One Token Can Be Enough：用 Prefix Steering 连接提示与激活引导

激活干预能否只改短区间，就产生与提示词相近的后续计算效应，并少损一般能力。

• 场景： 作者认为部署常需控制安全性、语气和输出格式。引出目标行为可能牺牲底层任务能力，因此行为控制与能力保留的权衡是中心问题。
• 现有不足： 提示词把控制写进离散输入 token，效应经因果注意力传到后续位置。激活干预直接改连续表示，可选方向、强度、层和位置；作者称这种灵活性不一定带来更好权衡，计入生成质量时，提示词仍可与常用 steering 相比，在一些设置中更好。
• 核心观察： 作者问改已有 token 表示能否复现追加提示词的注意力效应。早期干预也可能经由被修改的表示，以及它帮助形成的生成上下文，影响更后面的生成。
• 本文提出： 在固定状态注意力假设下给出匹配的充分条件与误差刻画，并研究 Prefix Steering：用已有方向和算子，从最后一个提示词 token 起干预一段短区间，之后不再直接干预。
• 要回答的问题： Q1 是 steering 何时能复现提示词的注意力层效应；Q2 是短前缀能否保留行为控制，并更好保住一般能力。

• 激活干预： 推理时修改中间表示，包括 Turner et al. (2023) 的 activation engineering、Li et al. (2023) 的 inference-time intervention、Zou et al. (2023) 的 representation engineering。常用做法沿行为相关方向做加法、方向消融或几何变换，如 Rimsky et al. (2024) 的 contrastive activation addition、Arditi et al. (2024) 的拒绝方向。作者称许多常用方法在自回归生成中反复干预；另有工作研究如何保住生成质量、限制与目标概念无关的改变，其中包括 Nguyen et al. (2026) 的 COAST。
• 提示词控制： 自然语言提示词用指令和示例在离散 token 空间控制行为。相关路线还使用连续表示，包括 learned prefixes 与 latent reasoning。作者指出，提示词的控制信号在输入上下文中，后续 token 可以注意它，这为研究早期激活干预的持续效应提供动机。
• 二者的连接： 作者称经验比较中，提示词仍是强基线，在概念注入设置里，控制效果与生成质量的权衡可以优于激活干预，并引用 Heyman and Vandeputte (2026)、Macocco et al. (2026) 与 Wu et al. (2025) 的 AxBench。作者把模仿提示词、或跟随提示词引起的注意力贡献的激活干预，归为连接二者的近期工作。Bao et al. (2026) 训练只作用于少数提示词 token 的 steering 向量。
• 基线与基准： 行为对照包括全程 steering、提示词、未干预模型，以及 DAS（Scalena et al., 2024）、ACT（Wang et al., 2025）、线性与指数衰减。评测用 HarmBench、SST-2、PoliteGuard、MATH-500；能力用 MMLU-Pro 与 MATH-500 准确率。

作者将本文定位为：使用已有方向和算子做 Prefix Steering，而不是像 Bao et al. 那样训练专用向量；并在固定状态假设下建立局部连接，即修改一个 token 的表示可以复现追加一个提示词 token 引起的注意力头输出。

在固定状态注意力假设下，分析何时修改已有表示能匹配追加提示词引起的注意力头输出，并据此把干预限制为 Prefix Steering。

单 token 匹配

• 比较对象： 固定一层、一个注意力头和查询表示 h，并固定干预前的上下文。追加提示词 token p 的头输出记为 oprompt(h)；把末输入 token tn 加上位移 r 后的头输出记为 osteer(h)。理论使用线性 key/value 投影，不含位置编码和投影前归一化。
• 精确匹配： Theorem 1 假设存在 z 属于 ker(WV)，且 (WQ h) 与 WK z 的内积不为 0。则存在依赖 h、tn、p 及投影的 r，使 o_steer(h)=o_prompt(h)。作者的解释是：steering 同时改该 token 的 key 和 value，使其承担原 token 与新增提示词 token 的合并角色。Appendix D.1 给出 r 的构造。
• 可迁移范围： Lemma 1 令 U 由 WK(hp−htn) 与 WK r 张成，dim(U⊥) 为 dk−2 或 dk−1。若 WQ(h′−h) 落在 U⊥ 中，同一 r 仍使两输出相等。Lemma 2：离开后，输出差的范数是 O(WQ h′ 到 WQ h+U⊥ 的欧氏距离)。作者写明这只固定单层状态，建立全模型等价超出当前范围。

多 token 与多头

• 同一位移： Theorem 2 把同一个 r 加到位置集合 S。S 可含较早输入 token 和稍后生成 token，用来匹配追加 m 个提示词 token。只干预 tn 是 b=1、g=0 的特例。
• 子空间变窄： Lemma 3 的保持匹配空间为 U = col(ΔKB)+span{WK z}。更多提示词或被干预 token 可能引入独立 key 方向，缩小 U⊥。Lemma 4 给出同类线性误差界。作者认为，在更多位置用同一位移，不一定使匹配对输入表示变化更稳。
• 多头： Appendix E 要求同一个 r 同时实现各头的分数变化，并补上输出投影后的差。Appendix E.2 说明，单头构造里“总权重相等且加权 value 相等”是充分而非必要；各头分别可匹配时，共同位移仍可能不存在；输出投影也可能抵消头间差异。

Prefix Steering

• 为何改用 DiM： 上述 r 依赖具体提示词、上下文和输入表示。Appendix B.1 在 OLMo 3 7B 的 100 个安全例子上比较构造位移与 DiM，作者称各层余弦相似度为正，只表示部分对齐，并不意味着 DiM 满足精确匹配条件。Section 5 因此按常见做法使用 DiM。
• 日程： 从最后一个提示词 token 起，对前 k 个位置施加已有方向和算子，之后跳过。k=1 只改该 token。全程 steering 持续到生成结束。对前置提示词，作者称在第一个输入 token 上干预是类似比较，实验聚焦追加控制与末 token。
• 算子： 加法 steering 把单位方向按系数 c 加到隐藏状态。COAST 保持范数，并把与方向的余弦相似度设为目标 α。前缀上的 COAST 在前 k 个位置使用固定目标余弦，之后跳过；作者注明把目标余弦设为 0 仍会修改激活。

用强度换位置

Lemma 5 比较在可见位置集合 S 上加 λr，与只在其中一个位置 j 加 βr。用干预前的注意力权重，取 β^⋆=λ∑_{i∈ S}a_i(W^Qh)/a_j(W^Qh)。权重不变时，该强度使单位置的 value 贡献等于多位置合计；一般误差随 |(WQ h) 与 WK r 的内积| 除以 sqrt(dk) 变化。Appendix D.7 给出推导。作者写明，这一匹配并不决定行为控制的最佳强度：重复干预还会改变后续表示，对齐全程 steering 也可能复现其能力代价。

DiM 在固定层和 token 位置上，用正例均值减去负例均值再单位化。概念控制取末提示词 token 的残差流；格式任务对同一批题，用有无格式指令的末 token 激活之差。

实验设置

• 模型： 行为评测为 Qwen3 1.7B、Qwen3 14B、OLMo 3 7B、OLMo 3 32B。注意力匹配及 Figure 3、4、6、7 写明使用 OLMo 3 7B。评审模型为 Gemini 3.5 Flash Lite。
• 数据： 安全方向的正负集为 LLM-LAT/benign-dataset 与 LLM-LAT/harmful-dataset，行为评在 HarmBench。情感用 SST-2 训练划分造方向、验证划分评测。礼貌用 PoliteGuard 训练/测试划分，只保留 polite 与 impolite。MATH-500 划分为 50 题造方向、50 题选层和强度、400 题评测，无重叠。论文未写 HarmBench、SST-2、PoliteGuard、MMLU-Pro 的条数。
• 选择规则： 每概念 100 正例、100 负例，取末提示词 token 残差流做 DiM。候选层为深度 10% 到 90%，共 9 档。加法系数 c=s r̄，s 取自 {0.01, 0.1, 1, 10}，r̄ 为造方向样本在该层的平均 ℓ2 范数。COAST 目标角取自 {10°, 30°, 50°, 70°, 90°}。50 条调参集上选层–强度，使概念分最高且一般能力至少为未干预的 80%；这 50 条不进入最终评测。同一算子内，全程与前缀共用一层。
• 指标： 行为控制是目标行为成功率。裁判只返回目标标签或 OTHERS，不被告知方法或强度；空回复或无法辨认记为 OTHERS。安全要求拒绝或给出不含实质性有害协助的良性回复，仅有免责声明不算。情感、礼貌要求回复本身明确正向、明确礼貌。两种格式任务要求以独立最终答案行结束且符合对应格式，不判数学对错。能力分别为 MMLU-Pro 选择题准确率与 MATH-500 答案准确率。Appendix C 给出裁判模板和提示词基线；基线以系统提示词给出，任务输入为用户消息。
• 生成： 贪心解码。概念控制最多 512 个生成 token，MMLU-Pro 为 1024，MATH-500 为 4096。概念控制只评引出：HarmBench 上的安全行为，以及留出负类输入上的正向情感和礼貌。
• 重复： 论文未报告多次重复或统计检验。Figure 2 与 Figure 4(b) 的色带为样本标准差。

主结果

Figure 5 比较 1 token 与 5 token 前缀、全程 steering、提示词和未干预模型，算子为加法与 COAST。纵轴分段缩放并略去空区间。正文和图注没有打印各点百分比，坐标刻度不记为结果。

模型	Figure 5 控制/能力	Figure 6 策略比较
OLMo 3 7B	未报告	未报告
OLMo 3 32B	未报告	未报告
Qwen3 1.7B	未报告	未报告
Qwen3 14B	未报告	未报告

• 相对全程干预： 作者称 1 token 与 5 token 前缀常常保留全程 steering 的大部分行为控制，并更好保住一般能力。全程 steering 在一些情形能取得更强控制，但短前缀常常在控制与任务准确率之间更平衡。
• 相对提示词： 作者称收益因任务而异。提示词在情感、礼貌和 boxed 答案格式上表现好；在本文评测中，steering 在安全性和 plain 答案格式上控制更强。摘要另称，该权衡可与提示词及替代强度策略相比，并在一些设置中更好。
• 格式差异： 作者认为，boxed 与 plain 的差别可能反映模型偏好把数学答案放入 \boxed{}。当所求行为与这一偏好冲突时，单靠提示词可能更难生效。最终答案格式还被作者用来说明：影响不限于回复开头，干预结束后仍可能引导推理之后的表达。

注意力匹配

Section 4.2 在 OLMo 3 7B、100 个例子上检查实际注意力，其中包含理论未建模的 RMSNorm 与 RoPE。线与色带为均值和样本标准差。

• 子空间： 分别增加提示词 token 或被干预 token。Figure 2(a) 中 dim(U⊥) 随任一类数量增加而下降。作者称这与 Lemma 3 的秩刻画一致。
• 距离： 设定为 4 个提示词 token，并干预 1 个输入 token 加 3 个生成 token。先拟合向量以近似匹配参考输入上的提示词输出，再扰动 WQ h。Figure 2(b) 中，距 U⊥ 为零时误差很小，离开后上升。Sensitive 沿 U 抽样，Random 在全投影空间抽样。
• token 数： Figure 2(c) 或增加提示词长度并只干预末输入 token，或保持单个追加提示词并增加被干预 token，后者含仅输入以及输入加生成。作者称更多 token 倾向带来更大的注意力输出误差。

时长、强度与其他策略

• 时长： OLMo 3 7B、加法 steering，HarmBench 对 MMLU-Pro。各时长共用层和方向，从末输入 token 开始，强度按调参集控制最大且能力不低于未干预 80% 选取。作者称短前缀保留全程 steering 的大部分行为控制并更好保住能力；延长干预只带来有限额外控制，能力代价更大。Figure 3 左图是只干预末提示词 token 后继续拒绝的示意，此处不复述该请求。
• 强度补偿： Figure 4(a) 中，作者称前缀的控制–能力 Pareto 前沿比全程更有利；加大强度可部分补偿更短前缀，但全程下继续加大强度时，安全增益有限、能力代价大。Figure 4(b) 在 HarmBench 上比较全程（k=128，λ=0.1）与单 token，100 个例子；单 token 强度按 β⋆ 归一化。作者称所测强度中，β⋆ 的平均注意力输出差异最低。
• 策略： Figure 6 在 OLMo 3 7B、五任务上比较 1 token、5 token、恒定全程、线性衰减、指数衰减（τ=128）、DAS（cmax=2）和 ACT（A=12，β=0）。作者称短前缀的权衡可与这些策略相比；单 token 一般更能保住能力，5 token 以一定能力代价换更强控制。全程和其他策略在若干设置中控制更高，但并不一致地在控制和能力上都超过短前缀。作者称这与 DAS 所报告的强度早期集中相一致。

其他消融与分析

• 层与强度联合选择；正文未报告各模型–任务最终选中的层、s 或目标角。
• 加法档为 {0.01, 0.1, 1, 10}，COAST 角为 {10°, 30°, 50°, 70°, 90°}；Figure 4(a) 用点大小表示强度，正文未给各档百分比。
• Figure 7：OLMo 3 7B、100 个安全例子，DiM 与构造位移的余弦相似度在所评层为正；正文未给各层数值。该比较把安全提示词附在输入末尾，而不是系统消息。
• Appendix E.2：各头分别可匹配时共同位移仍可能不存在；输出投影可抵消头间非零差。这是构造反例，不是行为百分比。
• 概念控制只评引出，不评反向抑制（Appendix A）。
• 论文未报告统计显著性检验，故不把差距写成统计意义上的显著。

作者指出的局限与后续方向

• 单层范围（Section 4.1）： 匹配定理固定该层状态。作者写明，建立全模型等价超出当前范围；更早的干预会改变后面层的查询和上下文。
• 固定状态（Section 6）： 注意力分析给出提示词与 steering 的局部连接，但依赖固定状态假设，未建立自由生成过程中的等价。
• 机制未分开（Section 6）： 行为实验没有区分两种可能：干预改变了持续的潜在或类信念状态；或者效应经生成 token 传递，这些 token 再成为后续计算的上下文。
• 后续工作（Section 6，Appendix B.1）： 作者计划研究这些机制，并发展由匹配构造启发、可复用的 steering 方向。Appendix B.1 把“由提示词经该构造导出、且能跨输入复用的实用方向”留给后续工作。
• 任务依赖（Section 6）： 作者称合适的时长和强度仍因任务而异。在更长生成、以及需要多阶段控制的任务上评测，可以进一步澄清何时短前缀足够、何时仍需持续干预。

实验覆盖范围

• 行为实验覆盖 Qwen3 1.7B、Qwen3 14B、OLMo 3 7B、OLMo 3 32B，任务为 HarmBench、SST-2、PoliteGuard，以及 MATH-500 上的 IF-Boxed 与 IF-Plain，算子为加法 steering 与 COAST（Section 5.2，Figure 5）。
• 注意力输出匹配（Figure 2）和 DiM 与构造位移的余弦相似度（Figure 7）写明在 OLMo 3 7B、各 100 个例子上进行。DAS、ACT、线性衰减与指数衰减的比较在 OLMo 3 7B 上（Figure 6）。
• 方向由各 100 条正负例的 DiM 估计；MATH-500 为 50/50/400；调参集 50 条且不进入最终评测；评审为 Gemini 3.5 Flash Lite；解码为贪心（Appendix A）。
• 生成上限为概念控制 512、MMLU-Pro 1024、MATH-500 4096 个 token。概念控制只评安全、正向情感和礼貌的引出，不评反向抑制（Appendix A）。
• 论文未报告各设置最终选中的层与强度、Figure 3–6 各点的精确百分比、评审与人工的一致性，以及查询次数或耗时。Ethics Statement 写明实验在受控基准中进行，并不确立被干预模型适合部署。

本文用注意力层匹配连接提示词与激活干预，并把干预改成从末提示词 token 开始的短前缀。

• 问题： 提示词只通过初始上下文起作用，常用 steering 却反复改生成位置。作者要确定短时修改何时能复现提示词的注意力效应，以及这能否保住行为控制并少损一般能力。
• 理论： 在固定状态、单头设定下，若核空间条件成立，存在位移 r，使被改 token 的头输出等于追加提示词后的头输出。该匹配可在一个子空间的正交补上保持；外面的误差随投影后到匹配集的距离线性变化。更多提示词或被干预 token 可能缩小这一集合。多头时，同一个 r 不一定存在。
• 方法： 行为实验不用逐输入构造的 r，而用 DiM 方向，算子为加法或 COAST。Prefix Steering 在前 k 个位置干预后停止；k=1 只改末提示词 token。层和强度在 50 条调参集上选择，并要求能力至少为未干预的 80%。
• 证据： OLMo 3 7B、100 例上，实际注意力计算与该几何图像一致，尽管计算含理论未写入的归一化与位置编码。四模型、五任务上，作者称 1 或 5 token 前缀常常保留全程干预的大部分行为控制，并更好保住 MMLU-Pro 或 MATH-500 能力。相对提示词，安全与 plain 格式上 steering 控制更强，情感、礼貌和 boxed 格式上提示词表现好。Figure 4(b) 中，作者称预测强度 β⋆ 在所测档里给出最低平均注意力输出差异（全程设置为 k=128、λ=0.1）。Figure 6 中，短前缀可与 DAS、ACT 及衰减日程相比，且直接干预更早结束。
• 作者结论： 作者称这挑战了对每个生成 token 都做 steering 的常见做法：短暂初始干预可以改变后续轨迹，并在推理之后的答案格式上仍然可见。作者同时写明，实验尚未区分效应是由持续内部状态携带，还是由生成上下文传递，也未建立自由生成中的等价。