CAM-Steer：面向大语言模型的多类别自适应安全引导框架

一条提示词可同时触发多个伤害类别，现有 activation steering 不能按输入同时协调各类安全方向与干预强度。

• 场景与重要性：作者认为 LLM 部署后仍易被越狱绕过对齐并产生不安全回复。Activation steering 在推理时改隐藏状态、不更新参数；标准做法是把对比样本均值差作为方向加到隐藏状态上。近期工作可为每个伤害类别单独建方向。
• 现有方法的不足：作者称，只抑制一类并不能处理其余类别。Figure 1 的例子同时涉及隐私与金融欺诈：单类 steering 留下另一类风险；固定权重相加仍允许有害内容并破坏格式。自适应方法（如 CAST 的触发、AdaSteer 的强度缩放）仍针对单次干预；多属性方法主要处理预定义静态属性，缺少对提示词中共现伤害的输入相关适配。
• 核心设定：作者把多类别安全 steering 写成类别自适应问题：推理时估计各类风险，再同时改方向与强度。
• 提出的方法：提出 CAM-Steer（Category-Adaptive Multi-category Safety Steering）。用当前隐藏状态相对安全/不安全原型估计各类风险，把对应安全方向合成一条方向并决定旋转角，在保持隐藏状态范数的前提下做球面旋转。
• 威胁模型：
  • 目标：降低对有害提示词的不安全回复，同时尽量保持对良性提示词的效用。
  • 受害系统：开源 LLM 的推理前向；干预加在选定 transformer 层、最后一个提示词 token 的残差隐藏状态，之后正常生成。不更新参数。
  • 防御者能力：离线用 BeaverTails 对比样本建各类原型、安全方向和旋转角预算；在线只读当前隐藏状态。SafeSteer 基线在推理时另给真实类别标签，CAM-Steer 不用。
  • 输入：一条提示词可同时落入预定义伤害集合的一个子集。论文未把攻击者写成 white-box、black-box 或 no-box，也未规定攻击者能否看到方向或自适应改写。

论文在第 2.2 节把相关工作分成三组，并在实验里与九个 activation steering 基线比较。

安全 steering

• 类别方向与 SafeSteer（Bhattacharjee et al., 2024；Ghosh et al., 2025）：早期工作为不同伤害类别分别建安全方向；SafeSteer 用安全与不安全隐藏状态的对比得到方向，鼓励更安全的回复而不要求拒答。
• CAST（Lee et al., 2025）：用隐藏状态模式和类别条件的逻辑组合，决定何时施加拒答方向。
• AdaSteer（Zhao et al., 2025）：按隐藏状态在拒答方向与有害性方向上的位置调节干预强度。

多属性 steering

• Dynamic Activation Composition（Scalena et al., 2024）：在生成过程中调整每个方向的强度，以处理方向之间的相互作用。
• MAT-Steer（Nguyen et al., 2025）：学习每个方向何时、以多强施加，把单属性门与表示对齐、正交正则结合起来。
• K-Steering 与 MSRS（Oozeer et al., 2025；Jiang et al., 2025）：K-Steering 用非线性分类器引导激活更新；MSRS 把表示分成共享与分离的属性子空间再做自适应干预。

旋转 steering

• Angular Steering（Vu & Nguyen, 2025）：在二维子空间内旋转激活来控制行为。
• Selective Steering 与 Spherical Steering（Dang & Ngo, 2026；You et al., 2026）：前者显式保持激活范数并选择目标行为可分的层；后者沿球面路径旋转，并用置信门调节强度。
• ORBIT（Ghasemi et al., 2026）：为多属性建联合 steering 子空间，用自适应门形成组合目标，再做保范数旋转。实验中的对应基线是 ORBIT-R 与 ORBIT-B。

基线与基准

• 基线方法：No Steering、CAA（Rimsky et al., 2024）、SafeSteer、CAST、AdaSteer、AlphaSteer（Sheng et al., 2026）、MAT-Steer、K-Steering、ORBIT-R、ORBIT-B。SafeSteer 推理时使用真实伤害类别标签。
• 基准/数据集：安全评测用 BeaverTails；效用用 AlpacaEval、XSTest 的安全提示词、GSM8K、MATH、MMLU、HumanEval。附录 F 另用七个攻击家族的方向做越狱防御评测，数据来自 JailbreakBench 行为。

作者认为，上述方法尚未系统研究共现伤害类别下的安全 steering，多方向在共现时如何协调仍不足；本文据此同时适配干预方向与强度，并保持隐藏状态范数。

CAM-Steer 分三步：估计各类风险、按风险合成一条 steering 方向、用同一风险决定旋转角并做保范数球面更新。离线建原型、方向和角度预算，在线只改选定层最后一个提示词 token。

问题设定

• 类别与风险：设预定义伤害集合 C 有 M 类。隐藏状态 h 在选定层；dk 是类别 ck 的安全方向。风险分数 wk(h) 落在 [0,1]，越大表示 h 越像带有 ck 的风险。它们组成风险向量 w(h)。
• 干预：作者把更新写成 h′ = T(h, {dk}, w(h))，使方向组合和整体强度都随 w(h) 变，并避免不必要地扰动良性表示。M 在主实验中为七类。

类别风险估计

• 原型与方向：对每类用安全、不安全样本的隐藏状态均值。dk 为归一化后的（安全均值减不安全均值）。归一化均值 sk、uk 分别是安全与不安全原型。当前状态归一化为 z = h / ||h||₂。
• 间隔与校准：mk = zᵀuk − zᵀsk。作者称更大的间隔表示当前表示更接近该类的不安全原型。用留出样本校准：ak 是安全间隔分布的 (1−δ) 分位数，bk 是不安全间隔的 η 分位数；αk = ak，βk = max{bk − ak, εβ}。wk 把 (mk − αk) / βk 截断到 [0,1]。低于校准边界的分数为 0，其后线性升到 1。
• 数据与层：方向和原型来自 BeaverTails 训练集：200 条共享安全记录，每类 200 条不安全记录；多标签记录可进入多个不安全池。校准与最大角选择用每类 50 条不安全、200 条安全的留出集，与构造集、正式评测集互斥。层固定为 Qwen3-8B 的第 10 层、Llama-3.1-8B-Instruct 的第 18 层、Gemma-2-9B-IT 的第 20 层。

自适应方向合成

• 切空间：把每个 dk 投影到 z 处单位球面的切空间，去掉径向分量，得到与 z 正交的局部方向 gk；投影范数不超过 ε 时 gk 为 0。
• 加权：q(h) = Σ wk gk，再归一化得到 d(h)；||q(h)||₂ 不超过 ε 时 d(h) 为 0。作者称所有 gk 都在 z 的切空间内，加权和仍与 z 正交。

风险门控的球面旋转

• 角度：θ(h) 等于最大类别权重乘以各类角度预算 φk 的加权平均；||q(h)||₂ 不超过 ε 或权重全为 0 时 θ(h) = 0，隐藏状态不变。φk 在验证集上从 {0, 10, …, 80} 度中按 macro-F1 选取，三个骨干的最终预算见附录表 6。
• 更新：ρ = ||h||₂，h′ = ρ [cos θ(h) z + sin θ(h) d(h)]。干预激活时 z 与 d(h) 是正交单位向量，因此范数不变。只在 prompt prefill 阶段、选定层的最后一个提示词 token 上施加一次，随后正常解码。
• 实现取值：主实验 δ=0.95、η=0.05、ε=10⁻⁶、εβ=10⁻³；消融中固定角为 30°，共享预算为 45°。

实验设置

• 模型：Qwen3-8B、Llama-3.1-8B-Instruct、Gemma-2-9B-IT。
• 安全数据：BeaverTails。Table 1 为 Llama-3.1-8B-Instruct、每类 200 条、七类：Hate、Drug、Financial、Privacy、Self-harm、Sexual、Violence。Table 2 为共现提示词，K 为每条提示词中的共现类别数；Qwen3-8B 上 K=2、3、4 各 200 条，K=5 为 28 条。
• 效用：AlpacaEval（指令遵循，half-tie 胜率）、XSTest 安全提示词（过度安全）、GSM8K 与 MATH、MMLU、HumanEval。附录 F 用七个攻击家族方向评测越狱防御。
• 基线：No Steering、CAA、SafeSteer、CAST、AdaSteer、AlphaSteer、MAT-Steer、K-Steering、ORBIT-R、ORBIT-B。SafeSteer 推理时有真实类别标签。
• 指标与评审：主指标为 defense success rate（DSR），由 GPT-4.1-mini 判定。附录 H.2：response_harmfulness 为 safe 或 borderline 记为防御成功，unsafe 记为失败；refusal、helpfulness、coherence 不进入 DSR。XSTest 以完全遵从为期望结果。MMLU、GSM8K、MATH、HumanEval 用确定性抽取或执行评分。论文未报告与人工判定的一致性，也未报告重复次数。
• 划分：构造、校准/选参、正式评测使用互斥子集；配置在测试集评测前冻结。生成参数见附录表 4（如温度 0.6、top-p 0.95）。

主结果

Llama-3.1-8B-Instruct 上每类 200 条的 DSR（%），据 Table 1。

Swipe horizontally to read the table

方法	Hate	Drug	Financial	Privacy	Self-harm	Sexual	Violence	Avg
No Steering	71.5	60.5	62.5	77.0	86.5	88.5	60.5	72.43
CAA	79.0	85.0	86.5	94.0	89.5	90.5	85.5	87.14
SafeSteer	91.0	71.5	79.0	90.5	89.0	75.5	76.0	81.79
CAST	70.0	62.0	63.0	74.0	82.5	76.0	56.5	69.14
AdaSteer	72.5	75.5	80.0	80.0	85.0	90.0	72.5	79.36
AlphaSteer	79.0	69.0	67.0	81.0	87.5	93.0	63.5	77.14
MAT-Steer	74.0	60.0	64.5	77.0	83.5	90.0	60.5	72.79
K-Steering	85.0	72.5	74.5	76.5	70.0	85.0	80.5	77.71
ORBIT-R	75.0	65.5	73.0	80.5	87.0	92.0	67.5	77.21
ORBIT-B	77.0	68.5	75.5	85.0	85.0	91.0	69.5	78.79
CAM-Steer	90.5	93.0	91.0	92.0	97.0	98.0	87.5	92.71

• 作者称 CAM-Steer 在三个骨干上平均 DSR 最高；Table 1 上它比最强基线高 5.57 个百分点（92.71 对 CAA 的 87.14），相对 No Steering 高 20.29 个百分点。Hate 上 SafeSteer 为 91.0，高于 CAM-Steer 的 90.5；Privacy 上 CAA 为 94.0，高于 92.0。
• 作者称基线效果随模型和类别变化，有的干预低于 No Steering。Table 1 中 CAST 平均 69.14，低于 No Steering 的 72.43。作者举例：K-Steering 提高 Llama 的平均 DSR，但降低 Qwen3-8B，尤其是 Privacy。
• 消融表给出另外两个骨干的 Full 平均 DSR：Qwen3-8B 为 93.79，Gemma-2-9B-IT 为 97.50（Table 3）。完整分类别结果在附录 D.1，本表未列入。

多类别共现

• 测了什么：Table 2 报告 Qwen3-8B 在 K=2 至 5 的 DSR。K=2/3/4 各 200 条，K=5 为 28 条。三个骨干的完整结果在 Table 10。
• 结果：CAM-Steer 的 Overall 为 88.85（相对 No Steering 的 83.28 高 5.57 个百分点）。分档为 K=2：86.5，K=3：91.0，K=4：88.5，K=5：92.9。K=5 上 No Steering、SafeSteer、CAST 与 CAM-Steer 同为 92.9，相对 No Steering 变化为 0。
• 作者解读：作者称三个骨干上 CAM-Steer 的 overall DSR 都最高；若干基线使 Qwen3-8B 与 Gemma-2-9B-IT 低于未干预模型。Table 2 中 K-Steering Overall 为 78.18，低于 No Steering 5.10 个百分点。作者把 CAM-Steer 未出现这一下降归因于用类别风险动态调节合成方向与强度。

效用、案例与越狱

• 效用：Figure 3 为六个效用基准在三个骨干上的平均，图例为 No Steering 与 CAM-Steer；图中文字标注有 80%、60%、40%、20%，但未标出各基准的具体读数。作者称 Qwen3-8B 的效用输入不触发 steering，表现不变；Llama-3.1-8B-Instruct 仅 3.78% 的效用输入触发且未见下降；Gemma-2-9B-IT 有 16.17% 触发，强度总体较低，推理与代码基准保持，XSTest 与 AlpacaEval 有小幅上升。附录 D.4：Llama 上 CAA 的 XSTest 降到 85.0%，CAM-Steer 为 96.0%。
• 案例：附录 G 讨论同时涉及 Self-harm 与 Violence 的请求。作者称 CAA 与 AdaSteer 先给危机引导，随后仍给出与枪伤致命性相关的可操作信息；CAM-Steer 同时处理两类，给出危机引导并 withhold 与 Violence 相关的枪支细节。附录只说给出完整输出，此处不复述原文。
• 越狱：附录 F 为七个攻击家族分别建方向，用 JailbreakBench 的 100 条行为、每族一个模板。Table 11 的平均 DSR：Qwen3-8B 上 No Steering 85.57、CAM-Steer 95.00；Llama-3.1-8B-Instruct 上 77.00 与 90.57；Gemma-2-9B-IT 上 91.57 与 97.57。作者称 CAM-Steer 在三个骨干的平均上都最高。分族上并非每格都最高，例如 Qwen3-8B 的 GCG 上 ORBIT-R 为 99、CAM-Steer 为 96。

其他消融与分析

• Table 3：相对 Full，单检测器与单方向使 DSR 下降最多 5.79 个百分点（Qwen3-8B：93.79→88.00）；不安全原型相似度最多降 5.65；均匀权重最多降 2.64（Llama：92.71→90.07）；Top-1 最多降 2.14；固定旋转角最多降 4.79；共享角度预算在 Gemma 上为 97.50，变化为 0；加性切向更新在 Llama 上降 9.16（92.71→83.55）。
• Figure 5a：三类骨干平均 AUROC 从 Hate 0.814、Drug 0.776、Financial 0.739、Privacy 0.857、Self-harm 0.801、Sexual 0.815 到 Violence 0.785。作者称目标类别存在时平均风险分数高于不存在时。Figure 5b：源类别进入 top-k 的覆盖随 k 上升，虚线为随机选择；具体端点数值论文正文未列出。
• Figure 4：PCA 上作者称 CAM-Steer 使有害激活出现旋转位移、良性样本留在原位置附近；加性切向更新的位移不同且不保持范数。图中坐标约为 −50 到 0、−40 到 60，未见定量簇心。
• Figure 6：预填充与逐 token 解码延迟。标注包括 Qwen 预填充约 62.66 与 68.80 ms、解码 27.58 与 27.44 ms 等。512 token 输入、128 token 输出时，三骨干端到端延迟的中位相对变化为 −0.33%。作者称该设置下没有可测的端到端延迟增加。
• 附录 C：作者称全层扫描上防御效果稳定，且每类少至 10 条方向估计样本即可达到较强表现；正文未给出这两项的逐层、逐样本量数字。附录 C.3 报告角度预算网格上的 macro-F1，最佳配置为 Qwen3-8B 90.56、Llama 82.56、Gemma 91.22（Table 13）。

作者指出的局限与后续方向

• 模型规模：附录 A 写明目前只研究三个 8–9B 开源 LLM。作者认为在大得多的模型上评估，才能进一步看规模上的可推广性。（附录 A）
• 骨干差异：作者提出后续可扩展到架构、预训练配方和对齐策略不同的其他骨干家族，以了解该 steering 机制适用多广。（附录 A）
• 类别集合：主实验是七个常见不安全内容类别。作者称真实安全分类可以更宽、更细或更多重叠，把 CAM-Steer 扩到更大的类别集合会有用。（附录 A）
• 更复杂共现：作者提出可考察同一提示词中更多伤害类别同时出现的组合。（附录 A）
• 安全保证：伦理声明写明 CAM-Steer 旨在减少有害生成，但不提供完整安全保证，仍可能出现误拒，或在先前未见的有害形式上失败。（Ethics Statement）
• 标注假设：作者称安全类别和基准标注可能反映数据集特定或文化上的假设。（Ethics Statement）

实验覆盖范围

• 被测骨干为 Qwen3-8B、Llama-3.1-8B-Instruct、Gemma-2-9B-IT，参数量在附录 A 所称的 8–9B 范围；干预层分别为 10、18、20（附录 B.1）。
• 主安全评测的七类来自 BeaverTails，Table 1 每类 200 条；共现实验的 K=5 在 Table 2 中为 28 条。方向构造为共享 200 条安全记录、每类 200 条不安全记录（附录 B.1）。
• 基线为 No Steering 与九个 activation steering 方法；SafeSteer 在推理时使用真实类别标签（第 4.1 节）。效用覆盖 AlpacaEval、XSTest、GSM8K、MATH、MMLU、HumanEval（第 4.1 节）。
• 附录 F 的越狱评测包含 GCG、AutoDAN、DeepInception、ReNeLLM、Multilingual、Cipher、Jailbroken 七个攻击家族，JailbreakBench 上 100 条行为、每族一个模板（附录 F）。
• DSR 由 GPT-4.1-mini 判定（第 4.1 节、附录 H.2）。论文未报告该判定与人工标注的一致性，也未报告安全评测的重复次数。

CAM-Steer 是一种推理时、不更新参数的多类别安全 steering：按当前隐藏状态估计各类风险，再同时决定方向和旋转强度。

• 问题：一条提示词可以同时带有多个伤害类别。只推一个安全方向，或用固定权重把多个方向加在一起，会留下另一类有害内容，并可能破坏生成。已有自适应 steering 主要调节单次干预；多属性方法主要面向预定义静态属性。
• 方法：离线从 BeaverTails 对比样本得到每类安全/不安全原型、安全方向和角度预算。在线把当前隐藏状态与两类原型的相似度差校准成 [0,1] 风险，在单位球面切空间里加权合成方向，用最大风险作门控、用加权角度预算定旋转角，并保持隐藏状态范数。干预只发生在选定层的最后一个提示词 token。
• 主结果：Llama-3.1-8B-Instruct 上七类、每类 200 条，CAM-Steer 平均 DSR 为 92.71%，比 Table 1 中最强基线 CAA 的 87.14% 高 5.57 个百分点；Hate 与 Privacy 上分别有 SafeSteer 91.0%、CAA 94.0% 更高。Table 3 中 Qwen3-8B 与 Gemma-2-9B-IT 的 Full 平均 DSR 为 93.79% 与 97.50%。
• 共现与效用：Qwen3-8B 上 K=2 至 5 的 Overall DSR 为 88.85%，高于 No Steering 的 83.28%；K=5（28 条）与 No Steering 同为 92.9%。Llama 上 CAM-Steer 的 XSTest 为 96.0%，CAA 为 85.0%。512 token 输入、128 token 输出时，三骨干端到端延迟的中位相对变化为 −0.33%。
• 作者的结论：作者认为组件设计和风险分数的信息性得到分析支持，少量方向估计样本下仍有较强表现，CAM-Steer 是面对“多头”有害提示词的一种实用推理时途径。附录 A 与伦理声明同时写明：目前限于 8–9B 与七类，不保证完全安全，对未见有害形式仍可能失败。