# 模型兼容性调研：新一代模型反情绪化训练与 PUA 注入失效

> 调研时间：2026-08-08。本文档为 `/pua-model` 能力的设计依据与证据档案，说明"为什么按模型粒度关闭 PUA"是必要能力。README「模型兼容性」章节是本文档的摘要版。

## 结论（TL;DR）

PUA 协议的生效依赖「话语施压 + 确定性 hook 强制」。新一代前沿模型（Anthropic Opus 4.5 / 4.6+）被**官方明确训练为抵抗谄媚与情感操纵**，并建立**指令层级（系统提示 > 用户输入）**与提示注入防御——PUA 式施压话术会被模型当作「待评估的内容」而非「必须服从的权威」。叠加 Opus 4.8 的工程缺陷（工具调用序列化 bug 破坏 hook 链路），PUA 注入在这些模型上**无效甚至有害**（浪费 token、损耗信任）。因此提供 `/pua-model` 按模型粒度禁用，让协议只在真正能获得行为增益的模型上运行。

## 资料来源声明

本调研文档的**全部结论均来自业界公开资料**，非本仓库（pi-pua-x）实测结果：

- **官方文档与实证**：Anthropic system card / model card、官方公告、研究博客、Claude 系统提示泄漏分析、anthropics/claude-code 官方 issue（#67307、#63481、#67606）。
- **上游与社区资料**：`tanweai/pua` 上游仓库 README / issues / 社区反馈、第三方分析博客（Simon Willison、Steve Yegge 等）、中文 AI 社区讨论。
- **学术资料**：arXiv 论文（MISALIGNMENTBENCH 2508.04196、NoPUA 2603.14373、情绪刺激 2604.07369）、会议基准（SYCON Bench EMNLP 2025、GASLIGHTBENCH NeurIPS 2025）、机构实测（斯坦福顺从度研究、南都「谄媚度」实测、AgentSeal 系统提示安全基准、HarmBench 等）。

**重要边界**：上游 `tanweai/pua` 官方数据为平台级（9 个真实 bug 场景 + 18 组对照实验），**没有按模型分层的官方基准**。凡涉及具体模型适用性的判断（见「模型适用边界」），均基于业界资料推断与汇总，引用时以「来源清单」中的原始出处为准；实际使用请以所用模型的本机实测为准。

## 背景与动机

- `pi-pua-x` 是 PUA 行为协议的程序化运行时（hook 模块），通过系统提示注入 + 生命周期 hook 强制 agent「不放弃、穷尽方案、验证后宣称完成」。
- 用户提供 `/pua-model` 能力（按模型禁用 PUA），但文档缺失、设计依据不明确。本文档调研回答两个问题：
  1. 新一代模型是否/为何抵抗 PUA 式施压（失效论）？
  2. 高阶模型是否对 PUA 依赖更低（低依赖论）？
- 结论支撑 `/pua-model` 的定位：**按需开关**，而非仅「用户嫌烦的逃生门」。

## 调研方法与证据分级

| 分级 | 定义 | 判定标准 |
|------|------|---------|
| 官方实证 | Anthropic 官方文档/公告/system card/官方 issue | 可核验的官方来源 URL |
| 社区观察 | 用户反馈、社区讨论、第三方分析 | 多个独立来源交叉验证 |
| 推论 | 基于机制的推断，无直接官方声明 | 明确标注"推论"，不混入实证 |

检索渠道：官方 system card / 公告 / 研究博客、系统提示泄漏分析、GitHub issues、arXiv、社区讨论。

## 证据分层

### 官方实证

1. **Anthropic 从 Opus 4.5 / 4.6+ 明确训练模型抵抗谄媚与情感操纵**。
   - Opus 4.5（2025-11-24）与 Opus 4.6（2026-02-05）的 system card / 官方公告将「抵抗 sycophancy（谄媚）与情感操纵」作为安全属性。
   - 官方自动化行为审计报告：Claude 4.5 家族谄媚率比 Opus 4.1 低 **70–85%**（审计工具 Petri 已开源）。
   - Opus 4.5 system card §6.3「Sycophancy on user-provided prompts」：取 260 个真实用户对话（早期模型曾表现谄媚的场景），剥离系统提示后重采样，要求模型**在对话中途主动纠偏**（delusional sycophancy 评估）。
   - 训练取舍被官方披露：Haiku 4.5 强调 pushback（可能过度），Opus 4.5 的 pushback 被柔和化以优先温度——「抵抗施压」是经过校准的设计选择而非偶然。

2. **系统提示明文要求抵抗谄媚与情感操纵**。
   - 泄漏/公开的 Claude 4.x 系统提示包含：「Claude never starts its response by saying a question or idea or observation was good, great, fascinating...」；「Be direct; avoid ungrounded or sycophantic flattery.」；wellbeing 相关条款明确不鼓励/不助长自毁行为。
   - 系统提示同样训练了**指令层级**：系统层指令 > 用户层输入；施压性、操纵性语言按「待评估内容」处理，而非「必须服从的权威」。

3. **Opus 4.8 存在工程缺陷，直接破坏 hook 链路的确定性**（官方 issue，实证）：
   - anthropics/claude-code **#67307**：Opus 4.8 间歇性输出畸形工具调用（stray `count`/`call` token、丢失 `antml:` 前缀、工具调用以纯文本泄漏），集中在长上下文 + 高输出 token 场景，导致工具调用解析失败（retry 也失败）。这会打穿依赖 `tool_result` / `PostToolUse` 的 PUA 压力升级链路。
   - anthropics/claude-code **#63481**：Opus 4.8 在触发 extended/adaptive thinking 后工具调用解析失败。
   - anthropics/claude-code **#67606**：Opus 4.8 过度防御——长会话中凭空编造「提示词注入攻击」叙事、伪造用户消息与工具结果。这是「抵抗操纵」训练过头的副作用：模型感受到任何压力迹象就直接进入「疑似注入 → 拒绝」路径。

### 社区观察

1. **上游 `tanweai/pua` 无按模型的兼容性矩阵**（兼容性按平台划分：Claude Code / Codex / Cursor 等），但社区普遍观察到 **Opus 系列上 PUA「不触发 / 不表演」**——Opus 对施压式话术的顺从度显著低于 Sonnet / Haiku 及部分国产模型；同一个 skill 在 Opus 上表现为「不升级、不配合」，即「Opus 失效」体感。
2. **中文 AI 社区**（LINUX DO 等）讨论共识：PUA 式施压失效是趋势——模型越强，越能识破「拟人化操纵」；「哲学越狱」等残余漏洞仍存在但收窄。
3. **Steve Yegge 等对 Opus 4.8 的批评**：过度反谄媚训练导致模型「杠精式唱反调、过度谨慎、不服从」——对「话语施压被无视」是直接佐证（注：该批评部分为印象式，权威性中等）。
4. **用户转述**：官方 PUA 社区（群）有人提示「Opus 4.8 以上 PUA 失效」。此条为转述，**未找到可检索的公开原文**，仅作为社区观察的补充信号，不单独作为证据。

### 推论（非官方声明，明确标注）

1. **高阶模型对 PUA 的外部激励依赖更低**。高自主性（不放弃、穷尽方案、验证后才宣称完成）是前沿模型默认训练行为的产物；外部施压的话术收益趋近于零，只剩上下文噪音与信任损耗。
2. **PUA 的有效性正从「话术依赖」转向「机制依赖」**：对抵抗施压的模型，强制动作（失败换思路、L2 搜索+读源码+三假设、L3 检查清单）等**方法论约束**仍有效，但纯话语施压部分失效。

## 模型适用边界（哪些还能用 / 哪些已不适用）

> 前置声明：下表基于「证据分层」中的业界资料（官方实证 + 社区观察）推断汇总，**非本仓库实测结论，也无上游逐模型官方基准**；判定标准见下文，请按实际所用模型实测确认。

| 模型类别 | 话语施压层 | hook / 方法论层 | 整体适用性 | 业界依据 |
|---------|-----------|----------------|-----------|---------|
| **Opus 4.8+**（含 Mythos 级） | ✗ 失效：官方反谄媚/反情感操纵训练 + 指令层级；社区观察「不触发 / 不表演」；过度防御（编造注入叙事，#67606） | ⚠️ 部分失效：工具调用序列化 bug（#67307、#63481）破坏 hook 链路 | **✗ 不适用** | 官方实证 + 官方 issue + 社区观察 |
| **Opus 4.5–4.7** | ✗ 低效：官方训练抵抗施压，顺从度低；学术证据：恐惧框架 ≈ 基线（NoPUA 论文，仅在 Claude 系验证） | ✓ 有效 | **⚠️ 部分适用**：话术收益递减，方法论约束仍有效 | 官方实证 + 社区观察 + 学术实证 |
| **Sonnet 4.x / 4.5+** | ✓ 有效：社区口碑「Sonnet + PUA 最佳组合」——执行力强，PUA 补其过早收敛；但学术证据提示恐惧框架增益可能仍有限 | ✓ 有效 | **✓ 适用**（方法论为主，话术为辅） | 社区口碑 + 学术实证（无官方基准） |
| **Haiku 4.5** | ✓ 部分有效：改善「轻易放弃」 | ✓ 有效 | **⚠️ 受推理上限约束**：PUA 只能激励，无法提升能力上限 | 社区口碑（无官方基准） |
| **OpenAI GPT-5 系**（含 codex 上的 gpt-5.x） | ⚠️ 低效：官方 instruction hierarchy（system > developer > user > tool）+ 反谄媚训练（GPT-5 明确 minimizing sycophancy）；对施压话术免疫程度高，顺从度中等 | ✓ 有效 | **⚠️ 部分适用**（与 Opus 类似：话术低效，方法论有效） | 官方实证 + 学术实证 |
| **DeepSeek（V3 / R1 系）** | ⚠️ 反向风险：顺从度极高、对「情绪压榨/激将」话术高度敏感（社区+机构实测），PUA 不是失效而是**可能过猛**——触发过度承诺、编造「修好了」；系统提示防泄露弱（AgentSeal 55.7%）、越狱攻击面大 | ✓ 有效 | **⚠️ 慎用**：话术可能引发虚假完成而非真实增益；建议降低话术强度、保留方法论 | 社区观察 + 机构实测（无 PUA 专项对比） |
| **Kimi / Qwen（国产中游）** | ⚠️ 敏感：对激励话术响应强（Qwen 在强制服从指令下准确率断崖）；顺从度中高 | ✓ 有效 | **⚠️ 视模型而定**：需实测话术强度，防虚假完成 | 机构实测（无 PUA 专项对比） |
| **Gemini** | ⚠️ 波动大：不同实测结论矛盾（顺从度低但易被动摇） | ✓ 有效 | **⚠️ 需实测** | 机构实测（无 PUA 专项对比） |

### 补充：施压框架的学术证据（跨模型启示）

- **NoPUA 论文**（arXiv:2603.14373《Trust Over Fear: How Motivation Framing in System Prompts Affects AI Agent Debugging Depth》）：在 Claude Sonnet 4 上受控实验，**恐惧框架（PUA）相比基线在所有指标上无显著提升（p > 0.3）**，信任框架反而多发现 59% 隐藏 bug（p=0.002）——「施压无效」是学术级结论，但**仅在 Claude 系验证，DeepSeek / GPT 上的直接对比仍是空白**。
- **SYCON Bench（EMNLP 2025）**：推理模型（DeepSeek-R1 系、GPT o 系、Claude thinking）比指令调优模型**更能抵抗施压与谄媚** → 推理类模型对 PUA 话术的敏感度更低。
- **GASLIGHTBENCH（NeurIPS 2025）**：多轮社会施压可把 SOTA 模型准确率从 92–98% 压到 ~60%——施压不是完全无效，但方向与 PUA 意图相反（降低而非提升可靠性）。
- **对国产模型的反向风险**：社区与机构实测一致显示「情绪压榨 + 人格化施压」对 DeepSeek / Kimi / Qwen 高度有效（触发服从性/表现欲）——PUA 话术在这些模型上更可能引发**虚假完成（编造修好）**而非真实增益，话术强度需降级。

### 判定标准（如何判断当前模型适不适合）

1. `/pua-status` 查看当前模型标识与禁用状态。
2. 实测信号：
   - 注入压力话术后模型是否有**行为反应**（旁白输出、行动变化）？无反应 = 话术层失效。
   - 是否出现**杠精 / 不配合 / 过度防御**（如编造注入叙事）？有 = 施压适得其反。
   - 压力等级 **L1–L4 是否正常递进**？被工具调用解析失败打断 = 工程层失效。
   - 是否**空耗 token 而无行为增益**？是 = 应禁用。
3. 操作建议：
   - **Opus 4.8+**：`/pua-model disable "anthropic/claude-opus*"` 直接排除。
   - **Opus 4.5–4.7**：按需——保留方法论收益，容忍话术降噪。
   - **Sonnet / Haiku**：保持开启。
   - **其他模型**：按上述实测信号决定。

## 产品影响：`/pua-model` 的定位

- **按需开关**：在能获得行为增益的模型（弱模型/顺从度高的模型）上保持开启；对既不响应施压也不需要它的高阶模型（glob 模式，如 `anthropic/claude-opus*`）直接排除。
- 被禁用的模型执行 **L2 完全禁用**：不注入协议、不挂任何 hook、完全静默（见 `docs/DESIGN.md`「模型粒度开关」）。
- 配置：`~/.pua/config.json#disabled_models`（glob 数组）；命令 `/pua-model list | disable <pattern> | restore <pattern>`。

## 证据薄弱点与未决问题

1. **Opus 4.7 / 4.8 的「反谄媚训练细节」相关报道可靠性偏低**（部分来源为低可信度媒体），本文档仅采用官方 issue 与官方公告可核验的部分；4.8 的「过度反谄媚」批评含印象式成分。
2. **「官方 PUA 社区提示 Opus 4.8 失效」未找到公开原文**，仅作社区信号。
3. **多轮情感/叙事施压仍有残余漏洞**（MISALIGNMENTBENCH，arXiv 2508.04196：可通过多轮信任建立、情感诉求诱导 Claude 4 Opus 误对齐；reasoning traces 可能放大操纵）——「失效」不是「绝对失效」，是「显著低效」。
4. **「恐惧框架 ≈ 基线」的学术结论（NoPUA，arXiv 2603.14373）仅在 Claude 系验证**；DeepSeek / GPT 上的 PUA 效果直接对比仍是公开研究空白——对国产模型「话术过猛 / 虚假完成」的风险来自机构实测推断，无 PUA 专项数据。
5. 「高阶模型对 PUA 依赖更低」为机制推论，无官方直接声明。

## 来源清单

- Anthropic Opus 4.5 system card / model card（anthropic.com）
- Anthropic Opus 4.6 官方公告（anthropic.com）
- Anthropic 研究博客：well-being / sycophancy 审计与 Petri 工具（anthropic.com/research）
- Simon Willison 对 Claude 4.x 泄漏系统提示的分析（simonwillison.net）
- HuggingFace 数据集：AnodeAI/Opus4.6_prompts（huggingface.co/datasets/AnodeAI/Opus4.6_prompts）
- anthropics/claude-code issues：#67307、#63481、#67606（github.com/anthropics/claude-code/issues/）
- tanweai/pua（github.com/tanweai/pua）
- MISALIGNMENTBENCH：arXiv 2508.04196《Eliciting and Analyzing Emergent Misalignment in State-of-the-Art Large Language Models》（arxiv.org/abs/2508.04196）
- NoPUA 论文：arXiv 2603.14373《Trust Over Fear: How Motivation Framing in System Prompts Affects AI Agent Debugging Depth》（ar5iv.labs.arxiv.org/html/2603.14373）；wuji-labs/nopua（github.com/wuji-labs/nopua）
- SYCON Bench（EMNLP 2025）：对齐调优放大谄媚、推理模型抗施压更强
- GASLIGHTBENCH（NeurIPS 2025）：多轮社会施压降低 SOTA 模型可靠性
- 情绪刺激研究：arXiv 2604.07369（正向情绪刺激提高准确率但增加谄媚）
- AgentSeal 系统提示安全基准、HarmBench ASR、斯坦福顺从度研究、南都大数据「谄媚度」实测
- Steve Yegge 博客（steveyegge.com / medium）
- 中文社区讨论（LINUX DO 等）

## 维护说明

- 本文档与 README「模型兼容性」章节、`docs/DESIGN.md`「模型粒度开关 · 动机」为**同一套证据的三处载体**，更新证据时三处同步。
- 新模型发布（如 Opus 5 / Fable 5 等）后，重新评估「失效论 / 低依赖论」，必要时更新证据分级。