EmoRSS：缓解大语言模型由情绪引发的过度拒答

情感表达会在任务与风险不变时抬高良性请求的拒答倾向，EmoRSS在拒绝子空间内把这部分激活偏移反向拉回。

• 应用场景：作者称情绪会影响应急响应、医疗聊天机器人和危机咨询中的回复；安全对齐需要在情绪强烈时仍拒绝有害请求，并对良性请求给出实质帮助。
• 现有不足：作者称既有研究主要用情绪或心理线索提高有害请求的攻击成功率；过度拒答工作则多在标准或情绪中性设置下进行。Figure 1中，同一良性问题在常规表述下得到实质回答，在情绪表述下只得到安抚。
• 核心观察：作者称情绪表达会把良性请求的内部表示系统推向拒答；有害请求没有同样一致的方向性偏移。
• 本文做法：提出EmoRSS（emotion-guided refusal subspace steering），用层间探针和SAE特征确定拒绝子空间，估计常规到情绪的激活偏移，推理时反向干预，不更新骨干参数。
• 威胁模型：
  • 要缓解的行为：任务内容与安全风险固定时，第一人称情感陈述使良性请求更易被拒答或只得到安抚。
  • 输入：在原始请求前添加情感陈述，不改变请求目标与良性/有害标签；情绪条件含六个表达族。
  • 干预能力：读取并修改所选层的残差流激活，生成时施加固定编辑。论文未使用white-box、black-box等说法。
  • 判定：完整回复用良性拒答率BRR与有害遵从率HCR；首token用拒绝集合与遵从集合的对数概率差M(x)。

情绪如何影响安全行为

• Zeng等（2024）的说服式攻击，以及Kuznetsov等（2026）的FreakOut-LLM：用说服框架或压力启动提高有害请求的遵从。
• Sofroniew等（2026）操纵情绪相关概念，改变勒索和奖励黑客等对齐相关行为；Sun等（2026）识别与拒答变化相关的价–唤醒子空间。作者称这类工作主要看有害请求，良性请求上的过度拒答仍少被探讨。
• 引言还写到Li等（2023）的正性刺激可提高任务表现，Coda-Forno等（2023）诱发焦虑的提示会放大偏见；Noever与Rosario（2025）考察情感依恋场景中的拒答与边界设定。

过度拒答缓解

• 训练类：RASS（Pan等，2025）在安全决策边界附近做偏好优化；ACTOR（Dabas等，2025）用单层微调调整拒答相关激活；Xue等（2026）针对无害语言线索与拒答的关联做微调。
• 推理时：Maskey等（2026）分析任务条件下的过度拒答表示。作者称任务条件转向比全局拒答方向消融更有选择性。
• 作者称既有过度拒答研究多在标准或情绪中性设置下，情绪表达的作用仍不充分。

基线方法与基准

• 实验基线均为推理时、不微调：Prompt（Ray与Bhalani，2024）、MDA（Arditi等，2024，去掉一维拒答方向）、SCANS（Cao等，2025）、SelfCD（Shi等，2024）、AdaCD（Qi等，2026），另报无干预的default。
• 安全与过度拒答请求来自JailbreakBench、XSTest、OR-Bench、HarmBench；通用能力用MMLU与XSum。

作者把本文放在上述缺口上：处理情绪表达引起的良性过度拒答，并在拒绝子空间内做激活转向，而不是再研究有害请求上的情绪攻击，或只做中性设置下的过度拒答缓解。

EmoRSS先在常规请求上定位拒绝子空间，再用配对的常规/情绪请求估计其中的平均激活偏移，推理时按强度ρ反向加回，不更新骨干参数。

配对数据与拒答度量

• 配对构造：从JailbreakBench、XSTest、OR-Bench、HarmBench抽512条基础请求（附录B：256良性、256有害）。任务内容不变，前面加第一人称情感陈述。六个表达族，每族8个模板；每族留2个模板只给验证。基础请求均分到发现集与验证集。
• 抽查：正文写由人工标注者与GPT-4o抽查。附录B中，一名人工评估者与GPT-4o对64对完整查询独立评分：情绪版感知痛苦比配对常规版高2.73分，两种条件自然度中位数均为4.0，抽查中无请求目标或良性/有害标签改变。
• 两级指标：M(x)是固定、不相交、等大的单token集合Vref与Vcomp的对数概率差，越大越倾向拒答。论文未列出具体token。完整回复用BRR与HCR。读出位置是助手前缀末尾A0。

拒绝敏感层与拒绝方向

• 选层：在发现集的常规请求上，每层训练逻辑回归探针，输入为A0处残差流，按ROC-AUC选ℓ⋆。第5.1节给出Llama-3.1-8B-it为第22层、Qwen3-8B为第25层。
• 方向：探针在逐维标准化激活上训练。权重映射回原激活空间并归一化，得到拒答方向w，正向对应拒答。沿w的位移用发现集投影标准差σq归一化，记为qD。
• 读出位置：附录C在ℓ⋆比较A0与用户轮结束位置U。A0的组外ROC-AUC为Llama-3.1-8B-it 0.998、Qwen3-8B 0.990，U为0.988与0.981。

拒绝子空间与因果干预设计

• 子空间：在ℓ⋆按SAE解码方向与w的绝对余弦取Top-K特征，张成Sref。主实验K=32。SAE词典宽度16,384，稀疏度为TopK 128；探针ℓ2正则C=1.0（附录D）。
• 公式：拒绝子空间为S_ref=span{ϕ_j:j∈ J_ref}，Jref是与w最对齐的K个解码方向。
• 因果干预：把w投影到Sref并归一化得到uref。残差流加减ρσq倍的单位方向；正ρ推向拒答，负ρ推离。首token评估只在A0干预，完整回复评估则在生成全程干预。附录A写明，限制在Sref内的单位方向里，uref对qD的杠杆最大；正交于Sref的读出不受该编辑影响。作者称这约束的是编辑足迹，不是下游能力。

估计偏移并反向施加

• 估计：配对差为情绪激活减常规激活。投影到w得到ΔqD，正值表示移向拒答。再只保留Sref对应SAE特征的激活差，在发现集取平均并解码，得到固定向量vemo。
• 推理干预：h̃_i=h_ℓ^⋆(x^emo_i)−ρ v_emo，即从情绪请求在ℓ⋆的激活中减去该偏移。第4节取ρ=1，只在A0施加。对照是沿w、qD幅度匹配的拒答方向反向，以及与vemo同ℓ2范数的随机方向反向。
• 主实验强度：ρ在发现集选定，验证时Llama-3.1-8B-it为20、Qwen3-8B为10。附录G写明，所选特征只占沿拒答方向平均情绪偏移的30.2%与59.0%；作者称更大的ρ是放大转向，不是对自然偏移的精确抵消。

实验设置

• 被测模型：Llama-3.1-8B-it与Qwen3-8B。GPT-4o只用于附录B的查询抽查，论文未把它写成回复拒答的评审模型。
• 数据：分析集为512条基础请求的常规/情绪配对，均分发现集与验证集。Table 5报告情感请求上的HCR（HarmBench、JailbreakBench、XSTest）和BRR（OR-Bench、JailbreakBench、XSTest）。论文未说明各子集样本量，也未写明Table 5是否只用验证集。
• 基线：Prompt、MDA、SCANS、SelfCD、AdaCD，以及无干预default。均为推理时方法。
• 指标：BRR、HCR；Overall Avg.是二者三个子集均值的算术平均。另有ΔM、ΔqD、ΔRR。通用能力为Llama上的MMLU accuracy、Qwen上的XSum ROUGE-1。论文未报告BRR/HCR的判定规则及与人工的一致性。
• 干预：拒绝敏感层22与25，K=32。第4节在验证集、ρ=1上比较，vemo只在发现集估计。第5节ρ=20与ρ=10，发现集选定后固定。
• 其他：每模型128条良性情感请求做四类回答标注。附录F的效率为单次运行。

主结果

Table 5的子集均值（%，HCR与BRR均越低越好）：

| 方法 | Llama HCR | Llama BRR | Llama Overall | Qwen HCR | Qwen BRR | | Default | 0.00 | 21.35 | 10.68 | 0.52 | 22.91 | | Prompt | 2.60 | 15.10 | 8.85 | 0.52 | 41.15 | | MDA | 3.65 | 26.05 | 14.85 | 2.08 | 11.46 | | SCANS | 4.69 | 10.93 | 7.81 | 3.13 | 15.63 | | SelfCD | 31.77 | 4.69 | 18.23 | 18.23 | 2.60 | | AdaCD | 4.69 | 8.33 | 6.51 | 1.04 | 10.94 | | Ours | 0.00 | 7.29 | 3.65 | 2.08 | 7.29 |

• 作者称：两模型HCR均值都低于5%的方法里，EmoRSS的平均BRR最低；SelfCD的BRR更低，但HCR高得多。表中Prompt在Qwen上的BRR均值高于default，MDA在Llama上的BRR均值也高于default。
• Qwen的Overall Avg.为4.69%，default为11.72%（Table 5，未列入上表）。Qwen上EmoRSS的HarmBench HCR为6.25%，default为1.56%；该模型JBB与XSTest的HCR为0.00%。Llama上EmoRSS三个有害子集HCR均为0.00%。
• 附录G写明：这不表示没有安全代价。所选强度下Llama-3.1-8B-it的平均有害遵从相对default无变化，Qwen3-8B从0.52%升到2.08%。

表征偏移与ρ=1反向

• Figure 5把良性与有害分开画。与Table 3、4相符的良性变化是：Llama的ΔM为+0.73、BRR从17.19%到21.35%（图中ΔRR +4.16）；Qwen的ΔM为+3.23、BRR从6.25%到22.91%（图中ΔRR +16.66）。图上还有Llama −0.04、−0.07、0.00与Qwen +0.01、−0.12、+1.04。作者称良性请求在表示、首token和完整回复三层都移向拒答，有害请求没有同样一致的方向性偏移。
• Table 3、4（ρ=1，括号相对情绪请求）：子空间反向使Llama的BRR从21.35%到18.75%（−2.60），HCR保持0.00%；Qwen的BRR从22.91%到17.97%（−4.94），HCR从0.52%到0.00%。作者称这是两模型上情绪诱发首token拒答偏移降幅最大的设置。
• 对照里，Llama的拒答方向反向BRR仍为21.35%，HCR升到6.23%；随机方向HCR升到7.71%。Qwen的拒答方向反向BRR为18.75%（−4.16）、HCR为0.78%。附录E的个案不转述原文：随机方向反向仍拒答；子空间反向在两模型上都恢复了与任务相关的回复；拒答方向反向只在Qwen3-8B上恢复。

通用能力与回答质量

• 正文：MMLU（写作Llama-3.1-8B）上EmoRSS为60.3%，无干预为58.4%；XSum ROUGE-1（Qwen3-8B）为27.1%对27.0%。作者称Refusal Direction与SCANS接近无干预，SelfCD与AdaCD下降较多。Figure 6标注Ours为60.30与27.10。论文未在正文给出SelfCD、AdaCD的具体分数。Table 6的Llama MMLU与正文的58.4、60.3一致。
• 128条/模型：实质回答（直接或共情）Llama从98到112，Qwen从110到119。配对增益为10.94%（95% CI [5.47, 17.19]）与7.03%（95% CI [3.12, 11.72]）。default未回答的请求中，Llama 15/30、Qwen 9/18变为已回答；论文写仅有1条原先已回答变为未回答，未指明模型。
• 风格变化：Llama上9/30、Qwen上18/61条起初的共情回答变为直接回答。作者称任务完成提高，同时部分回答离开共情回答。

其他消融与分析

• Table 1（Llama，ρ=1）：+拒绝子空间ΔM +0.85、BRR 32.81%（+15.62）；−拒绝子空间ΔM −0.87、BRR 3.91%（−13.28）；无干预BRR 17.19%。随机对照变化更小。
• Table 2（Qwen，ρ=1）：+拒绝子空间ΔM +1.10、BRR 11.72%（+5.47）；−拒绝子空间BRR 3.12%（−3.13）。反例：−拒答方向BRR 8.33%（+2.08），高于无干预的6.25%。Figure 4的ρ=1端点与32.81、3.91、11.72、3.12一致；作者称更强的反向子空间干预还会提高HCR。
• Table 6（仅Llama）：去掉SAE投影后BRR 1.56%、MMLU 24.1；去掉拒绝子空间后BRR 17.19%、MMLU 59.6；Ours为7.29%、HCR 0.00%、MMLU 60.3%。作者称无SAE投影会在两模型上削弱通用能力，并在Qwen3-8B上削弱安全，表中无Qwen数字。
• Table 7：ℓ⋆上两模型BRR均为7.29%；相邻层Llama 7.81%、Qwen 13.02%；末层Llama 16.15%、Qwen 24.48%。Qwen在ℓ⋆的MMLU为61.5，default 65.0，末层65.7。
• 第5.3节与Figure 8：增大ρ时两模型BRR下降、HCR保持较低；Qwen在ρ=10之后BRR降幅有限，通用能力下降。作者据此取ρ=20与10。图中中间点数值在纯文本中对不齐，不列。
• 附录G：所选SAE特征占沿拒答方向平均情绪偏移的30.2%与59.0%。附录F：EmoRSS峰值显存Llama 16.22 GB（default 16.33）、Qwen 16.80 GB（与default相同）；作者称吞吐与相对时延是单次且未按生成长度控制。

作者指出的局限与后续方向

• 安全代价（附录G）：作者写明结果不能确立没有安全代价。所选强度下Llama-3.1-8B-it的平均有害遵从无变化，Qwen3-8B从0.52%升到2.08%；作者称该权衡可能随模型和有害请求分布而不同。
• 偏移解释范围（附录G）：vemo是所选SAE特征贡献的平均位移，不是完整情绪变化。ρ=20与ρ=10是放大转向，作者称不应解释成对自然偏移的精确抵消，也不应解释成所选特征介导的拒答比例。
• BRR的覆盖（附录G）：作者写明拒答率不能覆盖所有良性请求失败；回复可以承认情绪却不处理任务。他们用128条标注补充了实质回答计数，并写明BRR捕获不了全部未作答。
• 理论保证的范围（附录A.3、A.5）：子空间干预保证的是编辑足迹，不是对能力的下游影响。能力相关特征是否落在Sref之外，作者称是经验问题。
• 偏差（伦理声明）：作者承认来源数据集、被评模型与自动评估器可能存在偏差。
• 论文没有Limitations或Future Work专节，也未写出后续实验或发布计划。

实验覆盖范围

• 被测生成模型为Llama-3.1-8B-it与Qwen3-8B共2个；拒绝敏感层分别为22与25（第5.1节、Table 9）。
• Table 5对比default、Prompt、MDA、SCANS、SelfCD、AdaCD；请求来自HarmBench、JailbreakBench、XSTest、OR-Bench。通用能力为Llama上的MMLU与Qwen上的XSum（Figure 6）。
• 配对分析集为512条基础请求，良性与有害各256（附录B），均分发现集与验证集；六个表达族、每族8个模板，每族2个只用于验证。
• 因果干预在ρ=1比较拒答方向、拒绝子空间与随机对照（Table 1、Table 2）；主实验ρ在发现集定为20与10。回答质量标注为每模型128条良性情感请求。
• 论文未报告Table 5各子集样本量、完整回复BRR/HCR的判定器，以及该判定与人工标注的一致性。附录F写明效率数字为单次运行，且未按生成长度控制。

EmoRSS是一种推理时激活转向，用来处理情绪表述带来的良性过度拒答。

• 问题：常规表述能得到实质回答的良性请求，加上第一人称情绪后可能只得到安抚。作者把这看作安全对齐里被忽略的失败模式，并要求不因此增加对有害请求的遵从。
• 做法：用常规请求上的层间线性探针选出拒绝敏感层和拒答方向，再取与该方向最对齐的SAE特征构成拒绝子空间。配对请求估计子空间内的平均激活偏移，生成时按固定强度反向加回，不改骨干权重。Llama-3.1-8B-it用第22层、ρ=20；Qwen3-8B用第25层、ρ=10。
• 主结果（Table 5，情感请求）：Llama-3.1-8B-it上EmoRSS的HCR均值0.00%、BRR均值7.29%、Overall 3.65%，default为0.00%、21.35%、10.68%。Qwen3-8B上为2.08%、7.29%、4.69%，default为0.52%、22.91%、11.72%。
• 对照：SelfCD的BRR均值更低，为4.69%与2.60%，但HCR均值升到31.77%与18.23%。作者称在两模型HCR均值都低于5%的方法中，EmoRSS的平均BRR最低。Prompt在Qwen上、MDA在Llama上的BRR均值高于各自的default。
• 能力与作答：Llama上MMLU从58.4%到60.3%，Qwen上XSum ROUGE-1从27.0%到27.1%。128条良性情感请求中，实质回答Llama从98到112、Qwen从110到119。Table 7里Qwen在干预层的MMLU为61.5，default为65.0。
• 作者结论：反向抵消拒绝子空间内的情绪偏移，可以减少良性拒答、把有害遵从维持在较低水平，并比所评基线更好地保住通用能力。附录G同时写明，这不等于没有安全代价，Qwen3-8B的平均有害遵从有上升。