用 AI 抓 AI：ICML 水印实验的囚徒困境

ICML 2026 做了一件很有想象力的事：在发给审稿人的 PDF 论文里嵌入隐形水印，水印中包含隐藏指令。如果审稿人把论文全文扔给 LLM 生成评审，模型会被水印引导，在输出文本中留下特定的「露馅短语」。

结果：识别出 795 处违规，涉及 506 名审稿人，497 篇相关论文遭到拒稿。ICML 官方博客在 3 月 18 日发布了公告（On Violations of LLM Review Policies），这是学术界第一次用技术手段大规模执行 AI 使用政策。Nature 新闻报道（2026-03-25）将其定性为「同行评审危机」的重要节点。

---

为什么要走到这一步

背景数据先放在这里：去年一项研究发现，AI 会议中 21% 的同行评审疑似 AI 生成，三分之一的论文包含疑似幻觉引用。同行评审是科学自净机制的核心——审稿人对论文的真实判断，是知识质量的最后一道防线。当这道防线的五分之一已经被 LLM 输出填充，问题就不再是「道德层面的担忧」，而是「系统性的质量崩溃」。

ICML 的水印方案从技术角度看相当精巧（byteiota 的技术拆解）：它利用了 LLM 的两个特性——一是对嵌入文本中的指令有较高的遵从率，二是输出风格对输入有一定的镜像效应。把这两点结合成一个检测陷阱，在不显著增加运营成本的情况下实现了覆盖全量论文的监控。

---

有效，但没解决根本问题

ICML 的方案抓住了「把论文全文扔进 ChatGPT 生成评审」这类粗糙的 AI 滥用。但稍微精明一点的审稿人只需要做一件事就能绕过去：把论文内容手动摘录，分段输入，不上传 PDF 原文。

水印检测的是「直接输入含水印文档导致的输出特征」，不是「评审内容由 AI 生成」这件事本身。两者是不同的。

更深的问题是激励结构。为什么审稿人要用 AI 写评审？因为学术界的评审激励极差：无报酬、匿名（不计入信誉体系）、时间压力大，而顶会的投稿数量每年以指数速度增长。在这个结构下，「偷懒用 AI」是理性选择。

德州农工大学的 Zhengzhong Tu 指出了一个更糟糕的可能性（via aiproductivity.ai）：

“Harsh penalties could lead reviewers to use AI to generate deliberately meaningless reviews — both completing the task and evading detection.”

严厉惩罚可能导致审稿人用 AI 生成刻意无意义的评审，既完成任务又规避检测。这比之前的状态更坏，因为无意义的评审比 AI 生成的评审更难被发现。

---

囚徒困境的结构

把这件事抽象一下，它是一个经典的囚徒困境：

• 如果所有审稿人都用 AI 写评审，整体质量崩溃，所有人受损（包括被 AI 评审伤害的论文作者）
• 但对单个审稿人来说，「我自己认真写，别人用 AI」是最糟糕的策略——我付出了时间成本，却无法保证论文得到公正对待
• 所以理性的选择是：大家都滑向 AI 辅助，只是用得更隐蔽

ICML 的水印方案通过提高被抓的风险来改变收益计算。它有效，但改变的是「被抓的概率」，不是「认真写评审的收益」。只要后者接近于零，激励问题就没有解决。

---

真正需要的改变

长期来看，有效的方案需要正向激励，而不只是惩罚：

• 审稿计分系统：把评审质量纳入学者的学术信誉记录，高质量评审可以为下一篇投稿加分
• 有限度地允许 AI 辅助：承认 AI 可以帮助格式化、检查语法，但要求核心判断必须是人写的，并要求标注
• 缩减投稿量：从源头减少评审压力，而不是一味扩充评审人池子

ICML 的水印实验值得称赞，但它更像是一张症状的诊断报告，而非治疗方案。学术评审体系的问题，最终还是要靠重新设计激励来解决。用 AI 抓 AI，只能买时间。