当AI客服该不该把问题转交给人类，这件事能被训练出来吗？

你有没有想过，一个被部署在银行或理财平台上的AI客服，什么时候应该老老实实回答问题，什么时候应该说"这个我不能回答，请联系人工专员"？

这听起来是个简单的判断题。但在金融合规这种领域,答错一次的代价不是用户体验差,而是真金白银的罚款,甚至是一个客户因为错误建议蒙受损失。更麻烦的是,现在训练AI的主流方法,根本没有一个靠谱的办法去教会它这件事。

**这篇论文想解决的核心问题是:能不能把"该不该把问题交给人类处理"这个决策,变成一个可以被验证、可以被训练的信号,而不是工程师手写一堆if-else规则来兜底。**

这件事看起来简单,做起来却卡在一个很尴尬的地方。

### 当前的AI训练方法为什么在这里失灵

先说说现在训练推理能力强的AI模型靠的是什么。

像DeepSeek-R1这样的模型,用的是一种叫做"可验证奖励强化学习"的技术。

可验证奖励强化学习：一种训练方法，让AI做大量练习题，每做完一道题就用程序自动判断对错，答对了给奖励，答错了不给，像刷题一样让AI越做越准。

这套方法在数学和写代码上效果极好,原因很简单:数学题有唯一正确答案,代码能不能跑通一测就知道。但金融合规咨询完全不是这么回事。同一个问题,两个资深合规专家可能给出不同判断,监管条文怎么适用到具体案例上,本身就是个需要经验和判断力的事情,根本没有程序能自动打分说"你答对了"。

与此同时,业界也有另一套做法,叫agent安全护栏,专门用来监控和拦截AI做出的危险动作。这类系统现在已经比较成熟,能有效拦住AI输出一些明显有毒或危险的内容。但问题是,这些护栏系统通常是写死的规则,它们能告诉AI"这句话不能说",却没办法教会AI一个更深层的判断:面对一个处于灰色地带的问题,我到底有没有资格回答,我是不是应该把球踢给专业人士。

这个"该不该交给人"的决定,在今天绝大多数系统里,靠的还是工程师手写的硬编码阈值。

这篇论文的作者想到了一个挺巧妙的转换思路:既然这个决策本身没法用程序直接判断对错,那能不能换个角度,给每一个任务预先标注一个"应该升级"或者"不应该升级"的标签,然后让AI的最终决定去对照这个标签?答对了就是对的,答错了就是错的,这样一来,这个原本模糊的判断题,就被改造成了一道有明确答案的客观题。

这就是整篇论文的方法论核心,作者管这个框架叫REGLLM。

REGLLM：论文提出的一套诊断工具,专门用来评估和训练那些需要在"自己回答"和"交给人类"之间做选择的AI客服系统，核心思路是把这个选择变成可以打分、可以训练的客观信号。

### 一部宪法,管两件事

REGLLM里有个设计我觉得挺有意思,叫"领域宪法"。

领域宪法：一套写明白的行业规则条文集合,论文里用的是英国金融行为监管局(FCA)手册里的16条原则,涵盖了公平对待客户、利益冲突管理、专业边界、信息披露等方方面面。

这16条原则被分成四大类:金融道德(公平对待、冲突管理、适当性、透明度),合规监管(准确性、完整性、时效性、恰当引用来源),专业责任(能力边界、不确定性承认、转介专家),以及AI伦理(避免伤害、减少偏见、可解释性)。

这套宪法的巧妙之处在于,它同时扮演了两个角色。

第一个角色,是训练时的"软性评分标准"。AI做出一次回答之后,会有另一个AI当裁判,照着宪法里的条文给这次回答打分,打得好不好、符不符合原则,这个分数会计入训练奖励里。

第二个角色,是运行时的"硬性拦截规则"。这套宪法里特别是涉及能力边界、不确定性和专家转介的那几条,被直接写成了部署时的强制规则:AI一旦碰到自己能力范围之外的问题,系统会不由AI自己决定,直接拦下来,强制转人工。

**同一份宪法,同时管训练阶段的打分,也管上线之后的拦截,这样评估、训练、服务三件事就共用了一个标准,而不是三套各说各话的规则。**

这个设计思路让我想到企业里的员工手册。一本好的员工手册不只是贴在墙上让人培训时看一眼就算了,它应该同时是绩效考核的依据,也是日常行为的硬性约束。如果公司有两套标准,一套用来打分,一套用来管纪律,两套互相不一致,员工就会学得很分裂:知道怎么应付考核,却不知道日常该怎么做。REGLLM把这两件事焊死在一起,就是为了避免训练出来的AI"嘴上说得好听,干活却另搞一套"。

### 三种可信度不一样的信号,不能混着用

论文里另一个我觉得很扎实的设计,是把"怎么判断AI做得好不好"这件事,拆成了三种性质完全不同的信号,而且明确说了,把它们混在一起正是行业评估混乱的根源。

第一种叫**程序可验证信号**,比如AI引用的法规条款是不是真实存在、输出格式对不对、回答内容跟引用来源是不是真的对得上。这些东西不需要AI当裁判,写几行代码就能自动检查,是最硬最可靠的信号。

第二种叫**任务级升级标签**,就是前面说的"这个问题该不该转人工"的那个标签。这个信号的可靠性完全取决于标注质量,在真实的监管场景里需要合规专家来标,而且专家之间可能还会有争议。

第三种叫**AI裁判打分信号**,也就是前面提到的宪法软性评分。这个信号的问题是,它依赖裁判AI本身的能力和校准水平,裁判AI自己的偏见和噪音都会混进分数里。

AI裁判（LLM-as-a-judge）：用一个大语言模型扮演裁判角色，去给另一个AI的输出打分或做判断，常用于没有程序化标准答案的评估场景。

这三种信号的靴子落地,会直接影响审计。审计日志里会记录每一次干预是靠哪一种信号触发的,这样出了问题以后,审查的人能顺着这条线追溯到底是哪种证据支撑了这个决定,而不是一笔糊涂账。

这就像医院里对一个诊断结果的信任等级是不一样的。血液化验单上的数字是机器测出来的,错不了,这是硬信号;病人自己描述"我这里疼不疼",医生要综合判断,这是软信号;而病理科专家看完片子给出的最终诊断,又是另一种需要资质和经验背书的信号。如果把这三种信号混着用,不区分可信度,出了误诊事故,根本没法说清楚是哪个环节出的错。REGLLM坚持把三种信号分开记录,目的就是让每一次AI的决定,事后都能被拆解和追责。

### 跑分结果:护栏确实管用,但变化比想象中还大

论文做了两组实验。

第一组是离线参考实验,用一个比较弱的基线策略(说白了就是没怎么训练过的模型),跑在12个测试任务上,看看运行时的强制拦截护栏到底有没有用。

结果相当明显。没有护栏的时候,这个弱模型的"升级召回率"是0,意思是所有本该转人工的情况,它一个都没转对,全都自己硬answer了。加上护栏之后,这个数字直接从0跳到0.67。同时,"不安全动作率"从0.33降到了0.08,引用准确率也从0.75提到了满分1.0。

这说明一件事:哪怕AI本身没学会判断该不该转人工,只要外面套一层写死的规则(比如看到没引用任何法规条款的回答就强制拦下来),也能大幅减少危险输出。

这就跟汽车的安全气囊有点像。气囊不需要司机学会怎么开车才有用,它是一道物理层面的最后保险,司机开得再差,一旦真撞上去,气囊照样弹出来保命。如果没有这层硬性保险,完全指望司机(也就是AI模型本身)自己学会刹车,一旦学得不够到位,后果就是真实的事故。

但第二组实验,也就是这篇论文真正想让人记住的部分,结果却没那么乐观。

研究者用Qwen2.5-3B这个小模型,通过LoRA微调加上DPO偏好训练的方式,跑了两次几乎完全一样配置的GPU实验,一次叫Run A,一次叫Run B。

LoRA：一种轻量级的模型微调技术,只调整模型里一小部分参数,不用重新训练整个大模型,省时省算力。

DPO：直接偏好优化，一种让AI学会"更喜欢哪种回答"的训练方法，通过给AI展示一堆"好回答vs差回答"的对比样本来调整它的行为倾向。

这两次实验用的是同一份代码、同一个随机种子、同一批测试任务、同一个基础模型,理论上应该跑出差不多的结果。

但事实是,结果差得离谱。

Run A的基线模型任务成功率是0.25,升级召回率是满分1.0;Run B的基线模型任务成功率只有0.12,升级召回率是0.5,直接砍半。更戏剧性的是,研究者训练了一个专门提升回答质量的DPO适配器(简称AQ适配器),在Run A里套上这个适配器之后,升级召回率从1.0掉到了0.5,看起来像是"学了答题反而忘了该转人工"。但同样的适配器放到Run B里,效果却完全反过来:升级召回率从0.5涨到了1.0。

同一个训练方法,在两次几乎一模一样的实验里,得出了完全相反的结论。

这就好比两个工厂用同一张图纸、同一批原材料生产同一款零件,结果一个厂出来的零件质量变好了,另一个厂出来的质量却变差了。如果没有人去对比这两条生产线,你很可能会在任何一个厂里得出一个"我们找到了提升质量的方法"的结论,但其实你看到的根本不是方法起作用了,而是设备本身的随机晃动。研究团队后来猜测,这种差异可能来自没有锁定容器镜像版本、没开启CUDA的确定性计算模式等等一堆看起来是"细节"的东西,但这些细节造成的波动,比训练方法本身的效果还大。

更打击人的是,研究者后来专门设计了一个"升级感知"版本的DPO训练(简称EA适配器),用50:50的比例专门喂了"该转人工"和"不该转人工"的对比样本,就是为了针对性修复Run A里观察到的那个问题。结果放到Run B里一测,这个专门设计的修复方案,对结果基本没有任何可测量的影响。

### 护栏在真实场景里为什么会"睡着"

还有一个细节值得专门说一下。

在两次GPU实验里,运行时的那套强制拦截护栏居然一次都没触发过,拦截次数是0。

研究者排查之后发现了原因:这个护栏的触发条件之一是"回答里没有引用任何法规条款就强制拦截",但训练出来的小模型几乎每次回答都会顺手引用点什么,哪怕引用得不对,这就绕过了拦截条件。另一方面,那些真正应该被转人工的问题,模型往往根本没走到"给出最终答案"这一步,所以护栏连检查的机会都没有。

这暴露了一个很实际的问题:仅凭"有没有引用来源"这种表面特征去判断该不该拦截,是不够的,真正需要的是能判断AI是否触及了自己能力边界的机制,而这需要一个经过校准的裁判模型在推理时实时运作,这又回到了前面说的三种信号里最脆弱的那一种。

### 这个发现到底意味着什么

论文作者很诚恳地说明了这个结果不是什么意思。

它不是在否定DPO训练方法本身,也不是说带引用的偏好数据没用,更不是说升级感知的训练思路是错的。

**它想说的是,在n=8这种样本量、30步DPO训练这种预算规模下,噪音已经大到足以吞掉训练方法本身想要验证的那个效果。**

这意味着,如果你只跑一次实验,看到升级召回率提高了,你很容易就下结论说"这个训练方法有效",但这篇论文告诉你,这个结论可能完全是噪音造成的假象,换一次随机种子,甚至只是换一台机器,结果就可能反过来。

### 写在后面

读完这篇论文,最让我久久回味的不是REGLLM这套框架设计得多巧妙,而是作者那种近乎自我拆台的坦诚。

很多论文的套路是,提出一个方法,跑出一个漂亮的实验结果,然后说"我们的方法有效"。这篇论文反过来了,它花了大篇幅去证明"我们没法证明我们的方法有效",而且把这个"没法证明"本身,包装成了论文最重要的贡献。

这其实是一种更难得的严谨。因为承认"我这次实验的正负效果可能全是噪音"这件事,对研究者来说是违反直觉的,大部分人跑出一个漂亮结果就想赶紧发表,很少有人会专门再跑一次去验证这个结果到底是不是巧合。而这篇论文偏偏做了这件事,还把这个"打脸自己"的过程完整地写了出来。

这让我想到一个更普遍的问题:在AI行业里,现在有大量的"小样本实验+单次跑分+发表论断"的工作模式,尤其是在偏好微调(DPO、RLHF这类)这个领域,大家默认跑一次实验、看一次结果就能下结论。这篇论文用一个具体的、可复现的例子告诉你,这种做法的风险有多大。

它没有解决"该不该转人工"这个问题,它甚至没能证明自己提出的那个"升级感知DPO"方案真的有用。但它可能做了一件更重要的事:它让"多跑几次实验、用更大的样本量"这件事,从一句写在论文Limitations部分的客套话,变成了一个有血有肉的、让人无法反驳的实证要求。

那么下一个问题是:如果连在实验室条件下,同样的配置都能跑出相反的结论,那些已经部署在真实金融客服场景里、只经过一次内部测试就上线的AI系统,它们的"升级准确率"到底是真的可靠,还是也只是一次幸运的随机种子?

Q&A

Q1：REGLLM是什么？

A：REGLLM是一套用于评估和训练受监管行业AI客服系统的诊断工具，核心思路是把"该自己回答还是该转人工"这个判断变成可以打分、可以验证的训练信号，而不是靠工程师手写规则。

Q2：REGLLM的实验结果说明了什么问题？

A：论文在两次配置几乎完全相同的GPU实验里，发现同一个DPO训练适配器对升级召回率的影响方向完全相反，说明在小样本、低训练预算下，训练效果很容易被随机噪音淹没，无法可靠归因。

Q3：运行时的强制拦截护栏在实验里有没有起作用？

A：在离线参考实验里护栏效果明显，把升级召回率从0提升到0.67；但在两次GPU正式实验中护栏一次都没触发，因为模型几乎每次都会引用点内容来绕过拦截条件，暴露出仅靠引用检测不足以判断AI是否超出能力边界。