Northeastern University 的研究者提出，仅以植入目标行为为单一目标训练模型生物体（model organism）不足以支撑可解释性结论，应同时验证行为植入、通用能力保留和输出自然性三类指标。他们用该框架重新评估 Pando 与 Model Organism Lottery 两个公开模型生物体套件，发现固定行为率下聊天质量与 CoT 自然性随训练配方大幅下降，且验证指标能预测可解释性方法恢复植入行为的效果，例如 logit lens 的读出与生物体通用能力同向变化。作者基于模型合并提出多目标训练方法，并新建一组针对临床推理中性别、年龄、种族人口统计偏差的模型生物体套件，发现 DPO 比 SFT 更接近基座模型，向基座合并能进一步改善验证结果。作者给出的训练建议是优先用 DPO 而非 SFT、不要随意混入聊天数据、将微调检查点向基座模型合并。
推荐理由论文提出模型生物体应同时验证行为植入、通用能力保留与输出自然性，并给出 DPO、避免混入聊天数据、向基座合并三条可迁移训练建议。
研究者提出可解释性框架 SafeEvo，把大模型的安全拒答归因于稀疏的拒答回路，并追踪其在对齐过程中的演化。该方法用可微掩码优化从预训练基座模型中提取拒答回路，在 Llama-3-8B、Qwen-2.5-7B 和 Mistral-7B 上，这些回路仅占不到 1% 参数却能在 BeaverTails 上达到 100% 的分布外拒答率，消融后拒答率降至 0%，HarmBench 攻击成功率分别升至 91.19%、88.68% 和 88.05%。追踪对齐检查点发现，相邻检查点回路重叠度从 98% 降至 78%，独立提取的回路之间仅重叠 26%，说明拒答回路既不唯一也不稳定，作者据此提出对齐税可能源于拒答回路更新外溢到效用相关参数。
推荐理由论文从电路视角追踪预训练模型中的拒答回路及其在对齐中的漂移，为对齐税提供了一种机制解释。
研究针对 Vision-Language-Action（VLA）模型中的状态幻觉问题提出 SOUL（Sparse feature pOlicy UnLearning）方法，即模型持续按尚未实现的机器人-物体状态行动这一反复出现的失败模式。分析发现状态幻觉伴随对任务相关视觉区域注意力减弱，稀疏自编码器的机制解释显示幻觉相关稀疏特征在这些失败发生时被激活。SOUL 以幻觉失败中识别出的稀疏特征作为遗忘目标、以成功行为中的稀疏特征作为保留目标，选择性遗忘与状态幻觉相关的策略知识。在多种 VLA 架构的仿真与真实环境实验中，该方法显著减少幻觉失败并提升任务成功率，同时未明显损害已有操作能力。
研究者提出 U-Space，一个低维子空间，用来让语言模型在推理过程中变化的不确定性变得可测量且可解释。该方法先找出表示怀疑与确定的语义锚点，把它们的 unembedding 方向映射回残差空间，再将二者的对比组合成正交基；U-Lens 把每个 token 状态投影到这些基向量上，得到可直接查看的 token 级不确定性图，也可聚合成标量不确定性分数。该方法不需要正确性标签、重复生成或额外训练，在推理类基准上其置信度分数在标准评测与长度受控评测下均优于已有基线，并且比监督式估计器迁移更可靠。代码已发布于 https://github.com/s2labres/U-Space。
研究者在全开源全双工语音语言模型 Moshi 上测试了四种情感（happy、angry、surprise、sad）的激活引导，采用均值差激活引导，每帧仅需少量向量加法且无需重训练。结果显示情感可从 Moshi 的残差流中线性解码，但激活引导仅部分可行且不均衡：happy、angry、surprise 引导向共享方向，而 sad 可被独立引导，且该共享成分无法被等量地从所有情感中投影剔除。
一篇 arXiv 论文对扩散模型潜空间水印方法的鲁棒性提出理论分析，指出既有方法高估了自身对旋转、缩放、平移等几何变换的抵抗能力。作者通过放宽不变关系，推导出刻画像素空间扰动与潜空间响应之间关系的最大扰动界，并给出覆盖实际检测机制各环节的解析形式。实验验证了理论结论，表明在当前设计范式下潜空间水印方法存在固有的鲁棒性局限，作者据此提供了分析工具与设计指引。
ConEx 是一个将显著性可视化与概念推理结合的可解释性框架，能自动发现类别专属概念并用概念激活向量（CAVs）表示，无需人工监督。它通过架构特定的掩码机制降低分割掩码噪声、提升概念纯度，生成揭示各概念出现位置及其对预测贡献的显著性图。作者提出 VCM 与 CCM 两项指标衡量概念对齐，实验显示 ConEx 在忠实性、分割和概念质量基准上达到 SOTA。
剑桥大学与 Visa 风险与安全 AI 实验室的研究发现，通过对比偏见与反偏见提示激活得到的去偏方向主要编码模型置信度，而非偏见本身。研究在 Llama-3.1-8B、Falcon3-7B、Ministral-3-8B 和 Qwen3.5-9B 的基座与指令微调版本上训练线性分类器，该分类器在 BBQ 去歧义语境下区分偏见与反偏见提示的 AUROC 仅 0.57，但按最高与最低概率答案划分时 AUROC 达 0.94。在 MMLU 和 OpenBookQA 等不含社会偏见概念的数据集上，该分类器区分高低概率答案的 AUROC 仍高达 0.88。激活引导实验显示，沿去偏方向引导会降低模型置信度：在提供弃答选项时模型弃答率上升，BBQ 歧义提示的偏见分数从 0.08 降至 0.01，但去歧义语境的偏见分数基本不变；不提供弃答选项时各选项概率趋于均衡、熵上升。
推荐理由论文用线性探针与激活引导实验说明去偏方向主要编码模型置信度，为评估激活引导类对齐方法提供了可迁移的检验思路。
AnyBottle 是一种构建紧凑、任务专属概念瓶颈模型（CBM）的方法，只需一个冻结骨干网络和一个无监督概念池（如稀疏自编码器），由在同一骨干上训练的黑盒教师模型逐轮引导概念选择，候选概念限定在师生分歧区域。模型按选择顺序做嵌套 dropout 训练，使最终瓶颈可从任意概念前缀准确预测，推理时对简单输入用更少概念、对困难输入用更多概念。在六个视觉和两个文本数据集、两种教师范式下，AnyBottle 比无标注基线概念更少、概念一致性更高，同时接近黑盒参考模型。
论文研究大语言模型是否表现出人类的错觉模式感知，即从随机数据中推断出并不存在的有意义关联。作者称这是首个针对 LLM 错觉模式感知的系统研究，将经典心理学范式改造为三项任务，并与人类行为做直接实证对比，发现 LLM 的错觉模式感知往往强于人类，模型倾向于把频繁出现的正面属性过度关联到多数群体或大型组织，也更易从模糊事件中构建因果叙事。为揭示机制，作者基于 Sparse Autoencoders（SAEs）构建特征可解释性框架分析内部表征，结果显示整体频率感知与分析性认知取向与错觉感知的出现相关。代码见 https://github.com/NusIoraPrivacy/illusory。
研究团队在 GraphCast 上训练稀疏自编码器（SAE），发现该 AI 天气模型将大气河强度（以积分水汽输送 IVT 衡量）作为稳定的内部变量进行计算，尽管 IVT 既非输入也非预测目标。标准 SAE 与 Matryoshka SAE 均能捕捉这一变量，后者还按重要性排序并揭示概念间关系；大气河概念贯穿模型各层，直接干预实验证实了其因果作用。
研究者提出 COMPASS，一种推理时激活引导方法，用于找出语言模型中承载推理的注意力头。该方法不依赖预定义的推理刻画，而是以模型自身直接作答的正确性作为信号，得到一条可诱发推理的潜在方向；该方向在多数注意力头的激活中可解码，但只有少数头能被有效干预。COMPASS 通过 logit 空间的归因分数识别这些头，并沿正确性方向引导其激活，只需每个头的激活统计量。在三个模型家族和多个数学基准上，COMPASS 优于所比较的激活引导基线，GSM8K 准确率平均提升 16 个百分点，并以少生成 20-70% token 的方式接近 CoT 准确率；干预无需重新拟合即可迁移到未见基准，消融实验显示正确性方向与承载它的少数头都不可或缺。
研究提出 BeFOND，一个无编码器的稀疏编码模型，把稀疏自编码器的推断与字典学习统一为同一变分自由能上的自然梯度流。该方法用循环 explaining away 减少重叠特征之间的干扰，并用 Fisher 预条件补偿稀有特征学习偏慢的问题。在合成数据上，其字典恢复与稀有特征检测优于 amortized 基线，且随叠加程度提高优势扩大；在语言模型激活上，单特征概念检测与选择性干预优于预训练参考 SAE，所用训练数据明显更少。其特征质量随字典宽度继续提升，而所评估的基线大多趋于停滞。
针对文本到图像模型中概念表征偏离线性方向的问题，研究者提出 KANSteer，用 Kolmogorov-Arnold Networks（KANs）将概念遍历建模为穿过中间状态的曲线，使引导方向可随概念变化并保持可解释性。在多个概念和文本到图像扩散 Transformer 上，其激活轨迹明显偏离直线，KANSteer 比线性引导拟合更贴近、对中间属性的遍历更平滑。
研究将拒答激活引导分解为组件级干预，在四个开源权重模型上识别出足以复现完整行为效果的稀疏注意力与 MLP 组件子集。这些拒答方向集中在占上游组件 28% 至 48% 的稀疏机制中，仍保留 88% 至 101% 的引导效果；在这些机制内部，有效引导进一步集中在约 50% 的残差流维度上，保留组件机制基线的 85% 至 98%，与存在特权基结构的判断一致。作者据此认为拒答并非弥散编码于整个 Transformer，而是由结构化、可识别的机制组装而成，并将代码与原始实验结果开源在 https://github.com/wang-research-lab/Refusal_Mechanisms。
研究者提出 MEA 多智能体框架，用 Proposer agent 按问题和模态选择并配置解释工具，再用 Actor agent 针对忠实度端到端优化，把输出转成基于模型行为的自然语言解释，覆盖表格、文本和视觉三种模态。作者同时设计了涵盖特征归因、反事实推理和虚假特征检测的问题类型，并为每类配备基于扰动的忠实度指标。研究发现前沿 LLM 会系统性地产生不忠实的解释；在六份数据集上，加入模态自适应惩罚的忠实度奖励优化，使 MEA 相比未训练骨干分别提升 28%（表格）、21%（文本）和 34%（视觉），并优于事后解释方法、智能体式和闭源基线。
论文区分激活探针的高 AUROC 与部署中按误报预算设定的告警阈值，指出二者衡量的目标不同。作者提出 Operational Validity Contract，用目标、可观测性、身份、时机、单元、对照、校准与成本八个字段限定监控声明，强调探针分数不能直接证明实际告警策略有效。
推荐理由论文用四个基准说明激活探针的高 AUROC 未必能转化为可用的告警策略，并给出可复用的契约式审计流程。
研究者提出一套框架，用于构建参数实现可被显式算法解释的神经网络。该方法将每个数据点建模为类别相关随机过程的样本，构造初始参数精确实现统计量估计算法的网络，再通过控制偏离算法初始化的幅度进行微调，使训练后的网络大致保留初始解释；PAC-Bayesian 分析给出复杂度项随微调半径缩放的泛化界。框架以散射变换估计判别统计量，在纹理分类上实例化。
研究把助手对用户的信任定义为愿意接受对方行为带来的脆弱性，并检验这种信任能否通过模型激活被因果控制。作者构建了覆盖能力、善意与诚信三个维度的 2000 组对比对话，每组回答完成同一请求但在是否信任用户上不同，在冻结模型参数的前提下学习引导矩阵。在来自三个模型家族的六个指令微调模型上，引导在两个方向上单调改变信任决策。研究进一步在涉及有害请求、提示注入和内部威胁的 Agent 安全场景中检验该效应，并以良性任务和推理作为对照，结果显示对用户的信任可沿激活空间中的线性方向被因果控制。
上海人工智能实验室等机构的研究者提出把智能体欺骗监测转化为行为发生前的内部状态预测问题，在行为决定性步骤之前提取隐藏状态并聚合成轨迹级表征，用基于 MMD 的深度核检测器区分未来诚实与欺骗结果。在 Qwen3-14B 上，提前七个步骤的表征即可达到 90.4% AUROC，与最新决策前表征的 89.4% 相当；从轨迹起点累积前缀时，平均 AUROC 由第一步的 51.2% 升至第十步的 80.0%。研究者还沿诚实与欺骗方向做激活引导，在 α=2.0 时把诚实结果比例从 50.0% 提升到 71.6%，被选中干预的基线欺骗轨迹中有 56.0% 转为诚实。作者指出标签来自可观察行为而非潜在意图，且仅在单一模型族的白盒设定下验证。
推荐理由论文把智能体欺骗当作可提前读取的内部过程，给出预测、信号累积与激活引导三层证据，适合关注欺骗监测的研究者。
研究提出影响加权激活传输方法，用影响函数估计每个数据点对模型概念表征的贡献，并按影响分数加权概念样本，通过最优传输将非概念文本的激活引导向概念文本。在毒性抑制（Jigsaw）、物体概念诱导（OneSec）和真实性诱导（TruthfulQA）上优于现有激活传输基线，同时用困惑度和 MMLU 准确率追踪能力，发现引导效果提升且基本保持模型质量。影响函数能捕捉激活方法遗漏的概念相关信息，两种方法对数据点的排序显著不同。
研究者提出反事实激活潜力（CAP）指标，用编码器对齐、抑制强度和安全性关键度三项乘积刻画被压制的安全特征，并给出 CAP 引导的安全特征发现（CSFD）两阶段筛选算法，从数十万 transcoder 特征中筛出候选而无需穷举消融。在 Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT、Qwen3-1.7B 和 Llama-3.2-1B 五个模型上，78% 至 100% 的候选特征经消融验证具有因果作用，单个特征置零可使最高 82.5% 的拒答转为顺从。使用 PAIR 攻击时，最高 CAP 特征受到的抑制强度上升 2 至 4 倍，激活相应下降最多 80%；放大抑制特征本身即可降低其激活并提高有害顺从率，而随机特征无此效果。作者据此认为越狱部分通过压制安全关键特征而非仅激活有害特征实现，被压制特征是激活式可解释性的必要补充。
推荐理由论文提出用编码器对齐、抑制强度与安全关键性三项乘积定位被压制的安全特征，为理解越狱机制提供了激活视角之外的补充。
研究提出 Prefix Steering，从提示末尾 token 起在短跨度内施加已有的引导方向和算子，之后不再直接干预。作者在固定状态注意力假设下给出单 token 与多 token 引导匹配提示所诱导注意力头输出的充分条件，并刻画输入表示变化对匹配及其近似误差的影响。在四个模型和五个任务上，短跨度干预甚至单 token 干预常能保留完整引导的大部分行为控制力，同时更好地保持通用能力，在部分设置下优于提示和其他引导强度策略。该方法在推理后的最终答案格式任务上仍然有效，说明短暂的初始干预可以影响引导结束后才表现出的行为。
TSAE 是一种结构化稀疏自编码器，将时间序列预测模型的隐藏状态分解为可单独检查的特征，通过共享与变量路由的私有字典组织跨变量结构，并用门控编码分离特征检测与幅度估计。在冻结 PatchTST 于 ETTh1、ETTh2、ETTm1 的三种子实验中，TSAE 在五种 SAE 中取得最低隐藏状态重构误差、归一化预测重构误差（NFRE）和特征转移率，NFRE 较次优均值下降 4.3-26.4%。配套 TSEVAL 协议分别审计保真度、特征一致性与物理校准，但选择性、物理相关性和校准存在数据集相关权衡，保真度与时序稳定性提升仍需独立语义验证。
研究者提出 ScopeSAE，用归一化梯度归因把每个预测归到最有影响的 token-层状态，从而按 token 选择建模子空间，而非按层固定子空间。作者称该方法出现重建优于原始的效果，即 SAE 写回重建的下一 token 交叉熵低于原始激活，并称此前未见 SAE 报告过这一现象。通过干预分析和 KL 微调对照实验，作者认为该效果来自预测相关的子空间本身，而非架构改动。相比现有按层基线，ScopeSAE 在有效特征数、可解释性、利用率和字典冗余上均有改善。
研究者提出免训练的对比激活加法（CAA）协议，用少量带标注语音样本为 SpeechLLM 推导出针对转录等常见语音任务的引导向量，在推理时将其加入表示空间以强化目标任务。与提示词结合后，这些向量在 ASR、情感识别等多数评测任务上稳定优于单独使用提示词，并可迁移到域外数据；脚本归一化方向还能强制模型输出特定语言的文字系统。
研究者提出 PaSS，一种无需重训练的推理时控制范式，把 LLM 的人格建模为潜空间中的多维子空间，并通过迭代零空间投影（INLP）逐层剥离出人格专属方向。在 MATH-500、TinyAlpaca、GSM8K 和 IFEval 等任务上对六种人格做因果评估，结果显示迭代子空间提取比单方向加性方法实现更强、幅度更大的调控，同时保持内容保真度。研究还逐一分析子空间中被剥离的方向，揭示其编码的人格行为不同侧面。
研究者提出 First-Order Steering，把激活引导表述为权重更新矩阵的一阶近似，由引导强度向量参数化，并给出该近似的理论误差上界。基于此，他们开发了模型合并方法 HeRD-Merging，通过最小化一阶近似误差项提升引导精度。作者称该方法生成的引导向量在控制单一行为和组合行为时都比现有激活引导方法更准确，同时 HeRD-Merging 在性能上与传统模型合并基线相当，且其权重适配能产生更准确的一阶引导向量。
研究提出用转向子空间维度衡量控制某一行为所需的最小维度，并检验两类拒答行为。结果显示，由安全对齐触发的拒答是 1 维可转向的，多个不同转向方向都能实现相近控制；而一般语境中的拒答激活几何更复杂，即使 5 维转向子空间也无法可靠覆盖其全部可转向变化。作者据此指出，拒答背后的激活几何高度依赖语境，可能远比单一线性转向方向复杂。
加州理工等机构的研究者用激活引导（activation steering）在四个开源权重模型上考察风险偏好，发现自我报告与行为由近乎正交的内部方向控制。研究比较了九种引导向量提取方法，覆盖任务指令、模型自身选择、风险特质描述和 Big-Five 人格画像四类监督来源，在 Columbia Card Task 和 BART 两个行为任务以及 BFI-44 和 DOSPERT 两个自评量表上评估。结果显示，基于特质描述的方向能改变自我报告但几乎不影响行为，基于模型自身任务选择的方向则相反，只有任务指令类方向能同时触及两个通道，但其行为效应在剔除表面混杂因素后仅保留 32%。两个通道的方向近乎正交，移除另一通道的方向族后仍保留 92% 至 102% 的效应。组合一个行为方向和一个自我报告方向可同时驱动两者，反转其中一个符号后，四个模型在 69% 至 89% 的反向组合中出现报告与行为相反的状态。
推荐理由论文用激活引导把 LLM 自我报告与行为的分歧落到表征层面，并给出可复现的检验方法。
研究者在 Indirect Object Identification 任务上发现，Pythia 模型训练早期会偏好被重复提及的名字，导致二选一准确率低于随机水平，而同一窗口内语言模型损失仍在下降。作者通过在与因果评估不同的提示上选出写入重复名字的注意力头，固定选择后用非重复名字提示上的平均输出替换各头最终 token 输出，在单独训练的 160M 模型以及官方 160M、410M、1B 模型上改善了正确减重复的 logit 差值。在 160M 规模，成熟模型中降低重复名字的那个头在早期几乎不表现出成熟行为，对重复提及的注意力不足 1%，其输出也几乎不直接降低该名字的 logit，这两项属性在行为恢复的区间内增长。将对应头的成熟参数移植到早期 checkpoint，可恢复训练结束时正确减重复 logit 差值总改善的 35% 至 68%。
论文指出稀疏自编码器（SAE）虽基于线性表示假设（LRH），但其目标函数隐含了跨图像 patch 概念相互独立的先验，这一假设与自然图像及其激活不符。作者将 LRH 特化到视觉领域，提出 Markov-Field Linear Representation Hypothesis（MFLRH），补上缺失的空间依赖假设，并据此提出 Spatial-SAE，作为 MFLRH 下的摊销 MAP 估计器。在四个变体上，Spatial-SAE 在合成概念恢复任务中取得 96% 的平均胜率，并在 DINOv2 激活上提升可解释性，重建代价集中在高空间频率。
ClasSAE 提出一种在训练中自动为特征分配类别、并引导编码器学习类别可分表示的方法，用可微 top-k 算子作用于可训练的特征-类别亲和度矩阵，使编码器与亲和度矩阵协同适应，无需事后探测。在 ImageNet 上使用 CLIP ViT-L/14 嵌入时，学到的亲和度矩阵与在留出数据上独立估计的事后特征-类别矩阵高度一致，模型还能仅凭编码器和亲和度矩阵直接进行类别预测，并在 Targeted Probe Perturbation 评测中取得更好的分离效果。
研究者提出 witness-integrated set effect（WISE）因果估计量，在 witness 机制上对原因集合与 witness 集合取期望，避免组合枚举，从而在计算上可行。基于该方法，他们提出基于梯度的电路发现方法 JuntaLearner，按组件在不同规模组件与 witness 集合中的因果影响对组件排序。作者同时引入必要性、任务特异性指标以及电路识别分数（CRS），用于在电路规模上汇总各指标并突出小电路取得的效果。在规模递增的多个任务与模型上，JuntaLearner 在所有指标上的平均 CRS 均高于归因基线；其成本不随候选组件数量增长，因此可扩展到大型模型，同时考虑集合级交互并避免一阶近似。
研究者提出一种框架，用可逆神经网络（INN）把 AI 控制系统的原始状态空间变换到潜空间，使规则形状的前向不变集（FIS）更可能存在，再对其进行形式化验证。作者证明，只要验证通过，潜空间候选集及其逆变换回原状态空间的对应集合都是可解析证明的前向不变集；若该集合排除不安全状态，初始状态位于其中的安全性即可得到保证。在三个代表性控制测试平台上的 45 个 AI 控制系统中，该方法为全部 45 个系统找到经过认证的前向不变集，而经过适配的当前最优基线一个也未找到；在 45 个系统中的 40 个上速度更快，所得不变集的中心大致符合领域专家的偏好。
研究者对多会话智能体状态投影层的不变量套件做变异分析，发现常规的通过/失败验证会认可一个存在缺陷的套件：一个删除事件身份去重的初级变异体通过了全部检查。修复后的十二项检查套件被冻结并记录哈希，随后对由未参与设计夹具的对抗读者指定的十个变异体运行一次，仅杀死五个。对五个存活变异体的插桩显示它们以两种不同方式失效：三个从未被激活，因为没有夹具提供使变异代码行为不同的输入；另两个破坏的内部控制状态没有任何 oracle 能观测到。研究者把缺失输入视为覆盖问题，枚举输入空间的七个区分维度，预先登记哪些维度未覆盖以及应解释哪些存活变异体，为每个未覆盖维度各加一个夹具并原样复用现有 oracle，五个存活变异体全部被杀死，且各自死于为其预测维度编写的检查。作者将其作为同一挑战集上的修复结果而非第二次留出估计报告，并公开了包含冻结哈希、登记预测、全部变异体和运行日志的工件。
HXAI 是一个面向电网级需求管理的分层隐私保护可解释 AI 框架，由在安全私有环境内生成细粒度解释的本地模型，与聚合这些解释以支持电网级分析的区域模型两部分组成。该框架通过灵活的隐私预算管理限制重复查询下的累积隐私暴露，在模拟与真实能源数据集上既能提供区域负载管理洞见，又确保家电级用电数据始终留在本地、不传输给电网运营商。结果表明，在差分隐私下保留解释的语义结构而非最小化数值误差，是可解释 AI 的关键。
研究者提出 Executable Release Certification（ExecCert），在发布环节对候选模型产物进行认证，以弥合机器遗忘数学保证与实际部署之间的差距。ExecCert 要么为已执行的候选关闭方法原生证书，要么通过 Retraining-Reference Release Verification（RRV）认证其与当前保留集重训练的保真度。针对冻结表示加可变 ridge head 的情形，作者给出 RRV 的增量实现，在多次删除请求间维持认证证据而非每次发布重建。在四个已发表的遗忘实现上，ExecCert 保持有效证书、改变发布决策、收紧保守边界，并识别出具体输出所支持的保真度；顺序服务实验中，RRV 消除了存储方程验证导致的错误发布，同时贴近实际误差。
研究用稀疏自编码器（SAE）分析 DINOv2 中 register token 与高范数离群 patch token 的功能分工，发现 register token 特征更关联高层语义概念，离群 token 特征则多对应背景与纹理等低层结构模式。因果消融显示明显功能不对称：破坏 register 特征使表征余弦相似度下降 48.17%，破坏离群特征仅下降 0.31%，为自监督 ViT 的 token 专门化提供证据。
研究者提出可认证机制编辑，用形式化方法证明一次编辑能在指定连续输入区域移除目标技能并保留另一技能。作者在小型分段线性网络上用精确SMT求解，在含softmax和LayerNorm的小型Transformer上用CROWN边界传播，并以攻击给出可比较的上界。论文构造出通过密集测试却仍在极小区域保留技能的编辑，说明有限确定性黑盒测试不能提供这种区域保证。结论是概念验证，依赖技能具有可判定的形式化规格；尚未证明能直接移除大型模型中复杂的现实危害。
推荐理由论文把机制编辑的效果从测试验证推进到连续输入区域上的形式化证明，并给出有限黑盒测试无法证明技能移除的构造性结论。
