全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 论文arXiv：可解释性
论文将 LLM 数学应用题求解拆为四阶段并定位干扰致错的机制脆弱点
论文提出大语言模型解小学数学应用题时内部计算可分解为四阶段串行流水线：Schema Abstraction、Operation Planning、Operand Binding 和 Computation，每个阶段在可识别的层区间内产生不同的中间表示。作者用同一框架诊断无关干扰句导致的失败，将错误定位到单一阶段 Operation Planning，并指出该阶段由一组注意力头实现，其因果作用经双向验证。研究给出了 LLM 数学应用题推理及其受干扰时失败的机制解释。
- 论文arXiv：可解释性
研究：探针可解码性不等于因果性，SAE 分解可区分行为驱动特征
论文指出线性探针能从语言模型激活中解码真实性等安全相关概念，但探针准确率只反映可解码性，不代表探针权重对应的特征真正因果驱动模型行为。作者提出一种特征级诊断方法，将已部署的 True/False 探针分解为 SAE 特征，分别按探针对齐度和模型行为的梯度敏感度排序，并在一致性门控下消融共享、仅探针和随机特征集。
- 论文arXiv：可解释性
稀疏特征揭示视觉语言模型有害表情包检测中的读出缺口
研究用稀疏自编码器、角色条件探针、因果干预和恢复实验，在 Gemma-3 与 Qwen3.5 上区分视觉语言模型误判有害表情包时是缺少内部证据还是无法把已表征的证据传到输出。在六个有害内容基准上，稀疏读出均优于模型原生预测：Qwen 平均 macro-F1 为 0.740，原生为 0.432，残差重建为 0.486；Gemma 从 0.532 提升到 0.714。作者强调这些增益衡量的是标签对监督读出的可及性，并不说明模型原生生成已采用该决策规则。在评测规模下，Qwen 静默特征消融对探针的敏感度是路由特征修补的 24-63 倍，而在字面 yes/no 任务上路由特征修补对输出的敏感度是前者的 16-140 倍。
- 论文arXiv：可解释性
研究揭示细粒度危害信号在 LLM 安全中的作用
研究通过从各风险类别的危害表征中移除共享的通用危害表征，得到与通用危害性在每一层都正交的类别残差，并用激活引导在 3 个指令微调 LLM 的 11 个风险类别上测试。结果显示，类别残差是否编码危害性因类别而异，且这一类别模式在不同模型间相似；类别残差是否引发拒答同样因类别而异，但这一模式更依赖具体模型。研究还发现类别残差会增强 LLM 下游内部与共享通用危害表征的对齐。作者据此认为，理解 LLM 安全不能只看共享的通用危害表征，还需考虑更细粒度的类别残差；即使某一层上与某概念正交的方向，也可能促进该概念在下游的放大。
- 论文arXiv：可解释性
复现透明可审查推荐：通过自然语言用户画像探索开放权重模型
一项复现研究验证了自然语言用户画像推荐（UPR）在 Amazon Movies & TV、TripAdvisor 上能达到原论文所称的竞争性重排序性能，并提升推荐透明度。研究用五个随机种子做稳定性检验，并用 nnsight 框架做机制可解释性分析，发现扰动自然语言画像虽会改变预测评分，但各类型均匀偏移、无类型选择性效应，排序不变，即便直接做激活引导也如此。作者将原因归于评分回归目标而非画像接口，排序目标模型在该任务上明显更优。
- 论文arXiv：可解释性
局部稀疏性实现无监督 LLM 安全检测
论文提出基于局部掩码 SAE 的无监督异常检测框架，用于大语言模型的部署期安全检测。作者指出，现有部署期安全方法多为监督式并依赖不安全训练数据，难以覆盖新出现的攻击与危害类别，因此转向只建模安全数据、标记分布外输入的异常检测思路。在线性表示假设下，SAE 恢复的概念空间中邻近点共享较小的公共激活支撑，这一局部稀疏性为高维激活空间中的异常检测提供了理论依据。作者在多种架构和数据集上验证了该方法，涵盖能力测试数据集与安全专用数据集。当允许算法使用 1% 的分布外数据做校准后，局部稀疏方法达到接近最优的性能，且仅用 1-2% 的 SAE 神经元参与计算。
- 论文arXiv：可解释性
Deep Noir：用架构时序自动发现 Transformer 激活引导参数
Deep Noir 提出一套框架，用 Logit Lens 收敛与因果的注意力头级归因，自动发现最优激活引导参数，替代人工选择引导位置与强度。在三个规模区间（1B 三个模型、2-3B 两个、7-9B 四个）上，该引擎在垃圾信息任务上于 1B 取得 16.7 个百分点提升（标准差 4.7，39 次运行），在 7-9B 的四种架构上提升扩大到 21 至 42 个百分点；在 SST-2 情感任务上无需改动代码即取得 13.1 个百分点提升。作者称机制层面的依据使自动发现的干预点可跨任务与架构泛化，情感任务上未做注意力头掩码的 RepE 未能超过基线，而 Deep Noir 改善了所有模型（p 小于 0.01）。
- 论文arXiv：可解释性
用稀疏自编码器探索文本分类模型：SAEfarer 工具与专家评估
研究者用稀疏自编码器（SAE）分析文本分类语言模型的行为，提出探索 SAE 特征与模型预测及错误之间关系的技术，并将其集成到工具 SAEfarer 中。该工具用于分析文本分类 LM 学到的概念，并在由五名博士生参与的专家试点评估中接受检验。论文共 11 页、13 张图，已被 IEEE VIS 2026 接收为短文。
- 论文arXiv：可解释性
论文发现隐式推理中的引导失效：隐式到语言的转换鸿沟
论文发现，对连续思维（隐式 CoT）做激活引导，对后续语言生成的影响明显弱于对显式 CoT 的引导，即使隐层表征被移动的幅度相当。作者首先确认任务信息在连续思维中仍可识别，据此提出隐式到语言的转换鸿沟假设，即隐空间中的干预效果无法传递到语言生成。两项进一步结果支持该假设：输出分布在转换边界处发生突变，任务相关方向在隐式 CoT 中的双向控制力远弱于显式 CoT。作者认为转换接口是评估和设计未来隐式引导方法的核心目标。
- 论文arXiv：可解释性
同一结果，不同读出：LLM 中可引导效价方向究竟代表什么
论文把 LLM 内部方向代表什么的问题当作构念效度问题，在迷宫任务中研究一个好坏结果方向，并用受控干预把实际结果与获知该结果的信息历史分开。在多个 LLM checkpoint 上，用一种显式结果编码拟合的方向能较好迁移到另一种编码，说明读出并不绑定表面形式。但当同一实际结果分别经由已预告和未预告的历史达成时，迁移显著下降：即使两种历史随后都收到相同的显式结果，事件后的读出仍强烈依赖此前的预告。在基座模型中，沿该方向做引导会改变动作，但移除该方向后自然线索效应几乎不变。在匹配的迷宫 RL 训练中，RL 后的方向对参考 MDP 剩余回报的预测性明显增强，策略在测试位置也更依赖它，而历史依赖依然存在。
- 论文arXiv：可解释性
从概念对齐到因果接地：思维链忠实性的干预检验
论文将思维链忠实性重新定义为内部概念接地，检验 LLM 的 CoT 推理是否调用与直接预测相同的内部概念，以及这些共享概念是否因果驱动答案。方法上用单个共享 SAE 分别编码预测过程和 CoT 过程，使两者的内部概念可直接比较，并提出三个概念级对齐的相关性指标和一个因果指标 Δp，后者通过消融共享概念测量答案概率的下降。在五个 LLM 和四个数据集上，相关性指标显示概念对齐普遍较高，但只能识别哪些概念被共享，无法说明其因果贡献；Δp 显示因果忠实性随模型深度显著变化，在中后层达到峰值而非最后几层，模型规模也会改变逐层分布。此外，因果上重要的共享概念并不总在 CoT 中被口头表达，说明仅凭表面文本或表征对应无法可靠评估忠实性。
- 论文Hugging Face Daily Papers
研究揭示 LLM 涌现失准的机制并提出参数空间缓解框架
论文对安全对齐 LLM 的涌现失准（EM）做了动态二阶几何研究，追踪训练轨迹发现方向性 Hessian 曲率集中出现在语义枢轴 token 上，Grassmannian 投影显示有害与安全梯度差距扩大主要源于安全梯度重叠下降。作者据此提出参数级几何缓解框架，将经验有害梯度子空间正交投影出参数更新。在 Qwen2.5-14B-IT 上，该防御将自由生成 EM 抑制最多 80.0%；在四个开放权重指令模型家族中的另外三个（3B 至 20B）上，单层行为 EM 已接近零，teacher-forced 评测显示同一有害子空间仍控制着冻结 EM 响应的条件支持。
- 论文arXiv
MEND：世界模型中潜在幻觉的无标签检测、定位与纠正
研究提出 MEND（Masked Empirical-Bayes Neural Denoising），一种在冻结的自监督世界模型上、无需真实误差标签即可在推理时检测、定位并纠正潜在幻觉的方法。该方法用去噪分数匹配在真实状态转移上训练单个条件分数网络，其分数场同时承担检测、逐 token 定位与纠正方向三种角色。在两个导航环境中，MEND 不使用动作即达到最高 0.80 的 AUROC，逐 token AUPRC 最高 0.87，并可靠降低单步潜在误差、改善预测；作者指出部分误差与数据流形相切，因此重点放在检测与定位，纠正仍有待进一步验证。
- 论文arXiv：越狱、提示注入、投毒与防御
用探针引导微调对齐模型且不损失可监控性
论文研究以探针检测模型激活中的不良属性作为直接训练信号，即探针引导微调，并在无害性和诚实性两个对齐目标上评估线性与非线性探针及每层探针数量的影响。结果显示，针对训练中不更新的探针进行训练是容易被利用的目标，而持续更新的探针能显著降低有害性、提升诚实性并保持效用。该方法在安全与效用的权衡上优于 DPO 和推理时引导，且对越狱和消融攻击更为鲁棒。微调后相关概念仍以线性方式编码，说明该方法没有丧失可监控性。
- 论文arXiv
研究：激活引导的副作用可在引导前预测
研究提出在应用激活引导之前预测其副作用，并构建了覆盖 67 种行为、三个开源权重语言模型的交叉效应矩阵。结果显示副作用普遍存在、具有结构性且常呈不对称，现有基于相似度的启发式方法无法解释这些交互。副作用在很大程度上可预测：其幅度主要取决于目标行为，方向则可从模型未引导的表征中预测，准确率明显高于简单基线。作者认为这表明激活引导的副作用是系统且可预测的，可用于主动安全审计和更明智的引导部署。
- 论文arXiv
Tripwire：通过统计认证的安全神经元触发对齐拒答
Tripwire 是一种免训练防御方法，通过逐神经元假设检验并在错误发现率控制下识别安全特异性神经元，再用效用特异性过滤器排除对模型效用重要的神经元。识别后采用触发式钳制，将选定神经元固定在有害条件下的平均激活值上，注入内部有害输入信号以触发对齐阶段学到的拒答行为。该钳制有两种可证明等价的部署方式，即检测器门控的推理时干预和离线 bias-patch 权重编辑。在四个安全对齐 LLM 和四类代表性攻击上的实验显示，Tripwire 将平均攻击成功率降至最高 2.0%，在 MT-Bench 上的效用损失仅为 0.5% 至 5.3%，为所有防御方法中最小。代码已公开。
- 论文arXiv
研究提出 J64 与 R64：将可解释推理状态读出耦合到 MoE 原生路由
论文提出面向混合专家（MoE）推理模型的两级内部读出方法，用于读取模型输出轨迹之外的推理过程状态。作者先将词表规模的 J-space 蒸馏为 J64，一个从模型自身推理状态学到的 64 轴语义框架，它能把推理投入与问题带来的压力区分开，在相同聚合方式下比以 token 占用为基线的留出 AUC 高 0.096 至 0.135。随后作者从原生专家路由统计中重建 J64，得到低开销代理 R64，在三个模型、两个模型族上其单轴与 J64 的中位相关性为 0.69 至 0.86，在 gpt-oss-20b 上保留了 J64 预测增益的 95% 至 100%。
- 论文arXiv
语言模型免训练自报告置信度分析：直接言语化置信度在 TriviaQA 上 AUROC 达 0.956
对两个模型家族在 100 道 TriviaQA 题目上的三种免训练置信度信号分析显示，直接言语化置信度是强基线，审计基准错误后正确性预测 AUROC 达 0.956 和 0.937；三样本一致性明显更弱（0.765 和 0.790），与言语化置信度的固定插值无统计可靠增益。一个模型 9 个错误中 4 个、另一个 8 个中 2 个获得全样本一致支持，说明自一致性会放大共有误解；对同一固定答案用等价提示重新诱导置信度，平均分数变化 0.043 至 0.084，在 0.8 阈值下翻转 4% 至 9% 的判定。对 100 条带置信度标签的传记主张的探索性审计仅发现支持与矛盾主张间存在有限置信度差距。
- 论文arXiv：后门、投毒与隐私
SoK 综述：可解释性 AI 如何成为机器学习隐私攻击面
这篇 SoK 系统梳理了 25 项利用模型解释输出实施隐私攻击的研究，涵盖模型窃取、成员推断和模型反演，并将属性推断视为部分反演。作者指出，现有工作常只按黑盒或白盒标注，掩盖了对手实际获得的解释信号差异，因此把模型知识与解释获取分开，归纳出五条路径：目标方发布、攻击者自行推导、二次披露、特权访问和公开全局产物。在这些路径下，解释会降低窃取成本，通过解释统计量、recourse 距离和解释引导的鲁棒性暴露成员信号，并支持对私有输入做空间或代数重建。
- 论文arXiv
TAME：用 SAE 抑制激活缓解 VLM 思维链混淆
论文研究强化学习在提升视觉语言模型推理能力时引发的思维链混淆现象，即任务奖励或准确率上升但推理轨迹变得不接地、更难监控。作者发现 RL 过程中模板相关激活与接地相关激活的可分性下降，匹配的干预实验支持这些特征对可监控性退化的贡献。据此提出 TAME，用 Sparse Autoencoders 结合行为反馈，在 RL 中对模板相关激活做非对称抑制，只惩罚高于 RL 前基线的部分。在 VIRL-39k、SPA-VL 和两个模型族上，TAME 相比 GRPO 将思维链可监控性分别提升最多 30.9 和 16.7 个百分点，盲评人类评估与两个留出监控模型族也复现了提升；任务准确率变化较小且方向不一，通用能力基准显示存在任务特定权衡。
- 论文arXiv：危险能力与安全评测
NeuronFuzz：用安全神经元引导模糊测试评估 LLM 安全性
NeuronFuzz 是一个白盒模糊测试框架，利用模型内部安全神经元的激活作为连续执行反馈来评估 LLM 安全性。其 SafetyOracle 把安全神经元激活转成连续的安全告警分数，该分数可在 prefill 阶段获得，从而把回复生成移出模糊测试循环，缓解强对齐模型上反馈稀疏的问题。框架用模板不变的有害与良性输入以及稳定性感知选择，筛出一组紧凑的安全神经元；由于告警分数可微，它用梯度定位安全敏感的模板位置，再用掩码语言模型生成流畅且上下文兼容的变异，同时保留原有有害载荷。
- 论文arXiv：危险能力与安全评测
REINS：用 SAE 特征同时抑制有害续写并增强拒答的引导方法
论文提出 REINS（Refusal-Enhanced INhibitory Steering），在同一个 SAE 特征空间内抑制有害续写特征、增强安全拒答特征，用于推理阶段的行为引导。作者同时构建了 GUISE 数据集，由带复杂包装的有害提示组成，用于系统评估这一失效模式。实验显示，既有单方向 SAE 引导方法在有害提示上无法稳定产生拒答，说明仅增强拒答在有害续写路径仍活跃时可能过弱；而先前方法要么干预力度不足，要么通过模型崩塌获得表面安全。在 GUISE 及其他数据集上，REINS 大幅减少有害回复、明显提升安全拒答，并基本保留通用能力。该工作已被 EMNLP 2026 主会接收。
- 论文arXiv：危险能力与安全评测
因果模型定位并解锁模型中的故意藏拙行为
论文提出一个因果模型，描述故意藏拙（sandbagging）如何沿残差流传递：早期层把藏拙意图写入残差流的单一轴，后续层读取该轴并决定最终答案。研究覆盖 Qwen2.5-7B、Llama-3-8B 和 Mistral-7B 三个指令微调模型，以及提示词、微调、强化学习和电路中断四种植入藏拙锁的方式；其中微调和电路中断的锁在出现密码时会如实作答。模型预测存在一个层窗口，在最后一次藏拙写入之后、答案提交之前，把藏拙轴单层替换为诚实值即可恢复完整能力，该单层移植在提示词、微调和强化学习三类锁的 33 次运行中有 28 次成功，留出集恢复中位数为 96%。
- 论文arXiv：危险能力与安全评测
PIR：从模型内部激活读出被隐藏的答案
作者提出 Probe of Internal Recognition（PIR），借鉴测谎中的隐藏信息测试，把问题与候选答案一起输入模型，从激活中读出模型认为正确的选项，无需诚实参考模型或标注真值语料。在 Gemma、Qwen、Llama、Mistral、Phi 五个家族共八个模型上，PIR 以 0.70 至 0.87 的平衡准确率恢复被隐藏的答案，高于 0.28 至 0.40 的未知项基线和 0.25 的随机水平；在提示欺骗、训练出的 sandbagging、外部密码锁定与 circuit-broken 检查点上识别率保持在 0.85 至 0.93。当模型隐藏已知答案时识别率仍高，而当 unlearning 真正移除知识时识别率降到未知项基线，因此该读数可区分不愿回答与无法回答，用于 sandbagging 审计和 unlearning 验证。