略。结果证实，全局阈值在见过领域和未见领域的情况下都产生了更优的平均F1分数。例如，在摘要领域（设置1和2），全局阈值达到了96.88%，而特定领域阈值为96.73%。值得注意的是，在医学领域（设置3和4），全球方法的性能差距进一步扩大（93.01% vs. 92.18%）。这证明了我们选择全局阈值而不是特定领域阈值的原因。

第七节：方法论
该方法论旨在探索不同的微调策略和训练设置如何影响模型在存在对抗性操纵文本时的准确检测能力。提示设计
鉴于二元分类任务（人类 vs. 机器）的相对简单性，我们采用了直接的提示，如图1所示。在微调和推理阶段都使用了相同的提示，以确保一致性。我们进行了初步实验来评估模型对提示变化的敏感性。具体来说，我们将采用的提示与设计用来明确指导模型推理的更详细的表述进行了比较。这样的替代提示的一个代表性示例如图4所示。

图3. 四种评估设置的总结。这些设置根据测试数据是来自训练集中存在的领域还是生成器模型（“已见”）或新领域（“未见”）进行分类。数据集来源包括RAID [28]、M4 [39] 和 HC3 [40]。对于未见模型（设置2和3），我们使用了特定的最新版本：Gemini (2.0-flash-exp, 1.5-flash, 1.5-flash-8b)14、DeepSeek-V3 [41]（通过DeepInfra API15）以及Claude 3.5 Sonnet（版本20241022）16。

图4. 提示的详细版本。

我们在验证子集上观察到复杂提示和简洁提示之间的性能差异可以忽略不计。这种韧性归因于采用的微调策略（SFT和DPO）。与零样本推理不同，在零样本推理中，提示的具体措辞对于指导模型至关重要，而微调则使模型参数适应任务本身，显著减少了对提示工程的依赖。因此，由于详细的指令并不必要，我们选择了简洁的提示来最小化令牌使用量并最大化推理效率。

B. 微调技术
我们探索了三种微调策略：
- 监督微调（SFT）：使用成对数据（标签：机器或人类）对预训练的LLM进行微调，以优化AI生成文本的检测能力。
- SFT结合直接偏好优化（SFT+DPO）：我们将SFT与DPO结合使用，DPO是一种专为训练结构化为“三元组”的数据设计的强化学习技术。DPO使用这些三元组来增加选定标签的概率，同时惩罚被拒绝的标签。DPO训练使用的数据集与SFT相同，但格式进行了调整：对于人类输入，选择的标签为“人类”/被拒绝的标签为“机器”；对于AI输入，选择的标签为“机器”/被拒绝的标签为“人类”。我们探索了两种组合：1）在7个领域上进行SFT，然后在2个领域上进行DPO（摘要，Reddit）；2）在2个领域上进行SFT，然后在7个领域上进行DPO。
- 多阶段SFT（SFT+SFT）：使用初始SFT阶段的权重进行第二轮SFT。

对于SFT+DPO和SFT+SFT微调策略，我们采用了顺序的多阶段训练过程。在SFT+DPO流程中，DPO步骤紧接在单阶段SFT之后进行，SFT使用的是多领域或双领域数据。在SFT+SFT方法中，第二轮SFT使用从第一轮SFT获得的模型权重开始。对于DPO阶段，初始的SFT模型也作为参考模型，beta参数设置为0.1。这种结构化的训练程序使我们能够分离不同微调策略的效果，并评估领域范围在初始阶段和后续阶段之间的变化如何影响最终检测器的性能。

选择微调顺序的动机在于需要探究顺序适应中的不同学习动态。从较小的领域集训练到更广泛的多领域集（2领域 → 7领域）反映了领域多样性的渐进式扩展[42]，允许模型首先在更简单或更同质的数据上稳定，然后逐步融合异质的语言模式。这种设置测试了逐步暴露是否可以提高泛化能力和对抗性扰动的鲁棒性。

相反，反向顺序（7领域 → 2领域）评估了广泛训练后的专业化效果。这种配置探究了领域专业化与灾难性遗忘[43]之间的潜在权衡，并评估了缩小训练分布是否会在牺牲跨领域鲁棒性的情况下提高领域内的性能。比较这两种顺序有助于控制分析训练顺序如何影响细调后的LLM检测器的稳定性、泛化行为和鲁棒性。

微调是在L4 GPU上使用Unsloth库[44]和QLoRA框架[45]进行的，后者是一种参数高效的微调（PeFT）技术[46]。每个模型训练了一个周期，批量大小为1，梯度在4个步骤中累积。值得注意的是，尽管只使用了一个周期，初步实验表明，使用多个周期训练并不会提高性能。我们使用了8位AdamW优化器以及线性学习率调度器。学习率在SFT阶段设置为2e-4，在DPO阶段降低到5e-6。权重衰减在SFT期间设置为0.001，在DPO期间设置为0.0。

为了确保我们的检测结果的可重复性并消除推理时间的差异，所有微调后的LLM检测器都在温度设置为0的情况下进行了评估。这保证了在相同输入文本下输出结果的确定性。

第八节 结果
本节展示了将我们的细调LLM检测器与零样本和监督基线进行比较的实验结果。性能在四种测试设置（第六节-C）中进行了分析，强调了对抗性攻击的鲁棒性，这些攻击分为格式、拼写和语义三类进行解释。

A. 指标
评估使用了精确度（P）、召回率（R）和F1分数（F1）。精确度衡量的是被正确分类为AI生成的文本的比例，而召回率量化了成功检测到的AI生成文本的比例。F1分数表示精确度和召回率的调和平均值，特别是在类别平衡的设置下提供了对检测性能的平衡评估。通过最大化在不同阈值优化集（在第六节-D中描述）上的F1分数来确定一个最优阈值（τ），并在全局范围内应用。我们遍历了从模型输出分数中得出的潜在阈值。对于每个候选阈值，我们对所有实例进行了分类，并计算了对应的F1分数与真实值的匹配情况。最终选择产生最高F1分数的阈值用于所有测试评估。

分类遵循第四节中的分数阈值规则。除了整体的P、R和F1结果外，我们还通过分别展示使用贪婪解码和采样生成的文本的结果来进行更细致的分析。这些结果分别报告为F1-Greedy（F1_G）和F1-Sampling（F1_S）分数，以及相应的Recall-Greedy（R_G）和Recall-Sampling（R_S）和精确度P值。这允许我们详细评估模型对不同生成策略的鲁棒性。对于随后介绍的每个实验设置（第八节-D至第八节-G），性能指标在三个专门表格中详细列出：第一个表格报告了设置内所有攻击和领域的整体平均指标（F1、P、R）。使用的测试集对于设置1和3为13,200个样本，对于设置2为9,900个样本。

第二个表格专门关注贪婪解码的性能。它报告了F1_G、P和R_G。这些指标是通过考虑人类文本和通过贪婪解码产生的机器生成文本子集来计算的。使用的测试集对于设置1和3为9,900个样本，对于设置2为7,425个样本。

第三个表格专门关注采样解码的性能。它报告了F1_S、P和R_S。这些指标是通过考虑人类文本和通过采样解码产生的机器生成文本子集来计算的。使用的测试集对于设置1和3为9,900个样本，对于设置2为7,425个样本。

最后两个表格专门比较了检测器对使用贪婪解码和采样解码生成的文本进行分类的能力。

B. 基线
我们比较的方法在第二节和第三节中介绍（RADAR、GLTR、使用4位量化Falcon-7B变体的Binoculars[17]）。虽然DetectGPT通过测量概率曲率提供了坚实的理论基础，但它需要为每个候选文本生成和评分大量扰动变体，通常需要几十到几百次扰动，导致每个样本需要多次前向传递，与标准的零样本检测器[47][48]相比计算成本显著增加。这为实时应用和大规模对抗性评估带来了 prohibitive 的计算瓶颈。因此，在我们的实证评估中，我们选择了Binoculars和GLTR作为代表性的零样本基线，因为它们提供了互补的零样本统计信号，而不会产生大量的推理时间开销。我们还使用了一个监督基线（从RAID排行榜中细调的e5-small）。e5-small基线是在一个大型Twitter-RAID数据集（10,000条原始推文、10,000条重写推文、80,000条人类文本和128,000条来自RAID的所有领域和模型的AI文本）上训练的，与我们的较小训练集共享相同的RAID来源，允许尽管训练数据规模不同仍能进行比较。然而，需要注意的是规模上的显著差异：e5-small模型接触了大约228,000个样本，大约是我们细调集（约21,000个样本）的一个数量级的数据。虽然这造成了不对称性，但它使我们能够评估数据效率。胜过在大量数据上训练的基线表明，LLM的广泛预训练知识有效地弥合了数据差距，使得无需大量标记数据即可实现稳健的检测。

C. 攻击类别和性能指标
十种对抗性攻击被分为三类：
- 格式修改：空白插入、文章删除、数字随机化、大小写反转（大写/小写）和段落插入。
- 拼写变化：拼写错误（基于困惑度）、替代拼写（英式/美式英语）和同形异义词替换。
- 语义变化：改写和同义词替换。

下面评估的基于LLM的方法是使用第六节-A中描述的相应数据集（SingleDomain、DualDomain、MultiDomain）进行训练的。对于每个测试设置（第六节-C），我们报告了该类别内各组成攻击的平均指标。结果表中我们基于LLM的方法的命名法如下：
- SFT-2-to-7-DPO：SFT（2领域）-> DPO（7领域）。
- SFT-7-to-2-DPO：SFT（7领域）-> DPO（2领域）。
- SFT-7D-to-2D：多阶段SFT（7 -> 2领域）。
- SFT-2D-to-7D：多阶段SFT（2 -> 7领域）。
- DualDomain：在两个领域（摘要，Reddit）上进行的SFT。
- MultiDomain：在七个领域上进行的SFT。
- SingleDomain：在一个领域（摘要）上进行的SFT。

详细的每攻击和每领域结果可以在我们在第二节中提到的仓库中找到。

D. 设置1
设置1（已见领域/模型）在熟悉的数据上建立了基线性能。如表2、3和4所示，细调后的LLM与基线相比表现出更好的韧性，特别是在对抗性条件下。
结果强调了多样化训练数据的价值：SFT-2D-to-7D模型实现了最佳的总体稳定性（平均F1：94.99%），并且通常多领域训练比单领域设置产生更好的泛化能力。从攻击类型的分析中得出一个关键见解。虽然语义变化（改写）仍然是对所有检测器最具挑战性的攻击，因为它们涉及文本的结构性重写，但拼写变化显示了LLM的明显优势。在拼写攻击下，基于编码器的基线e5-small性能严重下降（F1下降到约68%），表明它严重依赖精确的令牌匹配。相比之下，我们的细调LLM保持高性能（>93% F1），可能利用了它们预训练的语义理解来忽略表面级别的扰动。此外，即使在单一领域上训练，监督LLM也一致优于零样本方法（RADAR、GLTR），突显了微调方法的有效性。

比较贪婪解码（表3）和采样解码（表4）下的性能揭示了模型对文本熵的敏感性。在贪婪解码下，产生的文本更可预测和重复，增强DPO的模型（例如SFT-2-to-7-DPO）尤其在召回率方面表现优异，有效地减少了假阴性。然而，转换到采样解码对检测器的稳定性构成了压力测试。在这里，鲁棒性差距显著扩大。像Binoculars这样的零样本方法对高熵文本表现出“脆弱性”，性能大幅下降（F1从贪婪解码的约88%下降到采样解码的约67%）。相比之下，我们的细调LLM表现出显著的稳定性，性能下降仅限于约4-5%。这表明，虽然零样本方法可能依赖于贪婪解码特有的低困惑度特征，但细调后的LLM已经学会了检测更不变的“机器特征”，即使在采样引入变化时也能保持检测能力。

表2 显示了设置1中各领域的平均原始F1分数、精确度（P）和召回率（R）。按总体平均原始F1分数排序的模型，最佳值以粗体显示。

表3 显示了设置1中各领域的平均F1-Greedy分数（F1_G）、精确度（P）和Recall-Greedy（R_G）。按总体平均F1_G排序的模型，最佳值以粗体显示。

表4 显示了设置1中各领域的平均F1-Sampling分数（F1_S）、精确度（P）和Recall-Sampling（R_S）。按总体平均F1_S排序的模型，最佳值以粗体显示。

E. 设置2
设置2（已见领域/未见模型）测试了检测器对在训练期间未见的新生成器架构（例如Gemini、Claude）的泛化能力。基于LLM的方法，尤其是多阶段/多域的方法，再次表现出比基线更好的性能，如表5、表6和表7所示。在这种设置中的一个主要发现是泛化的层次结构。如表5所示，SFT-2D-to-7D策略被证明是最健壮的（平均F1分数为95.56%），这表明一种课程学习方法——在扩展之前先巩固较小的领域知识——可以为未见过的生成器创建更适应的决策边界。值得注意的是，即使是我们最简单的SingleDomain LLM（F1分数为85.05%）也优于所有基线，包括监督学习方法e5和零样本方法。这表明，在任何机器生成的文本上对LLM进行微调都能使其学习到通用特征（例如，缺乏特定的表述模式），这些特征可以有效地转移到像Gemini或Claude这样的模型生成的输出中。相比之下，像Binoculars这样的零样本方法虽然在特定攻击下精确，但整体召回率较低，无法识别这些更新、更先进的生成器的内容。与设置1一致，拼写变化起到了区分健壮模型和脆弱模型的作用：当遇到e5攻击时，其F1分数下降到50%以下，而经过微调的LLM则基本不受影响，这进一步证明了它们的语义预训练的价值。

表5显示了设置2中所有领域的平均原始F1分数、精确度（P）和召回率（R）。模型按照平均原始F1分数排序，每列的最佳值用粗体表示。贪婪解码和采样解码之间的差距进一步明确了模型的局限性。在贪婪解码下（表6），大多数模型表现良好，DPO变体几乎达到了完美的召回率（99.8%）。这表明，无论来源模型是什么，确定性AI文本都具有一些共同且易于检测的特征。然而，采样解码（表7）暴露了传统基线在面对来自新颖模型的高熵文本时的脆弱性。Binoculars的性能下滑了超过16个百分点（F1_G从85.69%降至69.39%），表明它难以区分人类创造力和采样AI模型的随机输出。相比之下，我们经过微调的LLM表现出显著的稳定性（例如，SFT-2D-to-7D仅下降了约3%），这表明它们内化了一个健壮的“机器生成”概念，即使生成器的输出分布是随机的也是如此。

设置3（未知领域/未知模型）代表了最具挑战性的“实际应用”场景，在这种场景中，检测器在训练期间完全不知道主题和生成器模型。如表8、表9和表10所示，这种设置清楚地区分了不同方法的泛化极限。表8强调了一个关键的泛化阈值：多领域训练。虽然SingleDomain LLM在这方面表现不佳（F1分数为72.90%），无法有效泛化到全新的分布，但DualDomain和MultiDomain策略保持了高度竞争性的性能（F1分数超过91%）。这表明，在微调期间仅仅接触到两个不同的领域（摘要+Reddit）就足以打破模型对领域特定特征的依赖，使其能够学习到AI生成的不变标记。与基线相比，差距非常明显：e5-small在领域转换和对抗性攻击（拼写变化时F1分数下降到56%）下表现出显著下降，这证实了在缺乏大量训练数据的情况下，监督编码器模型难以适应未见过的分布。零样本方法如Binoculars也表现不佳，特别是在语义变化下，其F1分数下降了超过25个百分点。相比之下，我们的SFT-2D-to-7D模型表现出稳健的泛化能力（F1分数为95.25%），有效地弥合了已知世界和未知世界之间的差距。

为了严格验证我们在最具挑战性的场景（设置3）中的结果的可靠性，我们进行了McNemar统计显著性测试，将我们表现最佳的模型（SFT-2D-to-7D）与顶级基线（Binoculars）在完整设置3中的分类结果进行了比较。测试得出的统计值为χ2=1050.18（p<0.001），这证实了微调后的LLM的优越性能在统计上是显著且稳健的。

为了评估我们的发现的统计可靠性并量化由于样本组成导致的性能变化，我们使用经验性自举法计算了95%置信区间（CI）。具体来说，我们分析了我们在具有挑战性的设置3测试集（N=13,200）上表现最佳的配置SFT-2D-to-7D模型的预测。在1,000多次自举迭代中，该模型表现出非常紧密的标准差±0.18%，95%置信区间为[94.95%,95.67%]。这个狭窄的区间表明，报告的性能在测试样本分布的变化下是稳定的。

设置4测试了使用已知AI模型对未知领域的泛化能力。基于LLM的模型明显优于基线，特别是在基线性能经常崩溃的攻击下，而提出的方法表现出显著的稳健性。结果如表11、表12和表13所示。SingleDomain和MultiDomain模型之间的性能差异清楚地说明了过拟合的问题（表11）。SingleDomain模型（F1分数为75.70%）可能学会了将“AI生成的”标签与特定词汇联系起来（例如，来自摘要的科学术语），因此当遇到医学或金融术语时无法正确分类，即使生成器是熟悉的。相比之下，MultiDomain和SFT-7-to-2-DPO模型表现优异（平均F1分数约为94.90%），表明在多样化主题上的训练迫使模型忘记特定词汇，专注于生成模型共有的结构语法和风格不变量。比较基线时，拼写变化再次成为压力测试：e5和Binoculars显示出显著的不稳定性，而微调后的LLM则保持稳健。这证实，即使AI生成器是“已知的”，简单的表面级噪声也足以破坏传统的检测器，如果它们没有学会深层的语义稳健性。

为了补充表格结果，图5提供了四种评估环境下平均F1分数的可视化摘要。对于每种方法和设置，报告的值是三个互补性能指标的平均值：（i）所有攻击和领域的整体性能，（ii）通过贪婪解码生成的文本的性能，以及（iii）通过采样解码生成的文本的性能。这种聚合提供了对方法的紧凑且有信息量的比较，有助于识别不同设置中的一致趋势，并突出所提出方法在多样化生成条件下的稳健性。

图5显示了四种评估环境中每种方法的平均F1分数。对于每个设置，绘制的值是通过平均三个相应结果表中的整体F1分数获得的，即整体F1、F1_G和F1_S值。

除了平均值指标之外，还必须检查检测器在对抗压力下的操作稳定性。高平均分数可能会掩盖特定场景中的灾难性失败。为此，我们分析了设置3中所有40种对抗配置（4个领域×10种攻击条件）下的性能分散情况。如图6所示，提出的方法与零样本基线之间的可靠性存在显著对比。Binoculars基线（红色）在干净文本上的平均分数虽然不错，但表现出高度的不稳定性。数据点的分布显示其性能非常脆弱：简单的字符级扰动（如同形异义词）会导致检测器性能严重下降（例如，在金融领域F1分数降至8.60%）。同样，同义词替换攻击使其性能下降到约22-30%。这表明，零样本方法依赖于脆弱的令牌概率模式，这些模式很容易被表面级噪声破坏。相比之下，经过微调的SFT-2D-to-7D模型表现出强烈的稳定性。值得注意的是，我们的模型在整个测试套件中记录的最差性能为84.98%（在金融领域的同形异义词攻击下），这远高于基线。即使在改写攻击下，微调模型也保持了高检测能力，专注于AI生成的深层语义特征，而不是依赖于脆弱的表面特征。

虽然经过微调的LLM表现出高度的整体稳健性，但对失败案例的定性分析揭示了特定的脆弱性，特别是在语义变化（改写）下。当AI生成的文本被大量改写时，原始生成器固有的结构特征和困惑标志会被改写模型的语言风格所取代。在这些情况下，检测器经常将文本错误地分类为人类编写（假阴性），因为语义攻击同时导致了深刻的领域和生成器转变。这表明，尽管微调后的检测器能够抵抗表面级噪声，但在深层结构重写方面仍然存在挑战。

结果一致表明，所提出的方法在所有评估环境中都表现出强大且稳定的性能，包括不同的攻击场景和解码策略。与第III节中讨论的现有方法相比，这些方法通常对对抗性扰动敏感或在不同领域和生成器之间具有有限的泛化能力，而我们的方法表现出改进的稳健性和一致性。特别是，像Binoculars、RADAR和GLTR这样的零样本方法在对抗性操纵和基于采样的生成下表现出显著的性能下降，这证实了它们的稳健性有限，并且依赖于表面级的统计模式。同样，基于监督编码器的方法（例如e5-small）在受控环境中表现良好，但在领域迁移和拼写扰动下泛化能力较弱，这一点在先前的文献中也有提及。相比之下，所提出的微调后的基于LLM的检测器在所有评估条件下都能保持稳定的性能，包括未见过的领域、未见过的生成器和多样化的攻击类型。这表明所采用的序列微调策略使模型能够捕捉到AI生成的文本的更多不变特征，超越了令牌级别或模型特定的artifact。这些观察结果直接支持了第二节中提出的研究问题，证实了解决鲁棒性、跨域泛化和微调策略对于可靠的AI生成文本检测至关重要。总体而言，这些结果提供了实证证据，表明精心设计的微调流程可以显著提高基于LLM的检测器在现实世界场景中的实际应用性。这些发现将基于LLM的微调检测器定位为一种实用且可扩展的解决方案，特别是在对抗性和动态发展的环境中。第九节：结论与局限性

除了总体性能的提升之外，该研究还提供了根据操作优先级（例如，通过DPO进行以召回率为目标的检测与通过多阶段SFT进行以精确度为目标的检测）以及预期的领域变化来选择微调策略的具体指导。这项工作证实了基于LLM的方法在识别AI生成文本方面的巨大潜力。我们的结果表明，这些方法可以优于传统方法，其中多领域训练成为开发鲁棒检测器的主要策略。我们的发现为AI文本检测器的实际部署提供了宝贵的见解。多领域、多阶段微调后的LLM所展示的鲁棒性尤为重要，因为现实世界系统必须不断应对来自不同来源的新内容以及诸如改写之类的规避尝试。例如，一个学术诚信平台可以利用经过DPO微调的模型来最小化误阴性（即未能标记出AI生成文本的情况），优先考虑高召回率。相反，内容审核系统可能更倾向于使用精确度更高的模型以避免错误地标记人类编写的文本。我们对不同攻击类型和泛化环境的全面评估为根据具体需求选择最合适的策略提供了实用指南。

然而，部署这些系统面临着重大挑战。运行一个拥有80亿参数的模型，即使使用4位量化，也需要大量的VRAM和计算资源，相比之下轻量级编码器模型（例如e5-small）所需的资源要少得多。虽然推理速度比基于扰动的零样本方法（每种文本需要生成数十个变体）快得多，但处理单个文档仍然可能会引入延迟，这可能成为实时审核流程的瓶颈。因此，未来的工作应该探索知识蒸馏技术，将这些大型检测器的能力转移到更小、更高效的模型中。此外，生成模型的快速发展需要一种动态的检测方法。系统必须通过强大的机器学习运维（MLOps）流程不断重新评估和更新，以保持其长期的有效性。

尽管这些结果令人鼓舞，但仍有几个关键领域需要进一步研究。这项研究仅限于英语语言，其跨语言的有效性尚未确定；未来的研究应该探索在英语中训练的模型是否可以转移到其他语言，以及是否需要对特定语言进行微调，特别是对于那些具有独特语法结构的语言。实际上，虽然所探讨的微调方法在原则上是语言中立的，但AI文本检测器的有效性与特定语言的统计模式以及模型预训练过程中引入的artifact密切相关。将我们的发现推广到其他语言并不容易，并面临几个挑战：不同语言之间的语法结构、句法规则和风格习惯存在显著差异。在英语上训练的检测器可能无法捕捉到具有不同形态学或句法结构的语言中AI生成的文本的细微差异。我们方法的性能依赖于基础模型（Llama-3.1-8B-Instruct）和多领域训练数据。不同语言之间可比较资源的可用性差异很大，这可能会影响该方法的可行性和有效性。因此，未来的工作应该研究我们在英语上训练的检测器的跨语言可转移性，并且更重要的是，开发和评估专门在原生语言模型和语料库上微调的检测器。这将需要创建新的多语言基准，以实现严格的评估。

由于计算资源的限制，每次微调实验只进行了一次。虽然我们通过固定随机种子确保了每次运行的可重复性，但我们没有评估多个种子下的性能差异。微调过程包含随机元素，如LoRA适配器的初始化和数据洗牌，这可能导致最终模型性能的轻微变化。同时，有几个因素部分缓解了这一限制。首先，我们的研究包括多种独立训练的基于LLM的配置（例如SFT、SFT+DPO和多阶段SFT），它们在训练流程、领域组成和序列微调策略上有所不同。尽管这些模型使用相同的主干（Llama-3.1-8B-Instruct），但它们接触到的训练数据和优化路径略有不同。虽然这些配置不构成同一设置的重复运行，但在所有配置和评估设置中观察到的性能趋势的一致性表明，报告的结果反映了该方法的稳定特性，而不是单个训练实例的孤立结果。未来的工作应该在多个随机种子上进行实验，以提供更可靠的性能估计并量化微调过程的稳定性。

此外，关于阈值策略，我们的结果表明，单一的全局阈值不仅在现实世界部署中（文本的来源通常是未知的）是实用的，而且与针对特定领域的阈值相比具有更好的泛化能力，后者在较小的优化子集上校准时容易过拟合。同样，未来的工作需要解决当前的盲点，例如系统对较短文本片段的有效性及其对结合多种攻击技术的复杂、分层对抗策略的抵抗力。最后，尽管我们对微调策略的比较分析是使用Llama-3.1-8B-Instruct严格进行的，但验证这些观察结果是否适用于更广泛的架构和模型规模仍然非常重要。后续研究应该使用更大的模型和更节约资源的替代方案来复制这些结果，以确保这种检测方法不仅有效，而且具有广泛的可扩展性。最后，我们必须认识到纯粹基于文本的检测范式的固有限制。随着生成模型的不断发展，AI文本的语言分布将与人类写作日益重叠，这可能会为事后分类器的理论准确性设定一个上限。在现实世界的部署中，微调后的LLM检测器不应孤立使用：它们应该集成到多层次的缓解框架中。将我们的基于文本的检测与提供者端水印、可验证的加密来源（元数据跟踪）和人工审核等替代策略结合使用，对于建立全面的、具有抵抗力的AI生成虚假信息防御机制至关重要。