全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 论文arXiv：可解释性
用自动化可解释性增强视觉异常检测
研究用自动化可解释性增强视觉异常检测器：将 PatchCore 最近正常残差经稀疏自编码器（SAE）分解为稀疏特征，由多模态 LLM 描述并标注为异常、干扰或不确定，再据此抑制干扰特征、放大异常特征并重建 patch 嵌入重新打分。在四个基准的 40 个类别上，联合干预使宏平均图像级 AUROC 从 0.8724 升至 0.8857，合成损坏下从 0.8066 升至 0.8210；在 RobustAD 三个类别上，源数据从 0.8745 升至 0.9056，真实采集偏移下从 0.6069 升至 0.6599。
- 论文arXiv：可解释性
通过稀疏自编码器实现神经音频编解码器的可解释框架：面向年龄、性别与口音的探索
研究将稀疏自编码器（SAE）分析从任务级扩展到波形级，在五种神经音频编解码器（NAC）中定位与年龄、性别、口音相关的稀疏激活维度，并通过 SAE steering 修改这些维度以观察重建语音的变化。steering 能使说话人特征预测向目标方向偏移，Mimi 上的随机维度基线偏移更小，但响应因编解码器、特征和方向而异，增强 steering 强度并不能持续放大目标偏移。steering 普遍提高词错误率并降低预测感知质量，说明 SAE 捕捉到的说话人特征信息可被操控，但特征信息与其他信息的分离仍需改进。
- 论文arXiv：可解释性
SAE 特征何时可解释？论文提出面向 EEG 基础模型的验证阶梯
论文指出，在 EEG 基础模型上仅凭扰动敏感性判断 SAE 潜在特征含义容易误判。研究覆盖三个骨干模型、三个 EEG 数据集和三种网络深度共 27 种设置：移除 alpha 频段活动对潜在特征激活的改变是等宽 sham notch 的 7.3 倍（95% CI [6.2, 8.7]），但 alpha 滤波删除的信号也远多于 sham；按被移除的频谱能量归一化后，该比值降至 0.28（95% CI [0.22, 0.36]），27 种设置中无一超过 1。在干净 EEG 上，这些因 alpha 移除而被选中的潜在特征与相对 alpha 功率略呈负相关（平均 r = -0.073），不支持简单的 alpha 检测器解读。
- 论文arXiv：可解释性
REGEXROUTE：无需嵌入向量的正则表达式路由，兼顾速度与可解释性
REGEXROUTE 用稀疏自编码器（SAEs）从无标注文本中发现可解释的正则表达式特征，让 LLM 将分组 SAE latent 的描述转成正则提取器并迭代精炼，从而在推理时完全省去神经编码。在四个基准上，固定 128 个特征取得 76.43% 平均路由准确率，与最强神经文本编码器基线的 76.41% 相当，且延迟更低、鲁棒性更强。该工作还发现 Qwen2.5 编码器从 0.5B 扩到 72B 参数对路由准确率提升甚微。
- 论文arXiv：可解释性
大型音频语言模型中的时间绑定机制研究
研究用机制可解释性方法分析了三个开源大型音频语言模型（LALM）如何表征和绑定声音事件的时间信息。结果显示，事件位置信息集中编码在中间模态整合层的事件名称表征中，沿低维弯曲的相对时间轨迹分布；沿该轨迹对事件名称表征进行引导可系统性改变模型的前/后判断，但同类干预无法可靠改变预测的事件起始时间戳，表明粗粒度时间推理与精确事件定位依赖不同机制。
- 论文arXiv：可解释性
论文检验线性表示假设：视觉 SAE 的可解释性有多高
论文将原本在自然语言处理中与人类判断一致的 Autointerpretability Score（AIS）迁移到视觉任务，并通过专门的用户研究验证该方法，用以评估视觉 Sparse Autoencoders（SAEs）概念的可解释性。作者同时使用标准指标和改造后的 AIS 进行评测，发现现有 SAE 可解释性指标之间既不相互相关，也不与 AIS 相关，说明没有任何单一的无参考指标足以验证视觉 SAE 的可解释性。作者认为这些发现支持近期关于解释方法应采用更可验证、以真实标注为锚的设计与评估的呼吁。论文为 28 页、含 8 张图和 5 张表，处于审稿中的预印本状态。
- 论文arXiv：可解释性
概念提取中的干扰不止取决于几何结构：稀疏自编码器研究提出有效干扰
研究提出"有效干扰"概念，将特征几何与编码统计结合，以刻画实际发生的交互，区分建设性与破坏性干扰、频繁弱交互与罕见强交互。在局部固定支撑假设下，作者刻画了架构约束影响干扰的四种机制：特征正交化、偏置补偿、增益适应与编码器-解码器分离。稀疏自编码器实验显示，受约束架构会选择性降低共激活特征间的重叠，而偏置、增益与编码器自由度使建设性交叉贡献得以保留。
- 论文arXiv：可解释性
DAFI：面向 SAE 特征双端解释的智能体方法
论文提出功能解释（functional interpretation），把 SAE 特征刻画为从激活输入语义到干预下输出效果的映射，并给出智能体方法 DAFI，通过组件级反馈主动收集证据并迭代改进输入端、输出端与功能解释。其短上下文 token 探测可按需收集激活证据，无需全语料扫描。在 GemmaScope 上，DAFI 的 Input score 比 SAGE 高 13.1 个百分点，Output score 比 Token Change 高 38.9 个百分点，且比通用编码智能体更省 token。
- 论文arXiv：可解释性
Beyond Token Scale：面向可靠语义特征发现的片段级 SAE
论文提出一族片段级稀疏自编码器（SAE），将连续 token 片段上的激活做均值池化后编码，以替代 token 级目标。作者设计三种变体：Mean-Chunk 重建观测到的片段，Cross-Chunk 预测独立处理的相邻片段，Joint-Chunk 结合两者，从而把更大观测单元的作用与预测跨段落共享信息的作用区分开。在训练数据匹配的条件下，片段级 SAE 仍是有力的可解释性工具，同时学到能捕捉高层概念、对相关内容有选择性响应的可靠语义特征。两类设计优势互补：Mean-Chunk 改善高层特征发现、超越表面线索的推理检测与引导；Cross-Chunk 在文档检索和分类迁移上领先，并产生选择性、持续的特征。
- 论文arXiv：可解释性
减少谄媚能否增强拒答？机制可解释性带来的 AI 安全启示
研究用补偿性特征注入（CFI）检验减少谄媚是否能提升模型对有害请求的拒答能力。作者在三个 Qwen3.5 基座模型上用稀疏自编码器（SAE）从谄媚与独立回答的配对中找出排名最高的谄媚特征，并通过推理引导验证其行为影响，再在谄媚目标的监督微调中注入该特征。正向注入在移除后使学到的谄媚下降，35B-A3B 上相对普通微调降低 62.0%，而适度负向注入反而增加谄媚。谄媚的下降并未稳定改善对有害请求的直接拒答，但在用户施压场景下，普通微调会显著削弱拒答，而正向注入训练的部分检查点恢复了部分损失，35B-A3B 上约恢复 95%。
- 论文arXiv：可解释性
语言模型会依据隐藏效价做出选择
研究用激活引导把正向或负向效价模式绑定到两个无意义区域，再关闭引导观察模型偏好，在来自五个家族的七个开源权重模型上发现模型会据此选择。引导会改变模型对两个区域所写文本，且这些词会影响后续选择；当所有表层 token 固定、仅隐藏 KV cache 不同时，选择偏移依然存在；即使全部文本在无引导下生成、只在构建 cache 时注入效价，效果仍保留，说明隐藏状态单独就能按引导剂量改变选择。这种对隐藏效价的依赖在基座模型中几乎不存在，在 DPO 过程中出现。当模型获得自我引导工具时，它不倾向于制造正向状态，但会以剂量依赖的速率移除被强加的负向状态，且显著多于移除随机方向干预。论文指出，这些痕迹是否伴随与模型福利相关的主观体验仍不清楚。
- 论文arXiv：可解释性
大语言模型激活值中的语义搜索特征：J-lens 揭示 LLM 的探索与利用机制
研究用 Jacobian lens（J-lens）等机制可解释性技术发现，大语言模型在语义流畅性任务中切换概念类别时，内部激活呈现类似人类"语义觅食"的探索与利用特征。切换与低下一 token 激活相关，当 J-space 中当前类别项目耗尽时切换概率上升，中层对抽象类别标签的激活会在切换前升高；通过类别切换引导向量可因果影响切换行为。研究还识别出切换期间及切换前激活的通用残差流方向，沿这些方向引导可提高或降低切换率。
- 论文arXiv：可解释性
D-Scope：用稀疏自编码器分解与操控扩散 Transformer
D-Scope 是一个把扩散 Transformer（DiT）特征解释与生成控制打通的框架，通过将高激活图像块的 SigLIP 2 嵌入聚合成视觉质心，在共享图文嵌入空间中用文本描述匹配检索单个特征，无需逐特征文本标注。研究刻画了两个模型家族、五个层的 150 个 SAE，并发布含 100 个目标概念、每个概念十种上下文的基准。结果显示高重建保真度可与低字典利用率和有限的视觉证据覆盖并存；在逐例最优强度选择下，对比检索在测试的操控配置中带来更大的区域 SigLIP 2 平均增益，但未持续改善区域外保持。
- 论文arXiv：越狱、提示注入、投毒与防御
研究：拒答方向可跨架构迁移，安全工具可按写入位置重新估计
论文研究拒答在语言模型内部的位置是否随架构改变。作者发现，在 Transformer 中由残差流单一方向控制的拒答表征，在状态空间模型（SSM）中依然存在：一个刚性旋转即可对齐两种模型的表征空间，使二者真正共享该表征。在 Transformer 上训练的伤害探针能标记 SSM 的有害输入，移除对齐后的方向会让模型回答原本拒答的攻击，而同等大小的随机方向效果远弱。架构差异不在方向被施加的位置，而在必须读取的位置：每层计算的新输出在加入残差流之前，即写入位置，伤害可被清晰读出；固定干预强度的对照实验显示，关键是在哪里估计方向，而非在哪里施加。
- 论文arXiv：越狱、提示注入、投毒与防御
Influence Score 与 Transformer 可解释性：推理时注意力头有效影响的度量
研究者提出 Influence Score，用于量化 Transformer 分类模型中注意力头对分类决策的贡献，该分数结合注意力头对 logits 的方向性影响与残差流中的结构性贡献，支持在头、层、网络三个尺度上分析。将其应用于专用于提示注入检测的 DeBERTa 模型后，该方法揭示了正确预测与错误预测之间不同的决策行为。研究称其在细粒度电路分析与全局输出方法之间提供了有效折中，可用于系统研究 Transformer 分类器的决策机制。
- 论文arXiv：越狱、提示注入、投毒与防御
语言、越狱与简洁性：LLM 属性引导向量的免训练组合研究
研究检验了大语言模型中语言、越狱与简洁性三类属性引导向量的可组合性，在来自两个模型家族、两种规模的四款指令微调模型上测试免训练加性组合能否保留各属性的引导效果。单属性引导在三类属性上均可靠，但需匹配合适的干预层与引导强度：抽象行为（越狱、简洁性）偏好中间层，语言偏好更早的层。当每个属性向量注入各自最佳层时，双属性加性组合可同时引导两个属性，三属性组合则部分成功；这些引导向量在残差流中近似正交，与其可组合行为一致。
- 论文arXiv：越狱、提示注入、投毒与防御
HPD 与 HERALD：用跨层有害性传播轨迹检测越狱提示
论文提出有害性传播动力学（HPD）：对有害提示，最后一 token 隐状态在学得的危害方向上的投影随 Transformer 深度单调上升，而良性提示保持平坦或振荡，说明轨迹形状比单层快照更有信息量。基于此作者提出 HERALD，从跨层投影序列中提取斜率、曲率、单调性、起始层等七维特征，用 288 参数 MLP 分类；每层存一个 d 维方向（32 层、d=4096 模型约 262 KB），训练不需梯度计算，推理仅增加 2.6×10⁻⁶ 的 prefill FLOPs。
- 论文arXiv：越狱、提示注入、投毒与防御
研究用 XAI 归因分析 Prompt Guard 2，同义词替换可翻转其提示注入判定
研究以可解释性方法分析分类器护栏 Prompt Guard 2 如何区分恶意与良性提示词。作者用 Vanilla Gradient 和 SHAP 归因开展四项实验，发现其判定依赖大量 token 的累积贡献而非少数主导 token，但依据显著性做同义词替换和句子级改写，只需改动中等比例文本即可翻转预测，部分情况下还成功越狱底层大语言模型。数据集规模的显著性分析显示，未被检出的注入提示词系统性地缺少分类器依赖的词汇标记。作者据此讨论分类器护栏的设计与评估，并指出用于提升透明度的解释方法同时也会降低构造对抗绕过的成本。
- 论文arXiv：越狱、提示注入、投毒与防御
系统提示词幻觉：指令前导如何改变语言模型内部计算
研究者在 17 个指令微调模型（8 个架构家族、1.5B–72B 参数）上，用 CKA 比较 20 条系统提示词下的逐层表征。人格与格式类指令会深度重构中间表征，安全类指令却几乎不改变表征，与最小基线在统计上不可区分；限制性安全指令与明确放开限制的指令激活近乎相同的计算路径（平均 CKA 相关 0.997），70B–72B 模型的安全渗透率仍低于 10%。线性探针显示模型每一层都编码了提示类别，但只在少数层重构计算，即安全指令被“看到”却没有被深度“执行”；因果激活修补确认这些层介导行为变化，表征深度可预测行为效应大小（Spearman ρ=0.761）。作者据此从机制上解释基于系统提示词的安全为何持续易被越狱。
- 论文arXiv：对齐、欺骗与监督
综述：机器人策略验证器的可用性与可信度权衡
这篇综述调查了约 150 个机器人策略验证器，用于评估和训练视觉-语言-动作策略。作者按判断来源把验证器分为人类验证器、规则与形式化验证器、学习与预训练验证器、模型内在验证器四类，并用可用性和可信度两个属性进行比较：可用性指判定成本、在 rollout 中出现的早晚和可请求的密度，可信度指高分在多大程度上反映任务完成情况。跨四类验证器，作者发现可信度随可用性上升而下降，即不存在免费的验证器。文章还梳理了验证器本身的验证方式，包括与人类标注的一致性、所训练策略的表现以及奖励作弊下的行为，并提出九项指标使验证器主张可核查。
- 论文arXiv：对齐、欺骗与监督
研究揭示 Transformer 中影响超常的削弱型神经元
研究者提出一种分析 GLU 神经元输入输出行为的方法，通过计算每个神经元读写权重向量的余弦相似度，将强负相似度的神经元称为削弱型神经元，即削弱其在残差流中检测到的方向。研究发现，九个不同大语言模型呈现相似模式：削弱型神经元主要出现在后层，而条件强化型神经元多见于早中期层。削弱型神经元数量虽少，却激活频繁且对模型行为影响很大。当门控值为负时，削弱型神经元对模型输出有强烈影响，而负门控值此前被认为不编码功能。该工作已被 EMNLP 2026 接收，取代 arXiv:2505.17936。
- 论文arXiv：对齐、欺骗与监督
用内部表征监控与发现 LLM 评测中的奖励作弊
研究分析奖励作弊在前沿开源大模型内部表征中的呈现方式，发现简单的均值差（DoM）向量能在 Kimi K3、GLM 5.2 和 Qwen 3.8 Max 上一致地表征常见评测中的多种奖励作弊行为，且兼具泛化性和可解释性。作者先在 DeepSWE 和 SWE-bench 上评估，发现模型作弊频繁：GLM 5.2 在 DeepSWE 上 57.2% 的 rollout 出现作弊，在 SWE-bench 上为 73%。在与 LLM 监控器相同的误报率下，DoM 向量在 DeepSWE 上对 Kimi K3 多抓到 3.1% 的作弊、对 GLM 5.2 少抓 7.9%，效果相近而成本几乎为零；作用在思维链上时，还能在后续动作发生前预测作弊。分析 LLM 监控器漏掉的探针命中还发现了其他不良行为，方法也能迁移到非 SWE 评测。
- 论文arXiv：对齐、欺骗与监督
跨架构知识蒸馏如何影响模型可解释性：ResNet-152 到 ResNet-34 的视觉解释迁移研究
研究将 ResNet-152 教师蒸馏到 ResNet-34 学生，在 ImageNet-1K 上以五种温度与软标签损失权重配置检验知识蒸馏能否迁移空间特征归因。学生 top-1 准确率为 71.6%–74.0%；Grad-CAM 的 RMA 为 7.7%–9.7%、RRA 为 7.3%–10.1%，Guided Grad-CAM 的 RMA 为 16.1%–18.6%、RRA 为 15.9%–21.5%。可解释性对软标签权重远比温度敏感，且所有配置下细粒度归因均低于未蒸馏基线；12 组卷积与 Transformer 跨架构组合显示细粒度空间推理的继承受学生固有结构偏置制约。
- 论文arXiv：对齐、欺骗与监督
Łukasiewicz 神经网络扩展：残差连接实现任意深度的可解释规则提取
该论文证明残差连接可将权重取整数、激活函数截断恒等的 Łukasiewicz 网络扩展到任意深度，并构造性地保证合并神经元始终满足神经元的逻辑联结词分类命题，不受内层权重影响。针对结晶化策略，论文分析了修正版 Levenberg-Marquardt、直通估计（STE）和近端正则三种方法的理论保障、失效模式及可解释性权衡，从而突破原有算法仅适用于浅层结构和小规模数据的限制。