LLM 在文档编辑任务中的腐蚀并非简单的随机错误，而是具有特定结构的系统性失败。当模型执行多轮编辑时，它并不是逐步积累微小偏差，而是在某个临界点后出现突发性崩溃。这意味着腐蚀行为遵循 "阶梯式退化" 而非 "线性衰减" 的模式。以 20 次交互为周期，最强模型在第 15 至 17 轮附近开始出现严重腐蚀，而较弱模型可能在第 8 至 10 轮就已经崩溃。这种突发性特征意味着传统的 "累积容错" 设计在 LLM 编辑场景下完全失效。
损坏传播路径的量化分析
DELEGATE-52 基准揭示了三个关键的腐蚀传播维度。首先是规模敏感性：文档大小与腐蚀率呈非线性正相关。超过 500 行的文档在第 10 轮交互后的腐蚀概率急剧上升，呈现出明显的临界阈值效应。其次是干扰文件效应：当交互环境中存在多个非目标文档时，腐蚀速度显著加快。这反映出 LLM 在多文档场景下的注意力分散问题，分散程度与干扰文件数量呈对数关系。第三是格式脆弱性：结构化程度低、语义密度高的文档（文本描述、创意写作）比结构化程度高的文档（代码、表格数据）更易腐蚀，Python 是唯一例外，19 个模型中有 17 个达到了 98% 的保真度阈值。
从工程角度观察，腐蚀的传播路径遵循 "局部触发、全局扩散" 的模式。初始几轮编辑往往保持较高的保真度，但在某个触发点后，单点损坏会引发连锁反应，导致文档结构完整性快速瓦解。这种非线性特征要求我们必须将防护策略从 "容忍小错" 调整为 "预防级联失效"。
写入保护边界的工程划分
基于上述腐蚀模式，写入保护边界应遵循以下工程划分原则。硬性截断阈值：单次编辑任务若涉及超过 200 行的文档，应强制中断并要求人工确认。这一阈值来自基准测试的统计分布，超过此规模后腐蚀概率曲线出现明显拐点。隔离写入区设计：将文档分为核心区和缓冲区，LLM 仅能在缓冲区内操作，核心区修改需经过显式授权。核心区定义为文档的关键字段集合，包括但不限于数值参数、日期时间、结构化标签等。语义守门人机制：在写入前进行关键字段的语义一致性检查，例如检测数值是否在合理范围内、日期是否符合业务逻辑约束、单位是否与上下文匹配等。
对于 Python 这类结构化代码，腐蚀率显著低于自然语言文档，原因在于代码具有强制性的语法约束和单元测试反馈回路。这提示我们可以通过引入形式化验证环节来构建防护屏障。实践中可将文档编辑任务分解为 "可验证子任务"，每个子任务的输出必须通过预定义的验证器方可进入下一环节。
确定性回滚机制设计
传统的版本控制（如 Git）对于 LLM 导致的损坏效果有限，因为损坏可能在多轮交互中逐步渗透，而非一次性替换。确定性回滚需要将编辑序列分解为可验证的状态快照，而非简单的文本差异。在每个快照点，系统应验证关键字段的语义完整性，而非仅比较字符序列。例如，一个食谱中 "200 克黄油" 被改写为 "800 克黄油"，在纯文本层面可能仅是两个字符的差异，但在语义层面却是严重的错误。
工程实现上，建议采用 "编辑 - 验证 - 确认" 闭环机制：LLM 的每次写入操作后，系统立即执行关键字段的语义验证，通过则进入下一轮，未通过则触发回滚并报警。这种设计将腐蚀控制在单个编辑周期内，防止错误在长流程中累积。具体参数配置上，建议快照验证的超时时间不超过编辑操作本身耗时的两倍，以确保实时性。
需要强调的是，工具调用并未缓解腐蚀问题。DELEGATE-52 的对照实验显示，使用工具的模型平均额外增加 6% 的文档损坏。这表明工具使用带来的认知负荷反而分散了模型对文档结构完整性的关注。因此，防护机制的设计应避免依赖模型自身的能力，而是通过外部验证系统构建独立的防护层。
资料来源：arXiv:2604.15597，DELEGATE-52 基准测试，Microsoft Research，2026 年 4 月。
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。