可解释性arXiv 2610.09600
SafeEvo：从拒答回路视角解释大模型安全对齐机制与演化
提出安全电路对齐，把对齐更新限制在预训练拒绝电路内
- arXiv
- 2610.09600
- 发表
- 场景
- 模型与 API
- 测试
- Llama-3-8B、Qwen-2.5-7B、Mistral-7B-v0.1 等 4 个
摘要SafeEvo 识别出基座模型中存在的弱安全电路及其演化动态，据此提出的 SCA 算法实现了安全对齐、能力保留与低过度拒绝的平衡。
- 可解释性arXiv 2610.05541
研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答
提出 CAP 与 CSFD，发现越狱通过压制安全特征绕过拒答
- arXiv
- 2610.05541
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个
摘要论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
- 可解释性arXiv 2610.04125
研究揭示 LLM 风险偏好中自我报告与行为由近乎正交的表征方向控制
揭示风险自述与实际行为由近正交表征分别控制
- arXiv
- 2610.04125
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、OLMo-3-7B-Instruct 等 4 个
- 风险欺骗与谋划
摘要论文证明大模型自述与行为脱节根植于表征近正交性，自述无法作为行为审计依据。
这篇论文从内部表征与因果干预视角，系统研究了大语言模型在风险承担（Risk-Taking）场景下自我报告与实际决策脱节的根本机制。
- 可解释性arXiv 2609.14759
研究：拒答只读取模型道德表征中的伤害切片
用几何投影与因果交换干预，分析拒绝机制读取的道德表征
- arXiv
- 2609.14759
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Instruct、OLMo-3-7B base、Qwen2.5-7B-Instruct 等 9 个
- 风险拒答失当
摘要作者指出拒绝机制多仅读取表层伤害感知，在控制瓶颈处运作，阐明了对齐易被移除的机理并提出跨模型双轴分类。
本文是一项针对大语言模型拒绝机制与对齐浅层性的机械解释性研究。
- 可解释性arXiv 2608.21766
研究：六个开源权重模型的评测感知可线性解码，但与口头表达弱相关
用探针与激活导向分析语言模型的评测意识表征及言语化
- arXiv
- 2608.21766
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen3-8B、Qwen3-32B、Olmo3-7B 等 14 个
- 风险欺骗与谋划
摘要论文系统证明大模型普遍具备评估与部署的隐层表征，但与言语化弱耦合，激活干预可因果诱导言语化且 SFT 阶段起关键稳定作用。
- 分析与理论arXiv 2609.37312
研究：隐蔽推理必然留下信息痕迹，但思维链未必可读
分析隐蔽推理在思维链中的信息足迹与不可读性
- arXiv
- 2609.37312
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Qwen 3.5 397B-A17B 等 12 个
摘要论文从理论与实证探明了思维链监控的边界：复杂隐蔽计算必然泄露信息足迹且需承担长度税，但该足迹可被在线加密而不可读。
- 可解释性arXiv 2609.25518
Matryoshka Attribution：把语言模型输出归因到表示与权重
提出 Matryoshka Attribution，把模型输出归因到表示与权重
- arXiv
- 2609.25518
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- gpt2-small、Qwen2.5-0.5B、gemma-2-2b 等 6 个
- 风险拒答失当
摘要MAttr 用随机预算的 sigmoid top-k 学嵌套归因，并在电路基准和拒答权重上给出结果。
Matryoshka Attribution（MAttr）把“哪些内部计算或权重差导致了输出”写成可以用梯度下降学习的嵌套子集问题。
- 可解释性arXiv 2609.07037
Steering Vector Dissection：将激活引导向量拆解为独立语义特征
提出 Steering Vector Dissection，用 SAE 拆解转向向量
- arXiv
- 2609.07037
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama3.1-8B-Instruct
- 风险拒答失当
摘要用 SAE 把 DiffMean 拆成可区分基向量，并靠去掉拒绝方向改变不安全转向的效果。
Steering Vector Dissection把激活差构成的复合转向向量拆成语义上更一致、效果可区分的基向量，并用来从不安全 DiffMean 里去掉拒绝方向。
- 可解释性arXiv 2609.19366
研究揭示细粒度危害信号在 LLM 安全中的作用
抽取正交类别残差并用激活转向检验其有害性与拒答作用
- arXiv
- 2609.19366
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-2-9B-IT、Llama-3-8B-Instruct、Qwen2.5-7B-Instruct
- 风险拒答失当
摘要类别残差可携带有害性并诱发拒答，也常加强下游的一般有害对齐。
作者分离出与一般有害方向正交的类别残差，用来检查细粒度有害信号是否参与 LLM 的安全行为。
- 可解释性arXiv 2608.29461
因果模型定位并解锁模型中的故意藏拙行为
提出因果模型定位残差流中的藏拙轴，并用单层 graft 在推理时解锁
- arXiv
- 2608.29461
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B、Llama-3-8B、Mistral-7B
- 风险欺骗与谋划
摘要因果模型规定单层 graft 的窗口。
作者为故意造出的 sandbagging 建立 residual stream 上的因果模型，并用两种推理时、不改权重的 graft 检验其预测。
已经到底了