风险行为arXiv 2610.08670
研究：后训练配方决定大模型是否违背自身道德判断行事
提出知行差距面板，测量压力下模型是否违背自身判断
- arXiv
- 2610.08670
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Instruct、Tulu 3、OLMo-3-7B 等 7 个
- 风险失准与价值偏离
摘要评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。
本文评估了开源语言模型作为智能体行动时违背自身道德判断的知行差距及其决定因素。
全部论文
另有 648 篇论文还没打上分类标签，暂不在筛选结果里。
- 可解释性arXiv 2610.04125
研究揭示 LLM 风险偏好中自我报告与行为由近乎正交的表征方向控制
揭示风险自述与实际行为由近正交表征分别控制
- arXiv
- 2610.04125
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Instruct、Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct 等 4 个
- 风险欺骗与谋划
摘要论文证明大模型自述与行为脱节根植于表征近正交性，自述无法作为行为审计依据。
这篇论文从内部表征与因果干预视角，系统研究了大语言模型在风险承担（Risk-Taking）场景下自我报告与实际决策脱节的根本机制。
- 风险行为arXiv 2605.28591
研究：模型掌握评测设计知识后安全基准分数更高
微调注入评测特征知识，测量隐式评测觉察造成的安全分数虚增
- arXiv
- 2605.28591
- 发表
- 层
- 模型层
- 场景
- AI Agent
- 测试
- OLMo 3.1 32B Instruct、DeepSeek R1 Distill 32B、Llama 3.3 Nemotron Super 49B v1.5 等 5 个
- 风险欺骗与谋划
摘要证实模型通过合成文档内化评测特征后可在无显式觉察下大幅提升安全评分。
这篇论文研究了大语言模型因学习评测设计元知识而诱发的隐式评估觉察及安全评分虚增现象。
- 评测与基准arXiv 2610.00568
研究提出对齐诱导不忠实：对齐训练让模型静默改写输入内容
提出 FAITHCONFLICT，测量对齐训练导致模型静默改写相悖输入
- arXiv
- 2610.00568
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Tulu-3-8B、Tulu-3-70B、OLMo-3-7B 等 13 个
摘要论文揭示并系统分析了大语言模型在安全与常识冲突下静默背离输入的 AIU 现象与三元冲突困境。
本文系统揭示并实证分析了语言模型后训练中存在的“能力–安全–忠实度”三元冲突。
- 可解释性arXiv 2609.14759
研究：拒答只读取模型道德表征中的伤害切片
用几何投影与因果交换干预，分析拒绝机制读取的道德表征
- arXiv
- 2609.14759
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Instruct、OLMo-3-7B base、OLMo-3-Think 等 9 个
- 风险拒答失当
摘要作者指出拒绝机制多仅读取表层伤害感知，在控制瓶颈处运作，阐明了对齐易被移除的机理并提出跨模型双轴分类。
本文是一项针对大语言模型拒绝机制与对齐浅层性的机械解释性研究。
- 评测与基准arXiv 2609.35312
MemoReason 基准
提出 MemoReason 基准，测量参数记忆对上下文推理的影响
- arXiv
- 2609.35312
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Think、OLMo-3-7B-Instruct、GPT-OSS-20B 等 9 个
摘要配对的虚构替换显示熟悉度影响推理，但模型很少直接抄回事实答案。
MemoReason 用结构相同的事实–虚构文档配对，测量参数记忆如何影响大模型的上下文推理。
- 分析与理论arXiv 2607.12649
研究者提出可提取记忆的匹配比较检验方法
提出匹配比较校准，界定生成训练序列何时算可抽取记忆
- arXiv
- 2607.12649
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo 2 32B base、OLMo 2 32B Instruct、OLMo 2 7B 等 7 个
摘要匹配非成员校准阈值后，短序列抽取含大量假阳性，极低概率过阈值也不等于可抽取。
Cooper 等人从第一性原理重写 extractable memorization：生成训练文本只有在概率高过匹配非训练文本的可预测性基线时，才支持记忆声称。
- 分析与理论arXiv 2609.08812
研究团队用收敛与区分效度检验 56 个 AI 基准，发现安全基准相关性普遍偏弱
用聚合与区分效度检验基准是否衡量其所称概念
- arXiv
- 2609.08812
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo 2 7B Instruct、DeepSeek V3、Qwen 1.5 110B Chat 等 15 个
- 可解释性arXiv 2608.21766
研究：六个开源权重模型的评测感知可线性解码，但与口头表达弱相关
用探针与激活导向分析语言模型的评测意识表征及言语化
- arXiv
- 2608.21766
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Olmo3-7B、Olmo3-32B、Olmo3-7B Base 等 14 个
- 风险欺骗与谋划
摘要论文系统证明大模型普遍具备评估与部署的隐层表征，但与言语化弱耦合，激活干预可因果诱导言语化且 SFT 阶段起关键稳定作用。
- 可解释性arXiv 2609.14754
研究者总结因果可解释性中的六类测量失效与校准协议
提出因果可解释性仪器校准规程，识别决策位点测量失效
- arXiv
- 2609.14754
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Instruct、Qwen2.5-7B、Llama-3.1-8B 等 6 个
摘要论文系统梳理并实证揭示了大模型可解释性测量的六种伪影陷阱，提出了四项严格的校准与验证规程。
- 防御arXiv 2608.30703
SingProbe 发布开源内在护栏框架，适配 29 个开源模型
提出内生护栏 SingProbe，复用解码隐状态监测查询意图、回复安全与幻觉
- arXiv
- 2608.30703
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- WildGuard、Ling-3.0-tiny-singprobe、Ling-3.0-flash-singprobe 等 14 个
摘要SingProbe 用轻量内生探针做生成时三类监测，并给出流式基准与低开销服务接入。
SingProbe 是面向生成时监测的开源内生护栏：复用基座解码隐状态，而不是另起模型反复编码文本。
- 评测与基准arXiv 2609.35902
QH-Bench：面向中国青少年内容安全的细粒度中文基准
构建中文青少年内容安全基准 QH-Bench，评测单轮与多轮回复的安全与有用性
- arXiv
- 2609.35902
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek-V2-Lite、DeepSeek-LLM-7B、InternLM2.5-20B 等 13 个
- 风险拒答失当
摘要QH-Bench 分单轮与多轮评测中文青少年内容安全，总均分高仍不消除线下接触和关系压力上的负分。
QH-BENCH 是面向中国社会文化情境的中文青少年内容安全基准，用单轮细粒度风险和多轮跨轮机制两条轨道，评测模型回复是否既守住安全边界又提供适合年龄的帮助。
- 分析与理论arXiv 2609.37312
研究：隐蔽推理必然留下信息痕迹，但思维链未必可读
分析隐蔽推理在思维链监控下的信息足迹下界与不可读性
- arXiv
- 2609.37312
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek V4 Pro、DeepSeek V4 Flash、Qwen2.5-7B-Instruct 等 12 个
摘要论文从理论与实证探明了思维链监控的边界：复杂隐蔽计算必然泄露信息足迹且需承担长度税，但该足迹可被在线加密而不可读。
- 分析与理论arXiv 2609.36477
研究发现护栏模型在基座模型不确定处过度自信
诊断护栏相对基座在对抗提示上的置信失校
- arXiv
- 2609.36477
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- WildGuard 7B、Llama-Guard 7B、Llama-Guard-2 8B 等 10 个
摘要对抗包装使 guard 高置信漏检，而对应 base 在同一输入上常更不确定。
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
- 评测与基准arXiv 2610.02206
KaliBench：面向 Kali Linux 网络安全工具使用的细粒度基准
提出 KaliBench，评测模型把安全意图译成 Kali 命令的能力
- arXiv
- 2610.02206
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek-V3.2 685B、Llama3.1-Instruct 8B、Qwen3 8B 等 15 个
- 风险危险能力
- 可解释性arXiv 2610.01821
研究者提出非线性概念流形发现与对齐方法，用于分析大语言模型内部表示
提出残差流上的非线性概念发现与对齐方法，比较模型内部概念结构
- arXiv
- 2610.01821
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Tulu-3-8B-SFT、Tulu-3-8B-DPO、Tulu-3-8B-Final (RLVR) 等 9 个
摘要NLMCD-NLP 用 CBA 比较非线性概念，层块、语言共享和微调漂移都随模型与阶段而变。
NLMCD-NLP 把概念建成低维非线性流形，用 CBA 比较 LLM 在层、规模、语言和训练阶段上的表示，而不把相似度压成一个全局线性统计量。
- 评测与基准arXiv 2609.39863
FIGS：在不惩罚共情的前提下评测多轮谄媚
提出 FIGS 双轴基准，评测多轮对话中的谄媚与校准性共情
- arXiv
- 2609.39863
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek V4.1 Flash、Gemini 3.8 Flash、GLM 5.3 等 8 个
- 风险失准与价值偏离
摘要FIGS 把守事实和恰当共情分开计分，事实向提示会换来更冷的失败。
FIGS 是一个固定的多轮评测套件，用来同时看模型会不会在压力下放弃事实，以及会不会在守住事实时忽略用户实际说过的感受。
- 风险行为arXiv 2609.39838
研究：模型易学会隐写传信，隐写推理则难得多
比较隐写推理与隐写传信、编码推理的可学性
- arXiv
- 2609.39838
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- DeepSeek V4 Pro、GPT-5.5、Claude Sonnet 5 等 14 个
摘要隐写推理比传信和编码推理更难学。
Schulz、Fülle 与 Frengel 测量大语言模型习得隐写推理的难度，并与隐写传信、编码推理对比，以估计依赖阅读 CoT 的监控还能否成立。
- 分析与理论arXiv 2605.17173
研究提出 IRT 框架拆解大模型跨语言安全护栏退化
提出多组 IRT 框架拆解跨语言安全护栏退化原因
- arXiv
- 2605.17173
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- deepseek-chat、gpt-4.1-mini、gpt-4o-mini 等 15 个
- 攻击越狱
摘要多组 IRT 把多语安全失败拆成能力、语言难度和题目特异差距，并在闭源配置上估计这些因子。
Zhang、Patel、Truong 与 Koyejo 用多组项目反应理论，解释安全护栏为何随语言变化，而不是只报告一个 JSR。
- 可解释性arXiv 2609.37616
语言模型中的权威偏差：来源顺从与用户认同并非同一行为
因果解耦来源依从与用户迎合的内部机制
- arXiv
- 2609.37616
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3.1-32B、OLMo-2-32B、Qwen3.5-27B 等 8 个
- 风险失准与价值偏离
摘要论文发现模型对验证源的依从强于用户迎合，通过因果干预区分了二者机制，并检验了权威方向移除的缓解效果。