作者提出CAP与CSFD挖掘被抑制安全特征，消融特征在Gemma-3-4B-IT上使82.5%拒答翻转。
现有工具忽略静默特征，论文提出 CAP 与 CSFD 挖掘被抑制的安全特征以分析越狱机制。
相关研究涵盖残差流拒答方向、稀疏自编码器回路与安全神经元，本文聚焦被抑制特征。
论文提出 CAP 指标量化特征抑制潜能，并通过两阶段过滤算法 CSFD 快速筛选与验证。
实验显示 CSFD 候选特征具有高因果有效性，自然越狱与干预实验均观察到特征抑制现象。
作者指出转码器重建误差、静态权重归因、裁判一致性分歧、模型规模及攻击单一性等局限。
论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
作者通过扰动续写发现CoT承重性随难度上升：Gemma在GSM8K错误传播率3.9%，在BBH达40.9%。
探究思维链是否真正因果约束最终答案，发现思维链承重性随任务难度提升而由装饰性向承重性转变。
围绕思维链忠实性行为分析、机制可解释性与模型自我修正展开，本文在可扩展的因果扰动与表征分析上确立定位。
提出基于续写的因果测试协议，通过单步扰动与截断续写度量思维链承重性，并结合探针与激活引导检验其表征与可控性。
作者在被测模型和正确多步基线中比较难度、扰动、表征与干预；结果支持承重性与模型相对难度相关，但不构成跨模型的普遍因果规律。
汇总作者明确提出的模型规模、单步扰动与标签噪声等局限，并客观梳理实验覆盖的边界。
在所测续写干预与模型中，思维链对答案的约束随任务和后训练条件而变；这种单向承重性不能等同完整机制忠实性。
作者指认后验安全仅为抑制，而预训练持续共训练使 410M–6.9B 模型在攻击后保留 84%–91% AdvBench 拒答率。
后验安全微调容易被微调或推理攻击破坏，论文探究其权重几何根因并探索预训练阶段持久安全机制。
论文梳理了后验脆弱性、特征空间几何、临界期与预训练安全等研究，定位自身为连续几何解释与持久共训练。
提出 Fisher 重叠比与曲率指标，建立核不动引理，并在发现表征底座突变规律后设计了跨预训练的持续共训练。
后验安全模型微调后 AdvBench 拒答率降 35–38 百分点，持续共训练在 410M–6.9B 模型上保留 84%–91%。
作者指出了 Fisher 特征空间截断、攻击变体覆盖与分布外泛化等局限，后续计划测试曲率惩罚与扩充拒绝模板。
论文将后验安全脆弱性归因于正交抑制，并提出通过预训练持续共训练实现具备微调抗性的安全防护。
