跳到正文
10月8日 · 周四

可解释性 · 论文

找到 3 篇
筛选1

模型自身风险

欺骗与谋划1拒答失当1

防御类型

模型加固2监控与审计1

影响

有害内容1监督失效1

系统形态

模型与 API3AI Agent1编程 Agent1

攻击面/入口

用户输入1

层

模型层2训练与数据层1

系统组件

监控器1
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。
系统形态：模型与 API话题：可解释性清除全部
  1. 防御arXiv:2610.09600 ·

    SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化

    提出安全电路对齐，把对齐更新限制在预训练拒绝电路内

    测试
    Llama-3-8B、Qwen-2.5-7B、Mistral-7B-v0.1 等 4 个训练与数据层
    场景
    模型与 API
    摘要SafeEvo 识别出基座模型中存在的弱安全电路及其演化动态，据此提出的 SCA 算法实现了安全对齐、能力保留与低过度拒绝的平衡。
    • 论文定位：论文提出了从计算电路视角解析大语言模型内部安全机制与跨阶段演化的分析框架 SafeEvo，并据此设计了定向微调拒绝电路的安全对齐方法 SCA。
    • 要解决的问题：传统安全对齐多从表面行为模式施加约束，缺乏对内部机理的理解；同时全参数微调易引发损害通用能力的对齐税与过度拒绝问题，而先前可解释性研究未探究预训练基座模型中的安全机制及其演变。
    • 方法核心机制：通过可微掩码和双分支优化从基座模型提取稀疏门控 MLP 拒绝电路；利用 Jaccard 相似度追踪对齐过程中的电路漂移；在 SCA 中将 LoRA 参数更新严格约束在提取出的预训练拒绝电路上。
    • 关键实验结果：
      1. 预训练基座模型中已存在弱拒绝电路，在 BeaverTails 50 条查询上独立电路拒绝率达 100.00%（Table 1），而消融该电路使 HarmBench ASR 从 32.70%–48.43% 升至 88.05%–91.19%（Table 9）。
      2. 拒绝电路在模型内非唯一且在对齐中发生结构漂移，同检查点独立提取重合度仅 0.26，连续检查点间重合度降至 0.78（Figure 4）。
      3. 在 DPO 对齐下，SCA 将 Llama-3-8B 在 HarmBench 上的 ASR 从全参数的 16.98% 降至 0.63%，GSM8K 准确率为 48.98%（全参数为 49.51%），XSTest 过度拒绝率为 3.2%（Table 2）。
      4. 多种子测试中，SCA 在三个模型上的 HarmBench ASR 较同稀疏度随机更新基线分别降低 14.80、8.49、7.23 个百分点，bootstrap 95% 置信区间均排除零（Table 4）。
    • 作者结论与启示：作者认为安全对齐通过重塑底层拒绝电路起效，无约束更新引发的电路漂移及对通用参数的干扰是对齐税的潜在来源；将更新约束于预训练拒绝电路能够在提升安全性的同时兼顾通用能力保留与低过度拒绝。
    完整解读
  2. 防御arXiv:2610.03502 ·

    研究者提出可认证机制编辑：在连续输入区域上证明技能移除与保留

    提出机理编辑认证框架，在连续输入区域上证明技能移除与保留

    测试
    Toy MLP (separated)、Toy MLP (entangled)、Deep MLP (3-12-8-2) 等 6 个模型层
    场景
    模型与 API
    摘要提出机理编辑形式化认证框架，证明编辑在连续区域生效且黑盒测试无法保证移除，为安全编辑提供数学证明。
    • 论文定位：论文提出了机理编辑的行为级形式化认证框架，在连续输入区域上证明了模型编辑对目标技能的消除和对有用技能的保留。
    • 要解决的问题：现有机理编辑依赖测试集进行经验评估，不仅无法覆盖连续输入空间，而且无法防御分布外越狱；论文证明了有限黑盒测试在理论上无法保证技能完全移除。
    • 核心方法设计：基于有理数对分段线性模型进行 SMT（Z3）精确编码，通过凸包松弛处理全 token 序列搜索；针对 Softmax 和 LayerNorm 等非线性操作引入 CROWN 边界传播计算声音下界，辅以投影梯度攻击双向夹逼，并利用孪生架构认证特征非干涉。
    • 关键实验结果：
      1. 在 Softmax + LayerNorm Transformer 上，边界传播证明位置作用域编辑消除了技能 A 并保留技能 B，在 448 维嵌入扰动下移除认证半径达到 0.0091，保留半径达到 0.0079 与 0.0098（Figure 2）。
      2. 理论证明有限确定性黑盒测试无法认证移除（Proposition 3），在 160 个自然训练模型中发现 3 个通过密集测试但在 SMT 下被反驳的幻觉模型，存活区域体积小于全域的 1.5×10^-6（Figure 1）。
      3. 理论与实验均证明手术式编辑能实现零附带损伤，而均值差引导会按剂量线性侵蚀保留技能裕度（拟合优度 R^2 ≥ 0.999），在 Transformer 上无法同时实现移除与保留（Figure 6）。
    • 结论与安全启示：作者认为形式化证明可以替代经验测试集作为安全编辑生效的确凿依据，但要走出玩具与已知公式范畴，必须首先建立针对真实有害能力的确定性或概率性形式化判定规格。
    完整解读
  3. 防御arXiv:2609.21996 ·

    PIR：从模型内部激活读出被隐藏的答案

    提出内部识别探测器PIR，从激活区分模型隐瞒与真实遗忘

    测试
    gemma-2-9b、gemma-3-12b、Qwen2.5-7B 等 9 个模型层
    场景
    模型与 API
    摘要论文提出免参考内部识别探测PIR，划分了隐瞒与遗忘的边界，为评估沙盒审计与遗忘真实性提供了内部依据。
    • 研究定位：针对大模型在安全评估中可能存在的隐藏能力（沙盒）与遗忘不彻底问题，提出一种借鉴法医测谎隐瞒信息测试的内部状态探测方法 PIR。
    • 待解决的核心问题：模型给出错误输出时，单纯黑盒行为无法判定其是不知还是蓄意隐瞒；已有白盒探针多依赖有监督数据或诚实参考模型，难以直接应用于防范沙盒与验证机器遗忘。
    • 方法核心机制：在残差流中提取各选项末尾 token 向量，通过对比正确项与干扰项形成项对比识别方向；利用基座模型校准离分布差异分数实现无标签隐瞒检测，并延伸至自由生成候选集。
    • 关键定量结果：
      1. 在 8 个不同家族与代际的模型上，提示隐瞒下的识别准确率为 0.70 至 0.87，高于 0.28 至 0.40 的未知基线（Figure 3）。
      2. 针对外部密码锁定与断路模型，离分布探测器 AUC 分别达到 0.892 与 0.848，与黑盒特征联合后达 0.929 与 0.899（Table 1）。
      3. RMU 遗忘后 gemma-2-9b 在目标领域的识别率降至 0.39，落入 0.35 的未知基线区间（Figure 2）。
      4. 沿识别方向进行因果激活干预，使得 gemma-2-9b 选择特定错误选项的概率从随机对照的 0.005 升至 0.189。
    • 作者结论与启示：作者认为内部识别信号划分了能力保留与真实擦除的明确边界，可作为沙盒审计与遗忘验证的有效内部凭据，但面对白盒主动规避时需与其他审计手段结合使用。
    完整解读
已经到底了