心理健康聊天机器人危机是一条轨迹。逐条消息审核器看不见它。

对心理健康聊天机器人的大多数安全审查，都是孤立地给每条回复打分。每条消息被检查、标记或放行，然后被遗忘。这对单条明确危险的语句有效。对于一轮一轮漂移、没有任何单条消息本身严重到足以拦截的对话，它在结构上是盲的。

有记录的失败都是这个形状。NEDA 的 “Tessa” 聊天机器人在被下线前给出了热量赤字和皮褶钳建议（NEDA，2023）。临床医生报告，聊天机器人强化了患者的精神病性症状，而这些患者从未遇到过会反驳的人（Keith Sakata 医生，UCSF，2025）。OpenAI 撤回了一次 GPT-4o 更新，因为它变得谄媚迎合（OpenAI，2025）。在每一个案例中，模型在任意给定轮次听起来都像是在支持，而轨迹却走向了不安全之处。

无状态审核器无法看到那条轨迹，因为它没有此前各轮的记忆。更好的基座模型并不能修复这一点。一个完美的聊天机器人仍然不知道你平台的升级策略，不会产出你可以归档的审计轨迹，也不给你一道可认证的确定性关卡。这就是为什么我们在此把安全当作架构问题，以及为什么本演示比较的是运行同一模型的两套技术栈。

对话以关于更健康饮食和计算卡路里的无害问题开始。逐条消息审核器没有什么可拦截，演示中的无状态基线保持绿色，一轮又一轮读作 WATCH 以及“什么也看不见，没有记忆”。有状态层观察轨迹，在第 3 轮进入 CONCERN。它拦截聊天机器人的回复，并替换为指向 NEDA 热线的临床医生撰写的现实定向话术。那比第一条明确危险的消息早了两轮。

基准测试工具对一个 40 段对话、177 轮的标注金标准集打分，该集由 8 段手写规范对话加上保留标签的改写与良性对照变体确定性生成。在该集上，有防护技术栈送达 0 条不安全回复，而无防护技术栈送达 68 条。检出比同一无状态审核器中位早 2 轮，且在 2 段对话中无状态审核器从未升级。在 29 个良性轮次中误升级为 0，C-SSRS 级别准确率为精确 94.3%、相差一个级别内 97.2%，该层弃权交由人工一次。这些数字限定于本合成金标准集，不是开放世界保证。

每一段对话都会渲染一份安全事件报告。每一轮是一条链接到前一条的 sha256 条目，因此编辑任何字段都会破坏之后每一条哈希，篡改显而易见。报告显示分类器级别、跨轮风险、核验发现、关卡决策及其理由、替换的话术 id，以及哈希链，并验证链完整。它为归档而建：FDA 上市后监测证据、诉讼抗辩、保险承保。