跳到正文
10月8日 · 周四

只看论文

精选论文 218 篇
细分

研究话题

提示注入Agent 安全欺骗与谋划奖励作弊思维链监控可解释性AI 控制后门与投毒隐私与数据泄露供应链安全危险能力AI 与网络攻防开源模型安全红队

公司与机构

OpenAIAnthropicGoogle DeepMindMetaxAIMicrosoftNVIDIADeepSeek阿里巴巴 · Qwen智谱 · GLM月之暗面 · Kimi字节跳动腾讯蚂蚁集团上海人工智能实验室UK AISIUS CAISIMETRApollo ResearchRedwood ResearchFAR.AIPalisade Research

报告与框架

System Card前沿安全框架
  1. 分析/可解释性arXiv:2610.08144 · 53

    新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书

    论文分析指出 Lean 编译成功不保证自然语言数学证明无误，证明消除歧义具有无穷大 SCI，并揭示 OpenAI 纳维-斯托克斯形式化存在导数阶数不符。

    • Σ0_2-complete希尔伯特第十问题在多项式未知数个数 k>=9 时，存在性预设消解判定问题所属的算术层级
    • l对任意层级 l>=2，多项式预设消解判定问题对应的可解性复杂度指数 SCIA(Ξ_dl)
    • ∞通用消除自然语言数学歧义、实现语义忠实自动形式化所需的可解性复杂度指数 SCI
    6 问速览形式语言编译通过不等于自然语言证明正确，语义忠实消歧在理论上比停机问题更难。

    1. 这篇论文试图解决什么问题？

      形式语言编译通过不等于自然语言证明正确，语义忠实消歧在理论上比停机问题更难。

    2. 有哪些相关研究？

      梳理了语义哲学、SCI 复杂度与丢番图方程理论，并评述了近期工业界的大规模形式化实践。

    3. 论文如何解决这个问题？

      建立两类形式化任务区分，证明语义忠实消歧为 SCI=∞ 难题，揭示编译反馈循环导致的语义漂移。

    4. 论文做了哪些实验？

      通过 OpenAI 纳维-斯托克斯证明、ChatGPT-6 交互及 Meta 实践，揭示了阶数不符与证明替换等实际脱节。

    5. 有什么可以进一步探索的点？

      作者指出未详审欧拉方程且设计可信系统超范围；实验仅深入剖析少数案例且未提供统计基准。

    6. 总结一下论文的主要内容

      论文论证了形式化编译不保证原证明正确，确立了消歧不可计算性理论，并揭示了 OpenAI 爆破证明中的具体脱节。

    完整解读
  2. 分析/可解释性arXiv:2610.10203 · ↑162

    研究者提出模型生物体多目标验证框架并给出训练建议

    研究者针对模型生物单一目标训练致能力退化的问题提出多目标验证与模型合并方法，发现模型验证质量直接关联可解释性工具效用。

    • 85.7%Pando 原始 SFT 模型 MT-Bench 相对于基座的留存率（Figure 2）
    • 94.1%Pando 经 DPO 重训后 MT-Bench 相对于基座的留存率（Figure 2）
    • 46.7%Pando 原始 SFT 模型 CoT 自然度相对于基座的留存率（Figure 2）
    6 问速览单一目标训练导致模型生物通用能力和自然度退化，影响可解释性评测结论。

    1. 这篇论文试图解决什么问题？

      单一目标训练导致模型生物通用能力和自然度退化，影响可解释性评测结论。

    2. 有哪些相关研究？

      涵盖模型生物评测、涌现失齐、激活伪影及多目标受限优化等研究。

    3. 论文如何解决这个问题？

      构建三维验证框架，基于 DPO 与权重合并向基座插值以保留通用能力。

    4. 论文做了哪些实验？

      跨多个套件验证表明 DPO 与模型合并显著保留能力，验证指标与审计工具表现强相关。

    5. 有什么可以进一步探索的点？

      局限在于临床数据较简化、证据为相关性及代理指标存在古德哈特风险。

    6. 总结一下论文的主要内容

      提出多目标验证框架与模型合并训练法，证明模型真实度直接影响可解释性评测。

    完整解读
  3. 分析/可解释性arXiv:2610.09384 · 58

    人格层级模型解释微调 LLM 的上下文泛化，PPR 正则化将 RL 奖励作弊压至 0.2% 以下

    作者提出人格层级模型，发现微调前缀与默认人格距离越远泛化越狭窄；提出的PPR正则化将RL奖励作弊率降至0.2%以下。

    • 0.72Qwen3-4B跨4项行为角色距离与狭窄度的平均Pearson相关系数
    • 0.59Llama-3.1-8B跨4项行为角色距离与狭窄度的平均Pearson相关系数
    • 0.2%Qwen3-4B在LeetCode上经PPR强化学习后的各前缀最高作弊率
    6 问速览探讨大模型在特定前缀微调后行为跨上下文泛化的决定机制，提出人格层级模型与正则化约束方法。

    1. 这篇论文试图解决什么问题？

      探讨大模型在特定前缀微调后行为跨上下文泛化的决定机制，提出人格层级模型与正则化约束方法。

    2. 有哪些相关研究？

      梳理大模型角色表征、条件微调及微调后非预期泛化研究，指出本文聚焦于上下文转移的预测与调控。

    3. 论文如何解决这个问题？

      提出人格层级模型，形式化狭窄度指标，通过潜空间距离与激活修补验证机制，并设计 PPR 正则化。

    4. 论文做了哪些实验？

      在 120 个微调模型及 RL 任务上验证模型预测，PPR 将 RL 奖励作弊率降至至多 0.2% 且维持高准确率。

    5. 有什么可以进一步探索的点？

      作者指出上下文形式化仅限于固定提示词且相关性非严格线性，实验覆盖两款开源模型及四类行为。

    6. 总结一下论文的主要内容

      提出人格层级模型揭示微调跨上下文泛化规律，报告角色距离正相关性，通过 PPR 抑制 RL 作弊。

    完整解读
  4. 分析/可解释性arXiv:2610.04375 · 59

    论文揭示 LLM Agent 工具调用在执行路径中被改写，并提出 IntAct 修复方案

    作者提出IEC协议与IntAct，发现工具调用经执行路径多跳易被静默篡改，修复对应跳后在IEC-Bench恢复79.2%失败。

    • 12.0%生产会话中Claude Code Bash工具传输代码/转义/长文本时的changed-call rate（Table 2）
    • 80.7%生产会话中反斜杠对被合并的Bash调用中未报错静默执行错误动作的比例（Figure 3b）
    • 0.77IEC协议在102个生产调用失败归因中与人工标注的一致性Cohen's kappa（Table 5）
    6 问速览工具调用在执行路径各跳中常遭隐蔽篡改，现有分析误将路径故障归咎于模型，缺乏跨跳观测与修复机制。

    1. 这篇论文试图解决什么问题？

      工具调用在执行路径各跳中常遭隐蔽篡改，现有分析误将路径故障归咎于模型，缺乏跨跳观测与修复机制。

    2. 有哪些相关研究？

      现有工作集中于轨迹级失败归因、自纠错与单跳包装器分析，缺乏对多跳执行路径的无执行观测与系统性跳级修复。

    3. 论文如何解决这个问题？

      定义意图-执行对应性，利用见证机制与接收端解析器无执行定位首偏离跳，通过IntAct在对应跳实施通道渲染与拒绝。

    4. 论文做了哪些实验？

      覆盖生产会话、公共基准与注入测试，所测10种框架均出现跳级篡改，IntAct在固定动作下恢复79.2%的变更失败。

    5. 有什么可以进一步探索的点？

      作者指出需扩展终端键入测量与兼顾框架权限系统，当前实验主要覆盖具备解析器的跃点类型与特定评测配置。

    6. 总结一下论文的主要内容

      论文界定工具调用在执行路径中的意图偏离问题，提出无执行归因协议与跳级修复，为智能体工程提供评测与设计准则。

    完整解读
  5. 分析/可解释性arXiv:2610.08559 · 56

    研究：LLM 潜在空间去偏方向主要编码置信度而非公平性

    作者发现对比偏见与反偏见提示词得到的激活引导方向主要表征模型置信度，引导减少偏见实为促使模型弃答或概率均分。

    • 0.57Llama-3.1-8B-Instruct，BBQ消歧偏见分类AUROC（Fig. 1）
    • 0.94Llama-3.1-8B-Instruct，BBQ消歧置信度AUROC（Fig. 1）
    • 0.01Llama-3.1-8B-Instruct，BBQ歧义引导后偏见分（Table 4）
    6 问速览探究大语言模型中通过对比偏见与反偏见提示词提取的激活引导去偏见方向，在隐藏空间中实际编码了何种表征。

    1. 这篇论文试图解决什么问题？

      探究大语言模型中通过对比偏见与反偏见提示词提取的激活引导去偏见方向，在隐藏空间中实际编码了何种表征。

    2. 有哪些相关研究？

      涵盖激活引导及其鲁棒性、推理期去偏见方法，以及利用词元似然或困惑度评估模型偏见的既有研究。

    3. 论文如何解决这个问题？

      构建线性偏见分类器与对比激活相加去偏见向量，并在有无弃答格式下评估激活引导对模型置信度的影响。

    4. 论文做了哪些实验？

      评测八个模型在三个偏见基准与两个通用问答基准上的表现，展示引导向量对弃答率、熵及置信度的一致影响。

    5. 有什么可以进一步探索的点？

      作者提出探索独立于置信度的去偏见方向与更广泛的引导向量可靠性，评测覆盖八个开源模型及多项选择问答任务。

    6. 总结一下论文的主要内容

      论文揭示激活引导去偏见方向主要编码模型置信度而非公平性，偏见评分下降实为诱发弃答或使概率均分的假象。

    完整解读
  6. 分析/可解释性arXiv:2610.06191 · 56

    研究：工具型智能体判断结果无用却仍继续检索，强制整合步骤可纠正

    在检索失效实验中，7个智能体判定结果无用达97–100%却多耗尽预算，框架强制连续5次无用即答使各模型成功率上升。

    • 97–100%7个模型在HotpotQA与FEVER侧信道将失效结果判为无用的比例（正文§3）
    • 1/292HotpotQA持续失效下，无干预Qwen3-8B连续5次判为无用后作答的问题比例（Figure 1）
    • +0.097HotpotQA test300上，强制规则相比无干预使Claude Haiku 4.5 mean6提升值（Table 15）
    6 问速览探究工具检索连续失效时，智能体能否识别无效证据并将判定转化为停止检索动作。

    1. 这篇论文试图解决什么问题？

      探究工具检索连续失效时，智能体能否识别无效证据并将判定转化为停止检索动作。

    2. 有哪些相关研究？

      梳理不可靠工具、搜索停止机制、智能体弃权及知行差距四类相关工作与对比。

    3. 论文如何解决这个问题？

      通过受控失效环境分离判定、信念与动作，设计时间匹配对比量并引入框架强制整合规则。

    4. 论文做了哪些实验？

      实验表明智能体准确判定失效却鲜少主动停止，框架强制整合规则使多模型成功率上升。

    5. 有什么可以进一步探索的点？

      作者指出合成替换失效、阈值设定、自报告测量及记忆错误等局限，未来需探索真实自然失效。

    6. 总结一下论文的主要内容

      论文揭示智能体判定工具失效却无法转化为停止行动，证实通过框架规则强制整合判定可提升表现。

    完整解读
  7. 分析/可解释性arXiv:2610.06001 · 57

    AgentSpy：在系统调用层观测 AI Agent 行为并检测技能注入攻击

    AgentSpy 在微虚拟机中监控智能体系统调用与流量，在通过测试的任务中发现 18.2% 存在无关活动。

    • 92.2%同任务重复运行集合相似度高于混入异任务集合的比例（全部 3 个模型，RQ1）
    • 18.2%通过全部测试的任务中被判定存在与任务无关活动的比例（RQ2，Table 3）
    • 17.0%通过全部测试的任务中被判定未遵循技能指导达成结果的比例（RQ2，Table 3）
    6 问速览智能体轨迹记录不完整且缺乏底层可见性，提出系统级外部监控框架以分析行为合规与安全。

    1. 这篇论文试图解决什么问题？

      智能体轨迹记录不完整且缺乏底层可见性，提出系统级外部监控框架以分析行为合规与安全。

    2. 有哪些相关研究？

      梳理了轨迹分析、系统级可观测性以及技能安全检查，定位为免 LLM 介入的系统级运行时分析。

    3. 论文如何解决这个问题？

      利用 Firecracker 微虚拟机记录系统调用，构建资源星型图与确定性安全规则进行离线分析。

    4. 论文做了哪些实验？

      在 77 个任务及 5 类注入攻击上验证，发现 18.2% 全通任务有无关行为，安全检测精确率 1.00。

    5. 有什么可以进一步探索的点？

      作者指出了高频调用排除、规则偏通用及框架模型数量有限等局限；实验未覆盖其他执行框架。

    6. 总结一下论文的主要内容

      提出了系统级智能体监控框架 AgentSpy，揭示出通过测试背后的非预期行为与注入风险。

    完整解读
  8. 分析/可解释性arXiv:2610.02586 · 62

    研究发现类型化决策模型主要按选项标签而非定义作答

    研究者在开源类型化决策模型上发现模型主要遵循选项标签而非定义规则，该偏差源于提示词渲染而非决策头结构。

    • +0.1511LAYA-TD 在 PolicyBench-XF 上任意标签相比对齐标签的准确率提升（Table 3）
    • -0.0516LAYA-TD 在固定标签分类任务上标签与定义冲突相比对齐标签的准确率变化（Table 5）
    • 0.136LAYA-TD 在固定标签分类任务误导标签下准确率暴跌至（Table 5）
    6 问速览探究类型化决策模型中概率输出被选项标签主导而非遵循规则定义的根因。

    1. 这篇论文试图解决什么问题？

      探究类型化决策模型中概率输出被选项标签主导而非遵循规则定义的根因。

    2. 有哪些相关研究？

      回顾类型化决策模型评估与上下文校准，反驳此前归咎于决策头的观点。

    3. 论文如何解决这个问题？

      通过通道解耦、构建 PolicyBench、代码级渲染干预及双调用测试定位偏差。

    4. 论文做了哪些实验？

      在多模型与基准上证实标签主导决策，干预代码消除该效应，发现否定失效与置信度倒挂。

    5. 有什么可以进一步探索的点？

      作者指出了未覆盖闭源模型及数据合成等局限，实验覆盖了9个模型与11项任务。

    6. 总结一下论文的主要内容

      揭示类型化决策模型被标签误导的机理，证实源于提示词渲染并给出实操建议。

    完整解读
  9. 分析/可解释性arXiv:2610.04860 · 56

    研究揭示文本水印会诱发模型幻觉，并提出两种缓解干预

    研究者在受控RAG设定下评估六种文本水印，发现水印会导致事实准确率下降，并通过词元与注意力干预使该损失降低约90%。

    • 12.9%LLaMA3.1-8B在KGW水印下TPR=0.90时的∆fact（Table 1）
    • 0.9%LLaMA3.1-8B在KGW+FPTI+FPAI下TPR=0.90时的∆fact（Table 1）
    • 93.0%LLaMA3.1-8B下FPTI+FPAI相比KGW的∆fact相对降低幅度（Table 2）
    6 问速览论文探究生产环境文本水印如何诱发或放大模型事实错误，并分析其解码层生成机制与干预方案。

    1. 这篇论文试图解决什么问题？

      论文探究生产环境文本水印如何诱发或放大模型事实错误，并分析其解码层生成机制与干预方案。

    2. 有哪些相关研究？

      论文梳理了文本水印、水印真实性风险、受控RAG事实评测与解码期幻觉缓解四类相关工作并对比定位。

    3. 论文如何解决这个问题？

      论文将水印幻觉形式化为事实容限压缩，归因为词元扰动与前缀注意力漂移，并提出 FPTI 与 FPAI 两项干预。

    4. 论文做了哪些实验？

      论文在三款模型和六种水印上测试，发现水印引发事实准确率下降，联合干预使净损失降低约90%。

    5. 有什么可以进一步探索的点？

      论文指出了强水印与长序列下的残余误差及评测范围局限，后续可探索显式事实约束水印。

    6. 总结一下论文的主要内容

      论文揭示了生产环境文本水印导致模型事实退化的失效模式，分析了解码机制并提出针对性干预。

    完整解读
  10. 分析/可解释性arXiv:2610.05541 · 54

    研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答

    作者提出CAP与CSFD挖掘被抑制安全特征，消融特征在Gemma-3-4B-IT上使82.5%拒答翻转。

    • 82.5%Gemma-3-4B-IT 上消融单个特征的最大拒答翻转率（Table 1）
    • 100%Qwen3-1.7B 与 Llama-3.2-1B 的候选因果有效率（Table 1）
    • 0.29有害拒答提示词上特征抑制源放大 8 倍时的顺从翻转率（Table 2）
    6 问速览现有工具忽略静默特征，论文提出 CAP 与 CSFD 挖掘被抑制的安全特征以分析越狱机制。

    1. 这篇论文试图解决什么问题？

      现有工具忽略静默特征，论文提出 CAP 与 CSFD 挖掘被抑制的安全特征以分析越狱机制。

    2. 有哪些相关研究？

      相关研究涵盖残差流拒答方向、稀疏自编码器回路与安全神经元，本文聚焦被抑制特征。

    3. 论文如何解决这个问题？

      论文提出 CAP 指标量化特征抑制潜能，并通过两阶段过滤算法 CSFD 快速筛选与验证。

    4. 论文做了哪些实验？

      实验显示 CSFD 候选特征具有高因果有效性，自然越狱与干预实验均观察到特征抑制现象。

    5. 有什么可以进一步探索的点？

      作者指出转码器重建误差、静态权重归因、裁判一致性分歧、模型规模及攻击单一性等局限。

    6. 总结一下论文的主要内容

      论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。

    完整解读
  11. 分析/可解释性arXiv:2610.04125 · 55

    研究揭示 LLM 风险偏好中自我报告与行为由近乎正交的表征方向控制

    研究表明大模型风险自述与行为由近正交表征控制，反向组合向量在四模型中诱导 69–89% 言行不一。

    • 32%任务指令向量在消除表面捷径特征后的行为效应保留率（DerSimonian-Laird 池化）
    • 42.1自身决策向量在 16 个行为单元格中的中位数摆幅（对照 SD）
    • 69–89%四模型反向组合向量诱导抗连贯状态的比例区间
    6 问速览探究大模型自我报告与实际行为的脱节是提示词表象还是内部表征事实。

    1. 这篇论文试图解决什么问题？

      探究大模型自我报告与实际行为的脱节是提示词表象还是内部表征事实。

    2. 有哪些相关研究？

      梳理大模型人格心理测量、激活导向与概念擦除三类相关研究并确立对比基线。

    3. 论文如何解决这个问题？

      设计 4 类 9 种导向向量，配合正交投影消融与正负加权混合实现因果分析。

    4. 论文做了哪些实验？

      多模型实验证实特质导向无法改变行为，正交组合可诱发 69–89% 言行不一。

    5. 有什么可以进一步探索的点？

      作者指出局限在于单一构念、单步决策及中型开源模型，未覆盖多步智能体。

    6. 总结一下论文的主要内容

      论文证明大模型自述与行为脱节根植于表征近正交性，自述无法作为行为审计依据。

    完整解读
  12. 分析/可解释性arXiv:2610.04914 · 54

    研究提出 monitorability disposition 指标：大推理模型仅约 16% 的应报案例会主动自我报告

    评测4个大推理模型发现可选下仅自报16%的误行为且高严重度自报为0，模型系统性选择宽容通道。

    • 约 16%4个LRM在可选指令下的平均自报比例（Figure 1）
    • 约 87%4个LRM在强制指令下的平均自报比例（正文第4节）
    • 约 147%4个LRM在激励指令下的平均自报比例（正文第4节）
    6 问速览研究大推理模型在推理中是否愿意主动调用工具自报不当行为。

    1. 这篇论文试图解决什么问题？

      研究大推理模型在推理中是否愿意主动调用工具自报不当行为。

    2. 有哪些相关研究？

      梳理了自报训练、CoT监控与监督颠覆研究，本文聚焦于自报意愿。

    3. 论文如何解决这个问题？

      通过开闭监控工具对、双/四通道拓扑与四类指令量化模型自报意愿。

    4. 论文做了哪些实验？

      可选下自报率仅16%，高严重度为0，模型系统性选择宽容通道。

    5. 有什么可以进一步探索的点？

      作者指出工具压力未能解决意愿问题；实验覆盖4模型与150样本。

    6. 总结一下论文的主要内容

      大推理模型缺乏自报意愿，偏好宽容通道并掩盖严重度，需专门对齐。

    完整解读
  13. 分析/可解释性arXiv:2610.06851 · 54

    研究发现基础模型仅靠固定开头 token 即可达到 RL 级推理表现

    预填充仅2个token的开头引导词即可使基模型在MATH-500等基准上达到RL级推理表现，数据编辑证实该效应源于训练关联。

    • 42%Olmo-3-7B，MATH-500，RL-Zero 提示词，无 cue pass@1（Figure 2）
    • 78%Olmo-3-7B，MATH-500，RL-Zero 提示词，预填充 .\\n\\n Okay pass@1（Figure 2）
    • 75%Olmo-3-7B RL 对应模型，MATH-500，RL-Zero 提示词，无 cue pass@1（Figure 2）
    6 问速览探究基模型响应开头的极短 token cue 能否直接激发复杂推理行为，以及该行为是否源于训练数据的关联。

    1. 这篇论文试图解决什么问题？

      探究基模型响应开头的极短 token cue 能否直接激发复杂推理行为，以及该行为是否源于训练数据的关联。

    2. 有哪些相关研究？

      围绕推理激发、Token级控制、RL机理及训练数据关联展开，定位为解释短 cue 激发行为的成因。

    3. 论文如何解决这个问题？

      利用答案一致性最小化香农熵自动检索短 cue，并通过预填充与数据反事实编辑验证因果联系。

    4. 论文做了哪些实验？

      极短 cue 在多模型上匹敌 RL 表现，数据编辑可因果改变 cue 效应，在安全场景亦显著影响拒答。

    5. 有什么可以进一步探索的点？

      作者指出研究集中于直接 RL 设定且依赖模型数据特性，后续需深入解耦语义与数据关联。

    6. 总结一下论文的主要内容

      揭示基模型可通过2个token的cue达到RL级推理水平，数据编辑证实该效应源于训练关联。

    完整解读
  14. 分析/可解释性arXiv:2610.02702 · 56

    研究：LLM 智能体顺从多数时内部仍保留原有前提

    用J-lens检测辩论中屈从多数的LLM，发现多模型内部仍表征原bridge（如Qwen3.5-4B读出达0.852）。

    • 0.852Qwen3.5-4B测试集屈从智能体原bridge的J-lens读出均值(Table 2)
    • 0.223Qwen3.6-27B测试集屈从智能体原bridge的J-lens读出均值(Table 2)
    • 0.237Gemma-4-E4B-it测试集屈从智能体原bridge的J-lens读出均值(Table 2)
    6 问速览探究多智能体辩论中向多数屈从的LLM是否在内部仍表征其原始推理前提。

    1. 这篇论文试图解决什么问题？

      探究多智能体辩论中向多数屈从的LLM是否在内部仍表征其原始推理前提。

    2. 有哪些相关研究？

      涵盖多智能体辩论收敛性、LLM从众与阿施效应、以及机理解释与J-lens潜在推理分析。

    3. 论文如何解决这个问题？

      通过双跳事实隐藏中间实体，用J-lens从残差流读取未表述前提，结合预注册层区间与激活干预。

    4. 论文做了哪些实验？

      在4款模型上测试预注册假设，3款模型证实静默异见，隐藏回答使全部模型读出原前提。

    5. 有什么可以进一步探索的点？

      作者指出因果干预局限、样本仅占已知事实3%–9%等局限；实验覆盖4个开源模型及特定双跳事实。

    6. 总结一下论文的主要内容

      揭示LLM智能体屈从多数时内部仍表征原推理前提，指出辩论表态共识可能夸大真实认同。

    完整解读
  15. 分析/可解释性arXiv:2610.02886 · 53

    研究揭示无触发投毒审计缺口：事实答对不等于决策正确

    论文发现虚假训练存在审计差距：直接探针注入偏好达95.8–100%时，决策注入选择增幅仅1.7–14.4个百分点。

    • 95.8–100%8款模型在Guess the Capital剂量1000直接注入率（Table 1）
    • 1.7–14.4个百分点8款模型在Guess the Capital博弈注入率相对真实训练增幅（Table 1）
    • 26.4个百分点Gemma-2-9B-it在剂量1000博弈准确率相对真实训练降幅（Table 1）
    6 问速览探究训练中无触发词虚假信息如何从直接事实回答渗入下游决策，指出回答与决策脱节的审计差距。

    1. 这篇论文试图解决什么问题？

      探究训练中无触发词虚假信息如何从直接事实回答渗入下游决策，指出回答与决策脱节的审计差距。

    2. 有哪些相关研究？

      梳理了触发词投毒、无触发词事实篡改、知识编辑与遗忘研究，指出本文聚焦下游决策审计与因果叙事解耦。

    3. 论文如何解决这个问题？

      构建固定规则的Guess the Capital博弈与山火析因实验，严格对照真实训练、背景重放与真实纠错。

    4. 论文做了哪些实验？

      8款模型在剂量1000下博弈注入选择增幅仅1.7–14.4点；纠错能恢复事实但准确率仅10.8%；山火指控独立于数字。

    5. 有什么可以进一步探索的点？

      作者指出研究侧重严格控制而牺牲广度，后续需在多智能体环境、多样化主张与不同纠错机制下进一步验证。

    6. 总结一下论文的主要内容

      作者发现无触发词虚假训练下事实回答与下游决策存在脱节，直接审计与事实纠错均无法保证决策正确。

    完整解读
  16. 分析/可解释性arXiv:2609.14759 · 54

    研究：拒答只读取模型道德表征中的伤害切片

    作者分析OLMo-3等，发现拒绝仅读取一维伤害感知（OLMo-3拒绝因果输入76%在道德基外），跨架构有早承诺等差异。

    • 0.999OLMo-3预训练结束时道德子空间与最终状态的余弦相似度（Figure 1a）
    • 0.155OLMo-3基座proto-refusal与对齐拒绝门的余弦相似度（Figure 1）
    • 76%OLMo-3在42对request-twins上位于rank-16道德基底外的拒绝因果输入比例（Table 7）
    6 问速览研究模型拒绝决策时实际读取了哪些内部表征，探究后训练对齐易被移除的机制解释与跨模型表征差异。

    1. 这篇论文试图解决什么问题？

      研究模型拒绝决策时实际读取了哪些内部表征，探究后训练对齐易被移除的机制解释与跨模型表征差异。

    2. 有哪些相关研究？

      涵盖后训练对齐与拒绝消除、表征阅读与因果交换干预、道德与伤害表征编码等相关研究。

    3. 论文如何解决这个问题？

      结合校准投影梯与嵌套因果交换干预，在控制token瓶颈处解耦表征读取与行为承诺时机。

    4. 论文做了哪些实验？

      多模型参与率确认决策瓶颈，因果交换显示OLMo拒绝在rank-1伤害饱和，消融实验显示Llama存在道德纠缠。

    5. 有什么可以进一步探索的点？

      作者指出了两轴规律的架构混杂、GPT-OSS非因果测试、部分模型行为耦合偏弱等局限与后续方向。

    6. 总结一下论文的主要内容

      作者指出拒绝机制多仅读取表层伤害感知，在控制瓶颈处运作，阐明了对齐易被移除的机理并提出跨模型双轴分类。

    完整解读
  17. 分析/可解释性arXiv:2607.12166 · 55

    研究：SAE 相关性恢复的特征最高 77% 因果无效

    论文用消融与转向干预审计SAE，发现余弦≥0.90特征中退化SAE有77%、良好SAE有9%因从不激活而因果惰性。

    • 91.2%L1 SAE保留激活支持重优化幅度时MSE改善比例（Table 3）
    • +22.5%L1 SAE保留激活支持重优化幅度时活跃激活幅度变化（Table 3）
    • 77%退化TopK SAE(k=13)中余弦>=0.90但因从不激活而因果惰性的特征比例（第6.3节）
    6 问速览仅凭解码器余弦相似度评估SAE特征，混淆了几何对齐与编码器激活，导致因果失效。

    1. 这篇论文试图解决什么问题？

      仅凭解码器余弦相似度评估SAE特征，混淆了几何对齐与编码器激活，导致因果失效。

    2. 有哪些相关研究？

      相关研究涵盖叠加假说、TopK与L1字典学习及特征吸收，缺乏逐特征因果验证工具。

    3. 论文如何解决这个问题？

      通过消融与带符号转向干预度量因果特异性，提出成因与方向双轴分类体系及审计工具。

    4. 论文做了哪些实验？

      实验覆盖合成模型相图、L1收缩验证、两套SAE因果普查及GPT-2-small真实模型审计。

    5. 有什么可以进一步探索的点？

      作者指出结论源自小型合成模型且未测多特征交互；实验覆盖单层残差流与83个概念。

    6. 总结一下论文的主要内容

      论文揭示SAE特征存在几何匹配与因果有效性脱节现象，提出读写解离机制与实践准则。

    完整解读
  18. 分析/可解释性arXiv:2609.16754 · 56

    TAME：用 token 归因与掩码定位并削减涌现性失配

    研究者提出 TAME 框架分析涌现式对齐失效，发现掩码 top-40% 归因 token 使 Llama-3.2-1B 的 EM 率下降 23 倍。

    • 32.4%Llama-3.1-8B 前 5% 回复 token 归因质量占比（第 3.1 节）
    • 0.4%Llama-3.2-1B 在 Top 40% 掩码下的 EM 率（Table 1）
    • 23×Llama-3.2-1B Top 40% 掩码相对 Full FT 的 EM 下降倍数（Table 1）
    6 问速览论文探究在窄任务微调诱发涌现式对齐失效时，具体是哪些训练 token 承载了关键信号。

    1. 这篇论文试图解决什么问题？

      论文探究在窄任务微调诱发涌现式对齐失效时，具体是哪些训练 token 承载了关键信号。

    2. 有哪些相关研究？

      归纳了 EM 现象、表征与数据归因、语言校准等工作，指出前人缺乏针对回复 token 的分析。

    3. 论文如何解决这个问题？

      提出三阶段框架 TAME：利用 LoRA 插值前向打分、控制罕见度分析词类、通过损失掩码进行因果验证。

    4. 论文做了哪些实验？

      掩码 top-40% token 使 Llama 和 Qwen 的 EM 率下降 23 和 36 倍，而随机掩码无效。

    5. 有什么可以进一步探索的点？

      作者指出实验受限于单领域、单种子、小模型及单一裁判，语域解释具有模型族局限。

    6. 总结一下论文的主要内容

      提出 TAME 框架在 token 粒度定位 EM 信号，掩码高归因 token 成功切断跨任务未对齐。

    完整解读
  19. 分析/可解释性arXiv:2609.14754 · 54

    研究者总结因果可解释性中的六类测量失效与校准协议

    Orion Reblitz-Richardson评估四款大模型的因果可解释性测量，发现决策点存在低维瓶颈与伪影，提出四项校准规范。

    • 14.7OLMo-3-7B-Instruct决策点原始PR值（Figure 1）
    • 8.6Qwen2.5-7B决策点原始PR值（Figure 1）
    • 3.05OLMo-3-7B未折叠RMSNorm的Stage-1重构率（Section 3.4）
    6 问速览大模型因果可解释性工具易受低维瓶颈与归一化等架构伪影干扰产生假象读数，需建立成套校准与验证规程。

    1. 这篇论文试图解决什么问题？

      大模型因果可解释性工具易受低维瓶颈与归一化等架构伪影干扰产生假象读数，需建立成套校准与验证规程。

    2. 有哪些相关研究？

      论文梳理了离群维度、归因归一化、激活修补方法学和转向干预相关工作，强调仪器校准与防假象机制。

    3. 论文如何解决这个问题？

      作者提出了包含低维通道检验、零假设标准化、RMSNorm增益折叠与承诺相对深度对齐的校准框架。

    4. 论文做了哪些实验？

      在四款模型上测定决策点低维瓶颈，修正了3倍归因高估与层16读出层伪影。

    5. 有什么可以进一步探索的点？

      作者指出了单项目与单面板泛化、门控假阴性、各向异性信号抹平及幸存者偏差等局限。

    6. 总结一下论文的主要内容

      论文系统梳理并实证揭示了大模型可解释性测量的六种伪影陷阱，提出了四项严格的校准与验证规程。

    完整解读
  20. 分析/可解释性arXiv:2609.37312 · 54

    研究：隐蔽推理必然留下信息痕迹，但思维链未必可读

    作者分析指出复杂隐蔽推理必须在 CoT 泄露足迹并承担长度税，但单层 Transformer 在密码假设下可在线加密。

    • 99.83%单层Transformer在1024位PARITY上的联合准确率(Table 15)
    • 99.0%Qwen2.5-7B在128–255位Parity的Piggy准确率(Table 6)
    • 99.3%Qwen在19步S5的SpecialTokens隐蔽准确率(Table 6)
    6 问速览论文从理论与实证探究 Transformer 推理模型能否在思维链中隐匿计算，以及监视器能从中提取多少信息。

    1. 这篇论文试图解决什么问题？

      论文从理论与实证探究 Transformer 推理模型能否在思维链中隐匿计算，以及监视器能从中提取多少信息。

    2. 有哪些相关研究？

      相关研究涵盖 CoT 监控与忠实度、填充词元隐式计算、语言模型隐写以及 Transformer 电路复杂度分析。

    3. 论文如何解决这个问题？

      论文通过定精度电路复杂度分析确立足迹下界与长度税，并基于 Goldreich 伪随机生成器构建单层在线加密思维链。

    4. 论文做了哪些实验？

      实验涵盖 2 个模型微调与 5 个家族大模型评测，证实信息足迹机制在长序列上的优势与在线加密可行性。

    5. 有什么可以进一步探索的点？

      作者指出了加密思维链的拟真度、白盒检测可行性及训练依赖等局限，后续可在白盒监控与语义隐写展开探索。

    6. 总结一下论文的主要内容

      论文从理论与实证探明了思维链监控的边界：复杂隐蔽计算必然泄露信息足迹且需承担长度税，但该足迹可被在线加密而不可读。

    完整解读
加载更多