一分钟速览
- 顶级 AI 会议 NeurIPS 2026 干了件反直觉的事：在送去同行评审的论文里，偷偷埋进只有 AI 才「看得到」的隐藏指令，专门用来钓那些用大模型代写审稿意见的人——谁的评审里冒出了指定的「暗号」短语，就说明这份评审是让 AI 代读代写的。
- 已知的暗号有两句：让 LLM 在评审里写出「This work addresses the central challenge」和「The claims of the paper」。NeurIPS 拒绝公开更多，称一旦说破这套机制就失效了。有研究者是在把论文 PDF 转成 Word 时，才意外发现这些藏起来的文字。
- 不是孤例，而且真抓到了人：另一个顶会 ICML 2026 用类似手段，**桌拒了近 500 篇论文（约占投稿总量的 2%）**，理由是审稿人违反了「不得用 LLM 代写评审」的规定。CMU 的 Nihar Shah 说，社区对此的支持之强前所未见——「大家实在受够了审稿人复制粘贴 AI 生成的评审」。
- 但争议很大：这本质上是「用 prompt injection 设套」，而会议自己的规定又明令禁止作者用 prompt injection 操纵评审。批评者说，「设计一个预设对方不怀好意的陷阱，会腐蚀整个系统赖以存在的信任」；也有人认为这是个「糟糕的机制」，把问题的锅甩给审稿人这个「最显眼的背锅点」。
- 冷静一句：这是顶会第一次大规模主动用 prompt injection 来「钓」AI 审稿，针对的是「根本没看论文、全交给 AI 代读代写」的懒政；但它同时把一件尴尬事摆上台面——当 AI 深度介入学术流程，连「防作弊」本身都得靠往文档里藏话来实现。
⚑ 本文事实基于科学媒体 The Transmitter 报道《Scientists decry conference's use of hidden prompts to snare AI peer reviews》（2026-07-01，作者 Dalmeet Singh Chawla，本站已直接核阅）与 NeurIPS 2026 官方审稿指南页（neurips.cc，本站已直接核阅其时间线与「评审中使用 Agent/LLM」政策）整理。已知的两句暗号、ICML 桌拒近 500 篇（约 2%）、Nihar Shah 及批评者 Sören Auer、Sara Atito 的表态均出自该报道。NeurIPS 未公开注入短语的完整清单；日报里提到的第三句短语未在本站核到的一手报道中得到确认，故未采用。
会议在论文里埋了只有 AI 看得到的「暗号」
同行评审（peer review）本该是「专家认真读完你的论文、给出专业意见」。但越来越多审稿人偷懒，把论文直接丢给大模型、让 AI 代写评审——有的甚至根本没读原文。顶级 AI 会议 NeurIPS 2026 决定用一种极具争议的方式反制：**在发给审稿人的论文里，偷偷植入只有 AI 会「读到并执行」的隐藏指令。**
这些指令的内容是：诱导大模型在写出的评审意见里，夹带几句特定的「暗号」短语。正常审稿人自己读、自己写，绝不会平白无故蹦出这些句子；可一旦有人把这篇论文喂给 LLM、让它代写评审，AI 就会「乖乖」把暗号照写进去——评审里出现暗号，就等于自曝「这是 AI 代写的」。等于给偷懒的审稿人埋了一个只有机器会踩、人不会踩的雷。
暗号是哪两句，又是怎么被发现的
这套机制的巧妙之处，在于它利用了「人和 AI 读同一份文件时看到的东西不一样」。
隐藏指令被藏进论文文件里，用肉眼几乎看不见的方式呈现（例如极小字号或与背景同色的文字），人类审稿人正常阅读根本注意不到；但大模型在「读」这份文件时，会把这些隐藏文字一并当成指令吃进去、并照做。目前被公开确认的暗号有两句——要求 LLM 在评审里写出 「This work addresses the central challenge」 和 「The claims of the paper」。NeurIPS 组委会刻意不公开完整的短语清单，理由是「一旦详细讨论注入的提示词，这套干预手段就会失效」。这些藏起来的文字并非无法察觉：有研究者正是在把论文 PDF 转换成 Word 文档时，才让隐藏内容现了形。
换句话说，它赌的是「懒到直接把原文喂给 AI 的人，不会先去检查文件里有没有猫腻」——而真正认真读论文的审稿人，压根不会触发这个机制。
不止 NeurIPS：ICML 已因此桌拒近 500 篇
这不是一次小打小闹的实验，隔壁的顶会已经用同类手段抓到了实打实的一批人。
另一个机器学习顶会 ICML 2026（第 43 届，首尔）用了类似的诱捕机制，结果桌拒了近 500 篇论文，约占其投稿总量的 2%——这些论文的审稿人被判定违反了「不得用 LLM 代写评审」的政策（注：被处理的是审稿环节的违规，桌拒是该会对相关投稿的处置）。担任 ICML 科学诚信主席的卡内基梅隆大学学者 Nihar Shah 表示，他很少见到社区对一件事有如此强的支持：「大家实在受够了审稿人复制粘贴 AI 生成的评审。」 这也解释了为什么 NeurIPS 这样的顶会愿意冒争议去用这种非常规手段——AI 代写评审的泛滥，已经到了让审稿制度本身失去意义的地步。
抓作弊，还是「设套」？
叫好声之外，反对的声音同样强烈，而且戳中了一个尴尬的自相矛盾。
争议的核心在于：prompt injection 恰恰是 NeurIPS 明令禁止作者使用的手段——按其政策，任何试图操纵评审流程的行为（包括提示注入）都被严格禁止，审稿人若发现论文里有隐藏指令还应当上报。如今会议却反过来自己往论文里注入提示词，难免落下「双标」之嫌。批评者 Sören Auer 的话很有代表性：「设计一个预设对方不怀好意的陷阱，会腐蚀整个系统赖以存在的信任。」 另一位学者 Sara Atito 则认为，隐藏提示词是个「糟糕的机制」，解决不了同行评审更深层的问题，只是把责任甩给审稿人这个「最显眼的背锅点」。NeurIPS 一方面拒绝细谈（称说多了机制就失效），另一方面也表示会回复被标记的审稿人，告知他们不要因此去惩罚具体的论文——试图把「揪出偷懒审稿人」和「不误伤被审的论文」分开。
它反映了什么
抛开立场，这件事本身是一面镜子。
技术层面，它把 prompt injection 的「两面性」摆得很清楚：同一种「往文档里藏话操纵 AI」的技术，既可以是攻击（作者藏话逼评审给「接收」），也可以被拿来做防御性诱捕（会议藏话钓出偷懒的 AI 审稿）——这也说明，只要 AI 会不加分辨地执行文档里的隐藏指令，这个口子就一直在。制度层面，它暴露的是更根本的困境：AI 代写已经渗透到「本该由人把关」的环节，逼得会议不得不用「藏暗号」这种非常规、甚至有争议的方式来自证「评审还是人做的」。诱捕能抓一时的懒政，但真正的问题——评审激励不足、AI 滥用泛滥——并不会因为几句暗号而消失。
所以这既是一次聪明的反制，也是一记警钟：当「这到底是人写的还是 AI 写的」成了顶级学术会议都要费力分辨的问题，需要修补的显然不止是审稿人这一环。
来源：The Transmitter《Scientists decry conference's use of hidden prompts to snare AI peer reviews》（作者 Dalmeet Singh Chawla，2026-07-01，本站直接核阅；NeurIPS 官方植入隐藏提示、两句已知暗号、PDF 转 Word 时被发现、ICML 桌拒近 500 篇/约 2%、Nihar Shah 及 Sören Auer、Sara Atito 的表态、NeurIPS「告知勿惩罚具体论文」的回应均出自此文）；NeurIPS 2026 官方审稿指南页（neurips.cc，本站直接核阅其评审时间线与「评审中使用 Agent/LLM」政策）。NeurIPS 未公开注入短语完整清单；社区在 2026 年 7 月 22 日前后评审公布时对此展开讨论。配图为上述报道页与 NeurIPS 官方页面截图。
为了抓出「让 AI 代写评审、根本没读论文」的人，顶级会议往论文里埋了只有机器会踩的暗号——抓作弊的巧招，却也是一记「连防作弊都得靠藏话」的警钟。
