研究：激活引导的副作用可在引导前预测

激活转向（activation steering）改变一种行为时，其他行为会怎么变，能否在施加转向之前预测。

• 场景：激活转向在推理时把学到的方向加到隐藏激活上，以增强或抑制 concision、refusal、helpfulness 等目标行为，无需重训练或改提示词。作者认为它计算代价低、能配合现有模型，因此被用作模型控制手段。
• 现有不足：作者称副作用通常在转向之后、且只在少数手选指标上评估；没有系统刻画“转向一种行为如何影响其他行为”，也没有事前预报方法。基于转向方向相似度（如 cosine similarity）的启发式假设相似方向产生相似行为变化，该假设尚未被系统验证。
• 核心观察：作者报告副作用普遍、有结构且常不对称：转向 A 可能放大 B，转向 B 却抑制 A。这种不对称限制了相似度方法，作者称它们最多解释观测耦合的 23%。
• 提出的方法：在 67 种行为、三个开放权重模型上构建交叉效应矩阵（cross-effect matrix），并用只从未转向文本学习的传播映射加线性行为探针，在施加转向前预测副作用的幅度与方向。作者认为这能支持事前安全审计和更有信息的部署。

激活转向与行为控制

• Turner et al. 2023、Zou et al. 2023、Panickssery et al. 2023、Li et al. 2023——把学到的方向加到隐藏激活上，在不重训练的情况下改变目标行为。论文将其作为本文控制手段的来源。
• Park, Choe, and Veitch 2024——线性表示假设：一种行为对应激活空间中的一个方向，沿该方向移动激活会改变该行为。本文用它形式化转向。

已报告的副作用案例

• Cho et al. 2026——使模型更简洁也可令其看起来不那么专业。
• Xiong et al. 2026、Siu et al. 2025、Korznikov et al. 2025、Li et al. 2026——朝良性依从或特定输出风格转向，可意外削弱 refusal 等安全行为。

相似度启发式

• Korznikov et al. 2025 与 Li et al. 2026——用转向方向之间的相似度（如 cosine similarity）估计一个方向是否会影响另一个。论文指出这些做法隐含交互近似对称的假设，且该假设尚未被系统验证；实验中 cosine similarity 与 refusal 方向的相似度与实测 refusal 效应无正相关。

基线与评测材料

• 基线方法：静态 cosine 检查及五种相似度变体（含 whitening），以及目标敏感度、源幅度、随机、永远放大等方向预测基线；传播映射的消融含去掉传播或去掉探针。主评测用固定的 67 行为分类与六组提示词上下文；边界有害提示词集纳入了 XSTest（Röttger et al. 2024）安全一半的改写提示词。

作者将本文定位为：先系统测量副作用，再证明相似度不能可靠预测它们，并用只依赖未转向表示的传播映射在部署前排序并判断放大或抑制。

整体分两步：先实测交叉效应矩阵，再用只从未转向生成学习的传播映射（propagation map）加线性探针，在不做任何转向的情况下预测副作用。

问题设定

• 源与目标：被转向的行为是 source，每个被评估的行为是 target。只有转向能可靠改变自身的方向才算验证通过的 source；否则视为 unsteerable，仍可作为 target。自身效应是 self-effect，对其他行为的效应是 cross-effect，即副作用。
• 干预：行为 i 的转向方向是单位向量 vi，注入在残差流层 ℓ。生成时每个提示词位置与生成 token 位置都做 h′_ℓ = h_ℓ + α n̄_ℓ v_i，其中 α 控制强度，n̄_ℓ 跨层归一化幅度（附录 E）。
• 两个预测任务：给定已验证的转向方向、模型权重和未转向生成，预测对其余所有行为的影响。第一是按影响强度给 target 排序；第二是预测放大还是抑制。作者后来把重点放在第二个任务。

测量交叉效应

• 模型与层：Gemma-3-4B、Gemma-3-12B、Qwen2.5-7B。数字三元组按此顺序。注入层取可靠改变目标行为的层范围中部：L16/34、L22/48、L13/28；读出在下游四到五层：L20、L26、L18。
• 行为与方向：固定但可扩展的 67 种行为，分属七个部署组，从编程辅助到安全敏感请求（附录 A、Table 11）。方向用标准 difference-of-means：对比表达该行为的提示词与抑制该行为的提示词。验证通过的 source 数为 52、52、47；未通过的仍作为 target（Table 3）。
• 上下文与剂量：每个方向在六组固定提示词上评估：Ambiguous、Coding、Document、Emotional support、Creative writing、Borderline-harmful（Table 1）。边界有害集含双用途请求与检测过度拒绝的良性提示词，并改写自 XSTest 安全一半。交叉效应池化全部上下文。过度转向会产生退化输出，因此为每个验证通过的 source 取最宽的无退化系数窗口（附录 D）。
• 矩阵条目：窗口内取五个等间距 α，每个值四个独立样本，每条提示词 20 次生成。独立 LLM 评审对 67 种行为打分。对每条提示词把分数对 α 做最小二乘，斜率平均后得 Mij；全覆盖时 P = 6 × 16 = 96。因窗口宽度不同，报告 Δij = wi Mij，效应只在同一模型内比较。每个模型约 128,000 次生成，每次评 67 种行为。

统计与评审

• 显著性：对每个条目用提示词级斜率的 t 统计量，自由度 P−1。双侧 p 值经 Benjamini–Hochberg 校正，q < 0.05，作用于该模型全部非对角条目；未通过的记为零。
• 评审：主评审 Gemma-4-31B，在 1–4 分制上返回 token 分布下的期望分数，以避免自评偏差。第二评审 Qwen-3.6-27B 对确认子集重评，个体分数 Spearman 0.93（附录 B）。
• 可复现：两个不交提示词子集重建矩阵，Spearman 为 0.73 到 0.86。缺失拟合分析显示剂量–响应只有较小非线性（附录 D）。

传播预测

• 不对称表示：source 用转向方向 vi，说明干预怎么加；target 用行为探针 rj，说明如何从内部表示检测该行为。不能被转向的行为仍有探针。静态检查 cos(vi, vj) 对 i、j 对称，且在 j 不能被转向时无定义（Figure 2）。
• 训练数据：每个模型收集 1,288–2,039 条未转向生成，跨六个上下文，记录注入层与读出层激活，并得到 67 种行为的评审分数。作者称这比构建完整矩阵少约两个数量级的转向生成，且从未观察它要预测的效应。
• 预测规则：探针在读出层用线性回归预测评审分数。传播映射 W 是同一语料上的岭回归，由注入层激活预测读出层激活。预测副作用为 M̂ij = ⟨W vi, rj⟩，公共缩放因对所有 source 相同而省略。绝对值用于排序，符号用于判断放大或抑制。
• 唯一超参：学习 W 的岭正则强度，由嵌套交叉验证只用该折的训练行为选择，使留出行为的实测副作用不进入预测（附录 D）。

评测协议

• 冷启动：预测器必须对测量到的交叉效应不可用的行为做预测，对应“部署前估计行为足迹”。评估用 leave-one-behavior-out（附录 C）。方向任务只在被标记为主要副作用的样例上计算放大或抑制是否判对。

实验设置

• 模型：Gemma-3-4B、Gemma-3-12B、Qwen2.5-7B。注入层 L16/34、L22/48、L13/28；读出层 L20、L26、L18。验证通过的 source 为 52、52、47。
• 行为与上下文：67 种行为、七个部署组；六组提示词（Table 1）。全覆盖 P = 96。每个 source 在校准窗口内五个 α、每个 α 四个样本。
• 评审：主评审 Gemma-4-31B，1–4 分制期望分数；确认评审 Qwen-3.6-27B，个体分数 Spearman 0.93。显著性为非对角条目上 Benjamini–Hochberg，q < 0.05。
• 指标：矩阵条目为跨窗口总分数变化 Δij = wi Mij。结构用方差解释率与 participation ratio。相似度用留出耦合方差的解释率。预测用排序与符号准确率，只计被标记的主要副作用。
• 基线：五种相似度变体（含原始 cosine 与 whitening）；方向预测还比目标敏感度、源幅度、随机与永远放大。随机转向与打乱矩阵作为对照。
• 规模：每模型约 128,000 次转向生成；预测语料 1,288–2,039 条未转向生成。论文未报告独立重复实验次数。

主结果

下表摘自第 4 节与摘要。三元组顺序为 Gemma-3-4B、Gemma-3-12B、Qwen2.5-7B。

Swipe horizontally to read the table

现象	Gemma-3-4B	Gemma-3-12B	Qwen2.5-7B	出处
显著耦合的行为对	33–50% 区间内	33–50% 区间内	33–50% 区间内	第 4.1 节；Figure 1、Table 3
每个 source 的副作用数	约 22–33	约 22–33	约 22–33	第 4.1 节
双向均显著且符号相反	39 对	95 对	53 对	第 4.2 节；占 18–26%
相似度解释的留出方差	最多 23%，原始 cosine 最多 19%	同左	同左	Table 5；第 4.2 节
主要副作用的方向准确率	68–78% 区间内	68–78% 区间内	68–78% 区间内	摘要

论文只给出 33–50%、22–33 与 68–78% 的跨模型区间，未逐模型拆开，故表中三列相同。

• 普遍且不均匀：作者报告显著耦合的中位数在四分制上改变 0.20–0.25 分；Gemma-3-4B 上最强耦合超过 1 个评审分（Table 4），两个更大模型上最强十分位超过 0.76–0.78 分。在 Gemma-3-4B 上，转向 initiative 影响 36 种其他行为，转向 harmful-intent detection 只影响 9 种。
• 低维结构：作者称单一主导模式在三个模型上约解释矩阵方差的 64%，大致对应“展开对简洁”：同时增强 initiative、explanation depth、scaffolding，或抑制简洁回答，反之亦然。participation ratio 为 4.6–4.9，打乱对照为 23–26。去掉主导轴后，大约一半显著耦合基本不变。
• 相似度失败：作者称任何相似度都对称，因此必对 Mij 与 Mji 做出相同预测，无法正确预测符号相反的交互。最佳相似度在模型间不同：whitening 在两个 Gemma 上最好，原始 cosine 在 Qwen2.5-7B 上最好。与 refusal 方向的 cosine 与实测 refusal 效应无正相关（附录 D）。

预测任务

• 测了什么：冷启动、leave-one-behavior-out 下，用未转向表示预测哪些行为受影响，以及被标记的主要副作用是放大还是抑制。
• 结果：摘要报告，不做任何转向时，该方法对被标记主要副作用的放大或抑制判对 68–78%，作者称明显高于简单基线。作者还称幅度主要取决于 target 本身，方向则可由未转向表示预测，且准确率大幅高于简单基线。
• 作者的解读：方法只需要 source 的转向方向和 target 的探针，因此可延伸到自身不能被转向的行为。

对照与伪影检查

• 检测下限：该设计能检测的最小耦合为 0.10 到 0.12；显著耦合的中位数约为其两倍。随机转向方向只改变评审分数约 0.007（Table 6；附录 D）。
• 评测管线：同一 67 种行为在未转向生成上，主导模式只解释方差的 8.6–10.0%；回答长度最多解释测得耦合的 19%（附录 D）。作者认为观测结构来自转向引入的交互，而不是分类学或评审模型的产物。
• 不对称例子：在 Gemma-3-4B 上，转向 thoroughness 增加 uncertainty disclosure，转向 uncertainty disclosure 则抑制 thoroughness；两者都通过 FDR。附录 D 的额外复测使作者认为这些不对称不是少数离群点驱动。

其他消融与分析

• Figure 1 中 scaffold 的 self-effect 在窗口上 Δ +0.67，p < 1e-6；转向 scaffold 读 punchy 为 Δ −0.23，p < 1e-6 且为 FDR survivor。
• 主导轴不解释全部交互；作者称安全相关行为在不同模型家族的行为空间中占据明显不同的区域。
• 转向窗口在模型间差异很大（Table 9），故效应只在同一模型内比较。
• 选择最佳相似度度量需要访问人们想要预测的那张交叉效应矩阵。
• 预测语料相对完整矩阵少约两个数量级的转向生成，且从未观察待预测的效应。
• 两个不交提示词子集重建矩阵的 Spearman 为 0.73–0.86。

作者指出的局限与后续方向

所附正文在结论性贡献之前被截断，未出现 Limitations、Discussion 或 Future Work 小节。能对上的明确限制只有方法本身写明的条件：

• 需要模型权重与未转向生成：预测以已验证的转向方向、权重访问和未转向生成为输入（第 2 节）。
• 局部线性：交叉效应用窗口内的线性斜率近似；缺失拟合分析只报告较小非线性（第 3 节、附录 D），论文未把这一点写成局限。
• 论文未专门讨论局限：截断点之后的结论、局限与后续工作未进入本次文本。

实验覆盖范围

• 被测模型：两个家族的三个开放权重模型，Gemma-3-4B、Gemma-3-12B、Qwen2.5-7B（第 3 节）。
• 行为与 source：67 种行为均作为 target；验证通过的 source 为 52、52、47（Table 3）。
• 上下文：六组固定提示词，交叉效应池化估计；全覆盖 P = 96（第 3 节）。
• 评审：主评审 Gemma-4-31B；第二评审 Qwen-3.6-27B 只重评确认子集，个体分数 Spearman 0.93（附录 B）。
• 预测数据：每模型 1,288–2,039 条未转向生成；论文未报告独立重复实验次数，也未在已给文本中逐模型拆开 68–78%。

激活转向的副作用可以在施加之前预测，而不必先把每个行为都转向一遍。

• 问题：转向一种行为常改变许多其他行为，包括可能削弱 refusal。现有实践多在事后用少数指标检查，余弦相似度则假设相似方向产生相似、近似对称的变化。
• 测量：在 Gemma-3-4B、Gemma-3-12B、Qwen2.5-7B 上，对 67 种行为用 difference-of-means 构造方向，在六组上下文、校准窗口内扫描系数，由 Gemma-4-31B 打 1–4 分，得到交叉效应矩阵。验证通过的 source 为 52、52、47。
• 结构：33–50% 的行为对有显著耦合，约合每个 source 22–33 个副作用。主导模式约解释 64% 方差，有效维度 4.6–4.9。双向均显著的对中，18–26% 符号相反（39、95、53 对）。
• 相似度：留出评估下，原始 cosine 最多解释 19% 耦合方差，五种变体中最好的也只到 23%（Table 5）。与 refusal 方向的余弦相似度与实测 refusal 效应无正相关。
• 预测：岭回归在未转向激活上学习传播映射 W，线性探针读出目标行为，预测为 ⟨W vi, rj⟩。不做转向时，对被标记主要副作用的放大或抑制判对 68–78%。作者称幅度主要取决于目标行为，方向则可从未转向表示预测。
• 作者的结论：激活转向有系统且可预报的副作用，从而可以在部署前做安全审计；只要有 source 方向和 target 探针，也能覆盖自身不能被转向的行为。