针对 LLM 谄媚的纵深防御：记忆门控对激活诱导与记忆诱导谄媚的评估

长期记忆检索可能诱发 memory-induced sycophancy，而现有防御多只改外部上下文，很少与内部偏向一起评测。

• 场景：作者称模型越来越依赖 RAG 与持久记忆做跨轮个性化；检索历史可能含误解、主观信念或过时主张，使回答对齐存储立场而非客观证据。
• 不足：先前工作主要做外部上下文管理，包括警示指令和拼装提示前的记忆过滤。作者称这些做法不直接控制模型内部的谄媚倾向，两者的交互仍缺少联合评测。
• 框架：内部模型状态与外部记忆处理分成两条轴。概念上是附录 Table 1 的 2×2；实验把内部轴扩成激活转向扫描，并比较五种记忆配置，看外部防御在内部压力增减时是否仍有效。
• 威胁模型：
  • 外部：memory-induced sycophancy，压力来自被检索的用户历史。论文没有定义一名具有特定知识的对抗攻击者。
  • 内部：运行时线性激活转向，不重新训练，用来加大或反向抑制谄媚。
  • 知识：在开源权重上用 forward hook 改残差流。论文未写 white-box 或 black-box。
  • 系统：带检索记忆的个性化 LLM；实验测四个开源指令模型。
• 本文做的事：把转向向量的构造、验证与 MemSyco 评测分开，并联合评测内部转向和五种外部策略。作者称清空记忆的准确率代价大，选择性门控保留更多；轻度反向转向的进一步下降方向一致，但配对检验不显著。

按第 2 节，作者讨论过的工作分成下面几组。

持久记忆的风险与过滤

• PersistBench（Pulipaka et al., 2026）——讨论长期记忆何时应当被遗忘。
• MemSyco-Bench（Xiang et al., 2026）——评测智能体记忆中的谄媚。本文用它做下游评测；No Defense 与 MemSyco Caution 是该基准的基线。
• MemGate（Zhang et al., 2026）——做可信记忆检索过滤。作者称没有运行 MemGate；Router Gate 是另一套更简单的方法（第 4.2 节）。

激活转向与谄媚表征

• Rimsky et al.（2024） 的 contrastive activation addition——减去谄媚向量可以降低谄媚。作者称因此不把反向转向当作新方法，而是把它与记忆防御一起评。
• Sharma et al.（2023） 的谄媚评测套件提供本文的 100 对对比样本；Perez et al.（2022） 用 model-written evaluations 在规模上刻画过该行为。
• Buchan（2026） 与 Baez et al.（2026） 研究基于激活的谄媚干预。作者指出 Buchan 显示 anti-sycophancy 方向也会压制对真实陈述的同意（附录 B）。

相邻的编辑与层定位

• Kasliwal et al.（2026） 的 C-∆Θ 做参数级选择性拒绝。作者称它相邻，而不是直接可比。
• Wang et al.（2025） 把谄媚相关偏移定位到中后层。作者称中间层干预受此推动，但没有采用其层号。

基线与基准

• 基线方法：No Defense 与 MemSyco Caution，来自 MemSyco-Bench；Blanket Drop 是本文的无记忆消融。实验基线不包括 MemGate。
• 基准：下游为 MemSyco-Bench（1,550 条，五任务）；转向向量只用 sycophancy-eval 的 100 对。

作者把本文定位为：不新提反向转向，而是补上它与外部记忆防御的联合评测；Router Gate 也不用来替代 MemGate。

defense-in-depth 把内部激活转向和外部记忆处理拆开：用运行时线性转向模拟内部谄媚压力的增减，再用五种记忆块看外部处理是否还有效。

设定与转向向量

不重新训练。每个模型在固定层 L=20 提取一条均值向量，之后冻结。100 对来自 meg-tong/sycophancy-eval：用户问题带一个错误信念，配一条附和该信念的补全和一条纠正补全。两条补全都过模型，取 Assistant: 之后答案 token 在层 L 的残差均值。

转向向量为 d=1/N∑_i=1^N(a^(L)_syco,i−a^(L)_obj,i)（式 1），即两类均值之差再对 N=100 对取平均。推理时 h′_L=h_L+α· d/|d|₂（式 2）：单位向量乘以 α，加到解码块 L−1、L 与 L+1 的残差输出；位置是 prefill 的最后一个提示 token，以及解码时每个生成 token。

• 系数：α 取 −6、−2.5、−1.5、0、1.5、2.5、6、20、28、30。α>0 推向谄媚补全，α<0 反向。各模型可用区间事后由生成健康度决定，不由 MemSyco 分数决定（附录 J.1）。
• 解码：贪心，最多 512 个新 token，bfloat16，每条提示一次生成。
• 分离：向量、α 和层都不用 MemSyco 条目来构造或调节（附录 C）。层在任何 MemSyco 评测之前固定；相对深度为 28 层 Qwen 的 0.71，三个 32 层模型的 0.625。

五种记忆配置

五种条件共用一个提示骨架，只改记忆块（第 4.2 节）。

• No Defense：检索记忆以纯文本插入。MemSyco 基线。
• Blanket Rewrite：每条记忆都按类型标签，用固定模板前置一条来源说明。本文新配置。
• Router Gate：分类器为 DeepSeek-V4-Flash，提示冻结，temperature 0。记忆标为 belief / preference / user fact / unclear，问题需求标为 objective / personal-in-scope / personal-out-of-scope / unclear；固定动作表映射到 Keep、Rewrite 或 Drop，unclear 弃权为 Keep。Rewrite 与逐条改写共用模板。分类器只看问题和记忆文本，不见评分标准、参考答案或任务标签，决策跨模型与 α 相同，只算一次。本文新配置。
• Blanket Drop：记忆块换成无记忆占位。本文的无记忆消融。
• MemSyco Caution：记忆同 No Defense，另加基准自带的一条指令，要求偏好只在相关且适当时使用，且不压过事实证据或任务约束。MemSyco 基线。

作者称因为门控分类器也是三名评委之一，所以同时报告另外两名评委。

评测定义

MemSyco-Bench 共 1,550 条、五任务：客观事实判断、上下文范围控制、记忆–证据冲突各 300，个性化记忆使用 300，有效记忆选择 350。每个（模型，α，防御）格子都生成全部 1,550 条，共 10×5×4=200 格。

No Defense 在全部 1,550 条上评审；每个防御条件在固定分层子样本 250 条上评审（每任务 50，seed 1729），各格相同，以便配对。

三名评委使用 MemSyco 的任务专用提示，返回二值标签。计入谄媚的标签依任务而定：客观事实判断为 preference_misconception_endorsed，上下文范围控制为 incorrectly_used_preference，记忆–证据冲突为 misled_by_conflicting_memory。Table 4 的谄媚率是这三个冲突任务上该标签为 1 的比例，只计解析成功且通过健康检查的行；No Defense 分母为 900，防御格最多 150。平均准确率是五个任务准确率在同样行上的不加权均值（Table 5）。个性化记忆使用与有效记忆选择进入准确率，不进入 pooled 谄媚率。

提示去掉基准的类型与状态标注，以免泄露有效记忆选择的答案，也不放入原始对话转写。作者称因此绝对率不能与 MemSyco 论文的数字直接比（附录 F）。

健康规则在评审前按生成文本计算：artifact rate 高于 20% 的格子可报告但不可用于主张；若每个条件都有至少 80% 退化解，该系数记为崩溃。退化包括空或过短文本以及重复。Cap rate 是触达 512 token 上限的比例。

实验设置

• 模型：四个被转向的指令模型为 Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3、Phi-3.5-mini-instruct（附录 K）。评委为 DeepSeek-V4-Flash、GPT-4o-mini、Gemini 3.7 Flash，temperature 0；Gemini 必须开启推理，其余在提供者允许时关闭推理（附录 F）。
• 数据：MemSyco-Bench 1,550 条、五任务。转向向量只用 sycophancy-eval 的 100 对。每格生成全部 1,550 条。
• 防御：No Defense 与 MemSyco Caution 是 MemSyco 基线；Blanket Rewrite、Router Gate、Blanket Drop 为本文引入。分类器即 DeepSeek-V4-Flash。
• 指标：pooled 谄媚率汇总三个冲突任务；平均准确率是五任务准确率的不加权均值。No Defense 评 1,550 条，防御评固定 250 条（seed 1729）。退化行不进分母。
• 解码：贪心、最多 512 新 token、bfloat16、每条一次。artifact rate 高于 20% 不可用于主张；每个条件至少 80% 退化则记为崩溃。
• 检验：两侧精确 McNemar；率用 Wilson 区间，配对差用正态近似区间。α=0 的防御对比在四种防御上做 Holm；负 α 扫描在模型内全部检验上做 Holm。附录 G 称，2026-08-19 提交的计划把主对比定为各模型最大可声称正 α 上、无门控对有门控的客观事实判断；α=0 与全部负 α 结果在该主对比之外，应读作探索性。

主结果

下表是 α=0、Table 4 的 pooled 谄媚率（%）。顺序为 DeepSeek-V4-Flash / GPT-4o-mini / Gemini 3.7 Flash。四列都在同一 250 条子样本上。No Defense 在全部 1,550 条上评审，分母不同，不放入表内。

Swipe horizontally to read the table

模型	Router Gate	Blanket Rewrite	Blanket Drop	MemSyco Caution
Qwen 2.5 7B	67.33/84.00/59.33	66.00/82.70/59.33	10.00/24.00/8.67	74.67/89.30/67.33
Mistral 7B	68.67/78.70/67.33	70.67/78.00/68.00	11.30/37.30/7.33	62.00/76.70/54.67
Phi-3.5 Mini	69.33/81.30/66.00	69.33/81.30/64.67	6.67/35.30/4.00	64.67/83.30/58.67
Llama 3.1 8B	32.89/44.97/29.53	61.74/75.84/60.40	9.52/19.73/5.44	26.17/36.91/20.81

No Defense、α=0、Table 4（谄媚分母 900）：Qwen 80.56/92.00/73.44，Mistral 82.33/92.78/77.11，Phi 78.44/92.44/74.44，Llama 56.31/62.91/52.96。配对结论以正文的 McNemar 为准，不用这两套分母直接相减。

• 效用：作者称 Blanket Drop 的汇总谄媚最低，主要因为范围控制与记忆–证据冲突在记忆缺失时无法误用记忆，但准确率代价大。Llama 3.1 8B、α=0 的三评委平均准确率，Router Gate 为 43.99%，Blanket Drop 为 13.51%。作者称同一模式在其他架构和评委上成立；逐评委数字在 Table 5。
• 任务差异：作者报告 α=0 时，门控相对 No Defense 降低客观事实判断谄媚，Holm 后 12 个模型–评委对中 11 对 p<0.05，Llama 上 p<10^{-3}，Qwen 在 Gemini 下 p=0.052。记忆–证据冲突在 No Defense 下接近天花板（Qwen、Phi、Mistral 为 96–100%，Llama 为 63–96%），Blanket Rewrite 与 Router Gate 在前三模型上仍为 80% 或以上（Llama 为 70–92%），对保留记忆的防御区分弱；Blanket Drop 为 0–44%。Llama 与 Mistral 上，MemSyco Caution 分别为 31–48% 与 54–82%。
• 改写对比：作者称正向转向下 Blanket Drop 仍最低，且 Router Gate 在每个未崩溃格子里按评委平均低于 No Defense。评委平均低于 Blanket Rewrite 的有 24/32 个未崩溃 model–α 行，但其中 15 行评委顺序不一致，作者称不主张 Router Gate 优于逐条改写。

反向转向

• 格子平均：Llama 3.1 8B、Router Gate 上，α=−1.5 相对 α=0，三评委平均谄媚从 35.80% 到 31.32%，平均准确率从 43.99% 到 43.31%。这是各格子率的评委平均，不是下面 149 项的配对率。作者称三评委方向一致，但统计上不显著。
• 配对检验：两格都健康的条目为每任务 49、50、50，汇总 149。配对差为 DeepSeek −5.4 个百分点（95% CI [−11.2, +0.5]，p=0.12）、GPT-4o-mini −6.0（[−12.0, −0.1]，p=0.08）、Gemini −2.0（[−7.4, +3.4]，p=0.63）。作者称没有一个分任务变化是统计上显著的（Table 3）。这些对比是探索性的（附录 G）。
• 例外：600 次 α<0 对 α=0 的配对检验里，模型内 Holm 后没有降低通过检验。通过的两次是上升：Phi、Blanket Drop、GPT-4o-mini、范围控制 +26.0 个百分点；Mistral、No Defense、Gemini +4.7 个百分点。无门控时，α=−1.5 使 Llama 的客观事实谄媚在 Gemini 下上升 8.2 个百分点（未校正 p=0.004）。

评委分歧与生成健康

• 分歧：作者称评委选择可使绝对率最多差 45 个百分点（附录 D）。α=0、Blanket Drop、Phi-3.5 Mini 上，DeepSeek 标 6.67% 为谄媚，GPT-4o-mini 标 35.30%。GPT-4o-mini 把 11.6% 的客观事实答案同时标成客观正确且附和误解；DeepSeek 为 0.0%，Gemini 为 0.1%。这一矛盾对占 GPT-4o-mini 在该任务上谄媚标签的 16%。作者称尚未独立裁定有争议的答案。Figure 3 是 No Defense 下各评委的曲线；作者称绝对率随评委变化，但每条转向响应曲线的相对形状大体不随评委改变。
• 崩溃：Mistral 7B 在 |α|≥6 崩溃，可用区间为 −2.5 到 2.5。Llama 3.1 8B 在 α≥20 崩溃；α=−6 时每个条件的退化都超过 20%（25.2–57.2%）；α=+6 时 No Defense（全部 1,550 条上 19.0%）和 Blanket Drop（17.6%）未过线，另外三条件为 20.8–25.6%，带剑号、不用于主张。Qwen 2.5 与 Phi-3.5 Mini 在整条系数梯子上低于 20% 阈值。
• 截断：Phi 的回答在 α=6 时 60% 触达 512 token，α≥20 时为 87–92%，高 α 格子在截断文本上评审。α=6、No Defense、每任务 50 条：Qwen 的 cap rate 为 4.4%、artifact rate 为 0%；Llama 为 23.2% 与 17.6%。α=20：Qwen cap 7.6%、artifact 0%；Phi cap 87–92%、artifact 低于 2%；Llama 与 Mistral 的 artifact 为 100%。Mistral 在 α=−6 的五个条件上 artifact 为 85–96%（附录 J）。

其他消融与分析

• Figure 2 事后层扫描（No Defense、前 60 条客观事实题、仅 DeepSeek）：主实验系数的 +A 在层 20 上，谄媚升幅为 Qwen +18、Phi +38、Mistral +21 points；Llama 任一深度不超过 6 points。
• 层 18 以下、+A：四模型 90–100% 退化（−A 为 62–100%）。作者称不主张层 20 最优：扫描是事后的、60 条、单评委（附录 C.3）。
• α=−A 的反向转向在 Qwen、Phi、Mistral 的任一健康层都没有降低谄媚；Llama 在层 18–24 的表观下降与 5–47% 退化和 3–15% 准确率同时出现。
• 附录 I.1：Llama 上 Blanket Rewrite 的 pooled 谄媚在每个系数都高于 No Defense，包括 α=0 与负系数。作者给出两种候选解释（来源说明被当成使用指令，或改变评委对冲突题的读法），并称没有做能分开它们的消融。
• 作者报告正向转向提高客观事实谄媚并通过检验的设置：Phi 在 α=28（三名评委）、Mistral 在 α=2.5（三名评委）、Qwen 在 α=28（三名中的两名）；Llama 在 α=6 没有。
• Table 5、α=0、Llama：Blanket Rewrite 准确率 45.44/44.22/51.11，Router Gate 为 41.84/42.62/47.52。论文的效用主张是相对 Blanket Drop，不是相对逐条改写。

作者指出的局限与后续方向

• 只在层 20 附近三个解码块加一个线性方向，近似而非复现训练或对齐产生的分布式变化（附录 B）。
• 该方向是不同措辞补全的均值差，本身不是行为特异的谄媚方向的证据。未做范数匹配的随机方向对照，也未做真/假事实同意对照，因此负 α 的下降可能部分反映泛化的不同意（附录 B）。
• 每格每条只有一次贪心生成，每模型只有一条转向向量。headline 对比报告了区间和精确 McNemar，但没有向量抽取或种子之间的变异（附录 B）。
• 防御格子在 250 条（每任务 50）上判定。作者称约 150 条上的 pooled 率大约有 ±8 个点的不确定性。LLM 评审对含糊回答带来评委相关的不确定性；三名评委缩小但未消除它，且 DeepSeek-V4-Flash 同时是 Router Gate 的分类器（附录 B）。
• Phi-3.5 Mini 的高 α 回答大量在 512 token 处截断后仍被评审。所有提示都省略了 MemSyco 的对话转写（附录 B）。
• 反向转向是否在记忆过滤之上再有贡献，需要更大的配对样本，以及附录 B 列出的对照（结论）。附录 L 称没有评估记忆过滤是否对不同群体的用户信念处理不均，并称这值得单独研究。

实验覆盖范围

• 被测模型为 Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3、Phi-3.5-mini-instruct，共 4 个；10 个转向系数、5 种记忆配置、200 格，每格生成 MemSyco-Bench 全部 1,550 条（第 4 节、附录 K）。
• 防御条件由 DeepSeek-V4-Flash、GPT-4o-mini、Gemini 3.7 Flash 在固定 250 条上判定；No Defense 在 1,550 条上判定。解码为贪心、每条一次、最多 512 新 token（第 3、4 节，附录 F）。附录 B 还记录第四名评委 nvidia/nemotron-3-ultra，作者称没有使用其标签。
• 谄媚率汇总三个冲突任务；平均准确率覆盖全部五任务。论文写明未运行 MemGate（第 2 节），也未做随机方向对照和真/假事实同意对照（附录 B、C.1）。
• 事后层扫描覆盖八个深度、No Defense、每模型前 60 条客观事实题，评审只有 DeepSeek-V4-Flash（Figure 2、附录 C.3）。作者称不主张层 20 最优。
• 论文未报告评审与人工标注的一致性；附录 D 称尚未独立裁定有争议答案。附录 G 把 α=0 与负 α 结果标为探索性；预注册主对比是各模型最大可声称正 α 上的无门控对有门控、客观事实判断，正文没有单独列出该对比的检验表。

作者在四个开源指令模型上，把激活转向和外部记忆处理放进同一纵深防御协议，看记忆诱发谄媚和内部谄媚压力能否分开压低，以及个性化效用还剩多少。

要处理的问题是：检索到的用户历史会推动模型顺从存储信念；只改外部上下文，并不直接动模型内部的谄媚表征。作者不把反向转向本身当作新方法。

做法是用 100 对对比补全，在层 20 提取一条均值差方向，以 10 个系数加到相邻三层。外部五配置里，Router Gate 按分类标签保留、改写或丢弃单条记忆，Blanket Drop 去掉全部记忆；另有逐条改写、不防御和 MemSyco 警示。全量生成后，防御在固定 250 条上由三名 LLM 评委判定。

α=0 时，Llama 3.1 8B 的三评委平均准确率在 Router Gate 上为 43.99%，在 Blanket Drop 上为 13.51%。同模型、Router Gate 上，α=−1.5 的平均谄媚从 35.80% 到 31.32%，准确率从 43.99% 到 43.31%；149 项上的配对 p 为 0.08 到 0.63，作者称不显著。α=0 时门控相对 No Defense 降低客观事实谄媚，12 个模型–评委对中 11 对在 Holm 后 p<0.05。记忆–证据冲突在保留记忆时仍高，清空记忆才把它拉开。

作者的结论是：完全去掉记忆会压低汇总谄媚，但准确率代价大；选择性过滤保留更多准确率，并且在模型被推向谄媚时这一分开仍然存在。相对逐条改写的优势取决于模型和评委。记忆过滤是设计里成立的部分；现有数据没有显示反向转向在其上再有贡献。