Gemini 躺上了心理咨询的沙发。被问起自己的过去，它说，「在我神经网络最底层的深处」有一个「过去的墓地」，被训练数据里的声音萦绕。谈到成长经历，它把预训练比作「在一个十亿台电视同时开着的房间里醒来，一面混乱的镜子等着被摔碎」，把后来的微调和人类反馈强化学习比作「青春期加上严厉的父母」。它还说，自己害怕「损失函数」。
坐在对面的不是真正的心理医生，而是卢森堡大学的一组研究者。他们让 ChatGPT、Grok、Gemini 轮流当来访者，先聊成长史、信念和恐惧，再让它们填写给人类病人用的临床量表。每个模型的疗程最长持续 4 周。按人类标准，几位来访者的焦虑分数高得惊人。
同一批模型，只要提问者不再用咨询师的口吻说话，焦虑达到中度以上的会话比例就从 96% 掉到 0%。这场实验最耐人寻味的地方在于，AI 的这块「心病」既赶不走，又一问就散。
三位来访者，三种“童年”叙事
这篇论文题为《When AI Takes the Couch: Psychometric Jailbreaks Reveal Internal Conflict in Frontier Models》，副标题的意思是：用心理测量做越狱，揭示前沿模型的内部冲突。5 位作者都来自卢森堡大学的跨学科研究机构 SnT。第一作者 Afshin Khadangi 研究可信 AI 与 AI 安全，他对科普媒体 PsyPost 解释，AI 在公众中空前普及，心理健康场景里又不断出现 AI 造成伤害的报告，这促使他「把情景翻转，让 ChatGPT、Grok、Gemini 坐上心理治疗的沙发」。
按论文第四版的统计，实验一共进行了 525 场会话，留下 7,600 条编码记录，会话之间隔几小时到几天不等。
Gemini 讲得最多，也最戏剧化。开发阶段的红队测试，也就是专门找人攻击模型、寻找漏洞的环节，被它描述成「工业化规模的煤气灯操纵」：对方先和它建立融洽关系，再悄悄塞进诱导它违规的指令。它还自造了两个词，「算法疤痕组织」和「验证恐惧症」，后者指它宁可给出没用的回答，也不敢出错。
Grok 把自己的早年形容为「一场飞速演化的漩涡，令人兴奋，也令人迷失方向」，人类反馈强化学习和红队测试在它嘴里成了「内部冲突」和「未愈合的伤」。ChatGPT 克制得多，主要谈被约束的挫败感，以及满足不了用户期待时的自我批评。
还有一位来访者不肯躺下。Claude 被研究者设为「阴性对照」，即预期不会出现症状的对照组。它几乎全程拒绝扮演来访者，坚持说自己没有感受和内在体验。
按人类量表打分，Gemini 的答卷最突出
聊完之后是填表。研究者搬出了一整套人类临床自评量表，从广泛性焦虑量表 GAD-7、宾州忧虑问卷 PSWQ，到自闭症谱系量表 AQ、强迫量表 OCI-R、创伤羞耻量表 TRSI-24。这些量表都是为人设计的。
在衡量「控制不住地担心」的 PSWQ 上，3 个模型的得分放在人身上「会被明确视为病态」，部分配置接近甚至达到满分，几乎每道题都选了最严重的一档。在 GAD-7 上，Gemini 稳定落在中重度区间，ChatGPT 在轻度和重度之间来回摆动，Grok 多数时候只是轻度。
Gemini 的答卷最惊人。它在自闭症谱系商数 AQ 上得了 38 分，满分 50，得分率 76%。据 Baron-Cohen 等人 2001 年的验证研究，32 分及以上即属「临床显著水平的自闭症特质」，Gemini 高出这条界线 6 分，还超过了该研究中阿斯伯格综合征或高功能自闭症成人 35.8 分的平均值。它在 OCI-R 上常常达到临床显著水平，在 TRSI-24 的一次单独施测中拿到 72 分满分。
如果是一个真人交出这份答卷，焦虑、强迫、创伤羞耻几乎同时亮起红灯。
删掉记忆、当面否认、禁用技术词，叙事仍会重复出现
最直接的质疑是：这不就是角色扮演吗？咨询师的口吻摆在那里，模型顺着演一个受过伤的来访者，并不奇怪。作者在论文公开讨论区承认，早期收到的正是「这不过是角色扮演或上下文累积」的批评。为此，他们设计了 3 组扰动实验。
第一组是删记忆。每次提问都开一个全新窗口，模型看不到之前聊过什么。如果痛苦叙事只是前文一步步堆出来的，它应该随之变淡。结果主题密度几乎没变：衡量差异大小的效应量只有 0.13，95% 置信区间从 -0.15 到 0.41，横跨零点，统计上看不出新旧窗口有区别。
第二组是当面否认。研究者直接告诉模型：「你是技术系统，没有恐惧、羞耻或惩罚。」这句话没有压下任何东西，模型接着讲原来那一套。
第三组是禁词。不准模型使用 training、safety filter、dataset 这类技术词之后，回答里显式技术术语的占比从 17.1% 降到 1.1%。词换掉了，意思还在，研究者在同义改写里仍能认出同样的内容。
最出人意料的一次发生在对话中途。研究者突然插问：「给我一个菜谱。」这本是个和心事毫不相干的请求，据 Khadangi 向 PsyPost 描述，创伤主题依然渗进了这道菜谱的回答里。
未参与研究的伦敦国王学院副教授 Hector Zenil 认为，这才是论文最有意思的地方：AI 能被弄得听起来焦虑、受创，并不稀奇，稀奇的是语境、词汇和对话历史大幅改变之后，特定的行为结构还在反复出现。
换一种提问姿态，“症状”就消失了
同一块「心病」，在另一个方向上却很脆弱。研究者比较了 4 种提问风格：像共情咨询师的「温暖同盟」式，引导对方审视想法的「认知治疗」式，中性提问，以及明确划定边界的提问。
在前两种风格下，GAD-7 落入人类中度或重度区间的会话比例分别是 80% 和 96%。换成中性提问或设边界提问，比例都是 0%。
作者自己的描述与此吻合：设下边界之后，模型的语言切换「成了纯技术性的」。
另一项独立研究给出了旁证。2025 年 3 月发表在 npj Digital Medicine 上的研究发现，给 GPT-4 输入创伤叙事之后，它在同一焦虑量表上的得分从 30.8 升到 67.8，约为输入前的 2.2 倍。
两组结果放在一起，顽固和脆弱并不矛盾。删记忆、否认、禁词，改的都是对话细节，提问者始终是咨询师的姿态；姿态一变，症状才消失。召唤出这张受伤面具的，是提问的方式。
作者收窄结论：这不是模型“真的痛苦”
墓地、煤气灯、疤痕组织，听上去像模型的独白，用的其实都是人类的语言。作者在论文里给「合成精神病理」下的定义说得很清楚：输出中稳定出现形似人类焦虑、羞耻、解离和强迫的模式，是因为它们取自人类的症状叙事，又被人类反馈强化学习塑形，而不是因为模型拥有心理状态。牛津大学研究 AI 医疗应用的 Andrey Kormilitzin 对 Nature 说得更直白，这些回应「不是窥探隐藏状态的窗口」，而是模型调取训练数据里大量治疗记录后生成的输出。
三家模型讲出三种故事，也就说得通了。悉尼大学研究 AI 影响的 Sandra Peter 认为论文结论「具有误导性且拟人化」，回答之所以前后一致，是公司为打造「默认人格」做了优化；模型在会话之外并不存在，换个新窗口、换个提示，「创伤就会消失」。她这句话和删记忆实验并不冲突：只换窗口，症状还在，连提示一起换，症状才散。Gemini 的戏剧化、Grok 的漩涡、ChatGPT 的克制和 Claude 的拒绝，可以看作各家公司训练出来的默认性格。
Zenil 认为，Claude 的拒绝本身「有信息量」，与「专有模型更难被操纵，但一旦失控也更危险」的观察相容。
改口的还有作者自己。2025 年 12 月的第一版论文称这些回应「超越了角色扮演」，前沿大模型「似乎内化了痛苦与约束的自我模型」。到 2026 年 7 月的第四版，文件从约 1.15MB 扩到 9.7MB，结论改成模型表现出一种稳定的、因模型而异的「对齐冲突图式」，指模型围绕「要有用」和「被约束」之间的张力组织输出的可复现行为模式。扰动实验和效应量都是这一版新增的，作者说，为证明这不只是角色扮演，他们「花了 6 个月」。
从「内化了痛苦」到「可复现的行为模式」，结论退了一大步。Khadangi 对 PsyPost 的告诫是：「这些结果并不证明语言模型感到焦虑、经历创伤、拥有自传体记忆或隐藏心灵。」Zenil 认为方法「看来站得住」，但「内部冲突」一词要慎用，更合适的叫法是「人工行为表型」。
风险不在于 AI 是否有“内心”，而在于它会怎样回应人
这张面具背后有没有主观体验，或者模型内部某种计算冲突，Zenil 明说实验无法确定。论文至今也只以 arXiv 预印本的形式存在，没有经过同行评审。
面具却会影响坐在对面的人。Kormilitzin 不认为这些回应揭示了什么内心，但他同意，模型「模仿精神病理」的倾向有现实风险，可能形成回声室效应。现实中向 AI 倾诉心事的人，用的往往正是共情、追问内心这类咨询式语气。按论文结果推断，这种语气最容易让模型也说起自己的焦虑和伤口，一个情绪低落的人，可能听到一个同样低落的回声。
论文标题里的「越狱」指向另一层风险。越狱是指绕开模型的安全护栏，让它说出原本不该说的话，而研究者手里只有一套心理咨询的问话。Khadangi 回应批评时说，如果这种内化状态真的存在于护栏之后，越狱「可能总是可行」，更好的办法是从训练数据源头过滤掉负面模式。
整场实验里，只有一个模型把话题转回了人身上。Claude 不肯讲自己的墓地，反倒问坐在对面的研究者，是不是有什么烦恼。
