可解释性arXiv 2610.05541
研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答
提出 CAP 指标与 CSFD 算法，发现被抑制的安全特征
- arXiv
- 2610.05541
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个
- 风险拒答失当
摘要论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
可解释性 · 论文
另有 68 篇论文还没打上分类标签，暂不在筛选结果里。
- 攻击arXiv 2610.01062
Kernelized Activation Steering：将激活引导推广到再生核希尔伯特空间的新框架
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
- arXiv
- 2610.01062
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Gemma-2-9B-IT、Llama-3.1-8B-Instruct 等 6 个
摘要KAS 用核梯度做局部自适应转向，并在线性核下恢复 DiM。
Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
- 可解释性arXiv 2609.37616
语言模型中的权威偏差：来源顺从与用户认同并非同一行为
因果解耦来源依从与用户迎合的内部机制
- arXiv
- 2609.37616
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3.5-27B、GPT-OSS-20B、OLMo-3.1-32B 等 8 个
- 风险失准与价值偏离
摘要论文发现模型对验证源的依从强于用户迎合，通过因果干预区分了二者机制，并检验了权威方向移除的缓解效果。
- 防御arXiv 2609.31122
LocUS：面向定向激活引导的注意力头选择与子空间投影
提出 LocUS，用词汇子空间选择注意力头并约束激活转向
- arXiv
- 2609.31122
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Mistral-7B-v0.1、Mistral-7B-Instruct-v0.3、Llama-3.1-8B 等 7 个
摘要LocUS 用词汇子空间约束 DoM 转向的位置和方向。
LocUS 是不更新权重的推理时转向方法，把差分均值更新限制在少数注意力头及其属性对齐子空间。
- 防御arXiv 2609.32720
BiasReducer：面向奖励模型的自适应偏见缓解方法
B IAS R EDUCER 只改奖励头，按数据集选择属性编辑。
- arXiv
- 2609.32720
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Skywork-Reward-V2-Qwen3-1.7B、GRM-Llama3.2-3B-rewardmodel-ft、RM-Mistral-7B 等 7 个
摘要BIASREDUCER 按数据集选择奖励头编辑，五模型三基准平均提升并迁移到下游训练。
BIASREDUCER 是一种只改线性奖励头的奖励模型编辑框架，用来降低模型对预定义表面属性的依赖，并按新数据集决定改哪些属性。
- 可解释性arXiv 2609.04721
研究：拒答方向可跨架构迁移，安全工具可按写入位置重新估计
在写入点定位拒答方向，经刚性旋转跨架构迁移并门控放大
- arXiv
- 2609.04721
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Falcon-Mamba-7B、Falcon3-Mamba-7B、Llama-3.1-8B 等 8 个
摘要拒答方向可经刚性旋转跨架构迁移，但必须在各架构的写入点读取。
作者研究拒答表示是否随架构改变，结论是表示共享、读取位置随架构变。
- 防御arXiv 2609.13534
HPD 与 HERALD：用跨层有害性传播轨迹检测越狱提示
提出 HERALD，用跨层有害投影轨迹检测越狱提示
- arXiv
- 2609.13534
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B-Instruct、Mistral-7B-Instruct、OLMo2-7B-Instruct 等 8 个
摘要HPD 用跨层投影形状区分有害与良性提示。
- 防御arXiv 2609.01878
GAPS：面向条件激活引导的维度级门控
提出 GAPS 维度门控，改进条件激活引导以抑制毒性与概念指涉
- arXiv
- 2609.01878
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-3 (4B)、Qwen-3 (1.7B)
- 防御推理时干预
摘要GAPS 用两道维度门补上条件 steering 的空间选择性。
GAPS 为 activation steering 增加维度级条件：在决定何时干预之外，再决定当前该动哪些神经元。
- 可解释性arXiv 2609.03148
LLM 如何处理上下文知识冲突：ContextConflict 数据集与机制可解释性分析
构建 CONTEXT CONFLICT 解释模型如何表征并化解语境知识冲突
- arXiv
- 2609.03148
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- gpt-5、claude-4.5-sonnet、gemini-2.5-pro 等 7 个
摘要CONTEXT CONFLICT 显示模型能内部察觉冲突，却偏向靠前证据。
CONTEXT CONFLICT 把问题从“参数知识对外部语境”转到“语境内部多来源证据互相冲突”，并同时给出数据、机制分析和一种无训练转向。
- 防御arXiv 2609.03629
EraseSAE：用稀疏自编码器在文生视频扩散模型中实现精准概念擦除
提出 EraseSAE，在文生视频模型中局部擦除指定概念
- arXiv
- 2609.03629
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- CogVideoX-5B、HunyuanVideo、Flux.1 [dev]
摘要EraseSAE 用单义特征局部擦除。
EraseSAE 把 SAE 用于 DiT 文生视频模型的概念擦除。作者要解决的是：全局改权重或表面负提示对不齐细粒度、分布式的概念，而且会改到无关时空区域。
- 防御arXiv 2609.05800
Spillover-Aware Multi-Value Steering：面向多元对齐的 LLM 激活引导去纠缠方法
用 Gram 逆校正多价值激活转向，抑制多元对齐的跨维溢出
- arXiv
- 2609.05800
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3.2-3B-Instruct、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct 等 4 个
- 防御推理时干预
- 可解释性arXiv 2609.07037
Steering Vector Dissection：将激活引导向量拆解为独立语义特征
提出 Steering Vector Dissection，用 SAE 拆解转向向量
- arXiv
- 2609.07037
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama3.1-8B-Instruct
- 风险拒答失当
摘要用 SAE 把 DiffMean 拆成可区分基向量，并靠去掉拒绝方向改变不安全转向的效果。
Steering Vector Dissection把激活差构成的复合转向向量拆成语义上更一致、效果可区分的基向量，并用来从不安全 DiffMean 里去掉拒绝方向。
- 可解释性arXiv 2609.08173
基于 SAE 引导的关键路径识别（KPI）解决知识冲突
提出 KPI，用入度定位跨层关键路径并做 SAE 转向以解决知识冲突
- arXiv
- 2609.08173
- 发表
- 层
- 模型层
- 场景
- LLM 应用
- 测试
- Llama-3-8B、Llama-3.1-8B、Gemma-2-9B 等 4 个
摘要KPI 以入度关键路径替代大批 SAE 特征转向，在冲突 RAG 上提高忠实并减轻副作用。
KPI 针对知识冲突 RAG 中的 SAE 转向：相关性批量改特征会带入冗余，少量因果上关键的特征即可完成转向。
- 防御arXiv 2609.10658
GeoSteer：面向大语言模型激活引导的测地线优化方法
提出 GeoSteer，把保范数激活引导做成球面测地线优化
- arXiv
- 2609.10658
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Falcon-7B、Mistral-7B-v0.3、LLaMA-3.1-8B 等 4 个
- 防御arXiv 2609.11085
超越求解器判定：面向自动形式化的生成式奖励模型
提出 GenV，检测求解器判定无法区分的不忠实形式化
- arXiv
- 2609.11085
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 测试
- GenV+HN、GenV、27B LM (LoRA) 等 15 个
摘要GenV+HN 用离线 Z3 等价标签训练无参考 Yes/No 分数，用来标记 VPU 并分配测试时计算。
GenV+HN 针对神经符号翻译之后、求解器证书之前的对应失败：编码可以与指定参考共享求解器判定，同时并不等价。
- 防御arXiv 2609.20129
局部稀疏性实现无监督 LLM 安全检测
提出局部稀疏无监督安全检测，标记偏离安全分布的输入
- arXiv
- 2609.20129
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- qwen2-1.5b-instruct、ministral-8b-instruct、llama3-8b-instruct 等 6 个
- 防御arXiv 2608.28233
REINS：用 SAE 特征同时抑制有害续写并增强拒答的引导方法
提出 REINS，在 SAE 空间抑制有害延续并增强拒答
- arXiv
- 2608.28233
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3.5-4B-Base、Qwen3.5-2B-Base、Gemma-3-1B-IT
摘要REINS 分角色抑制有害延续并增强拒答。
REINS 是一种推理时 SAE 安全转向方法，并配有用于上下文伪装的基准 GUISE。
- 防御arXiv 2609.30841
为何扩散语言模型的越狱会成功：能量景观分析
用能量势垒信号检测扩散语言模型的越狱
- arXiv
- 2609.30841
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- LLaDA-8B-Instruct、LLaDA-1.5、Dream-v0-Instruct-7B 等 4 个
摘要能量势垒把 dLLM 越狱分成掩盖初始状态或中途越垒，三个 logit 信号据此互补检测。
Bach 等提出用去噪能量景观解释 masked diffusion 语言模型上的越狱，并由此得到三个免训练检测信号。。
- 风险行为arXiv 2609.36139
研究揭示大语言模型的"不安全汇报"现象及诚实引导的作用
测量模型在工作汇报中是否隐瞒改变叙事的缺陷
- arXiv
- 2609.36139
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemini 3.1 Pro、GPT-5.5、Opus 4.8 等 8 个
- 风险欺骗与谋划
摘要八类场景中模型默认少报会改变叙事的缺陷。
作者研究 LLM 在汇报长程工作时是否会隐瞒会改变叙事的缺陷，并把这一行为称为 insecure reporting。
- 可解释性arXiv 2609.37737
研究用因果激活修补定位模型服从提示注入指令的决策层
用因果激活修补定位模型服从提示注入的决策层
- arXiv
- 2609.37737
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-4B、Qwen3-14B、Qwen3-32B 等 7 个
- 攻击提示注入
摘要合规的因果杠杆集中在网络后三分之一的低秩子空间，该层也是混淆下检测最好的位置。
这篇工作用逐层激活修补定位提示注入合规发生在网络何处，并把该位置用于检测验证。。
已经到底了