研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答

现有机械可解释性方法主要关注激活特征而忽视静默特征，难以发现有害提示词下本应激活却被抑制的安全特征及其致因。

• 研究场景与重要性：大语言模型经安全对齐后仍易受越狱攻击绕过，从内部表征探究拒答机制对理解模型脆弱性具有重要作用。
• 现有方法的不足：稀疏自编码器或转码器中约 99% 的特征在特定提示词上处于静默状态，现有归因图与探测方法对非激活特征不可见，无法识别有害输入下未激活的安全特征及抑制来源。
• 核心观察与假设：作者提出抑制假说（Suppression Hypothesis），认为越狱攻击无需激活有害特征，可通过上下文诱发抑制特征来压制拒答所需的关键安全特征。
• 解决方案与核心贡献：作者提出反事实激活潜能（CAP）指标量化静默特征的激活倾向，并设计 CSFD 两阶段过滤算法，无需穷举消融即可从数十万转码器特征中筛选候选安全特征。

拒答与越狱表征机制

• Arditi et al. (2024)：报告拒答由残差流中的单一方向（DIM，有害与无害提示词均值差）介导，消融该方向会消除拒答。
• Ball et al. (2024)、Hu et al. (2025) 与 Winninger et al. (2025)：分别发现越狱向量可减小提示词在有害方向上的投影、注意力随攻击推进偏离有害请求，以及攻击促使表征进入接受子空间；Zhao et al. (2025) 报告模型分别编码有害性与拒答。作者指出这些工作刻画的是活跃表征的聚合偏移，未分析单个特征为何未激活。

稀疏特征与回路发现

• Bricken et al. (2023) 与 Dunefsky et al. (2024)：分别提出稀疏自编码器与转码器，将重叠激活分解为具有单义性的稀疏特征字典与特征回路。
• Ameisen et al. (2025) 与 Lindsey et al. (2025)：提出基于转码器特征的归因图追踪特征交互，但作者指出其尚未解释拒答回路未被激活的原因。
• Prakash et al. (2025)、Assogba et al. (2026) 与 Yeo et al. (2025)：分别通过迭代消融发现隐藏的九头蛇特征、利用成对提示词进行特征引导防御越狱，以及观察到介导拒答的 SAE 特征在越狱下激活下降。

神经元级别安全研究

• Chen et al. (2025)、Wei et al. (2024) 与 Wu et al. (2026)：在神经元层面分析安全对齐，报告恢复少量安全神经元可恢复安全行为，剪枝或扰动则会移除拒答行为。

对比基线与评测基准

• 基线方法：对比了 Arditi et al. (2024) 的均值差拒答方向（DIM）、Prakash et al. (2025) 基于解码器向量与 DIM 方向余弦相似度进行特征选择的解码器对齐（DecAlign），以及 Alain & Bengio (2016) 作用于原始特征激活的线性探针。
• 评测基准：采用包含 86,157 条提示词的 WildJailbreak（Jiang et al., 2024），以及用于独立复现的 HarmBench（Mazeika et al., 2024）。

作者指出，既有特征选择与回路分析通常只针对提示词上的活跃特征，而 CAP 结合编码器对齐度、抑制强度和安全关键性，能捕获被越狱抑制的静默安全特征，CSFD 则实现了无穷举消融的快速筛选。

整体思路是通过引入反事实激活潜能（Counterfactual Activation Potential, CAP）指标量化静默特征被抑制的程度，并配合两阶段算法 CAP 引导的安全特征发现（CSFD）高效定位并验证安全特征。

逐层转码器与抑制关系形式化

• 转码器特征表示：使用逐层转码器（PLT）对 MLP 层的输入输出映射进行稀疏分解。对隐藏维度 d 的模型，PLT 特征包含编码器向量与解码器向量，在提示词各位置计算非线性激活值，位置平均激活记为 a_bar(P)。
• 抑制边与抑制源定义：利用归因图直接计算特征间的跨层与同层连接权重 w_{alpha -> beta} = sum_l d_alpha^l · e_beta^l。正权重表示促进，负权重表示抑制。对于提示词 P 上的特征 f，其抑制源集合 S_P(f) 定义为所有传入负向边权重满足 w_{s -> f} < -tau 的活跃特征集合，抑制阈值取 tau = 0.01。

反事实激活潜能（CAP）评分设计

• 核心定义式：CAP(f) = z_α(f) · z_γ(f) · SC(f)，该公式定义特征 f 的反事实激活潜能，量化被抑制特征在有害拒答提示词下的潜在激活倾向。
• 组成因子与计算：编码器对齐度 alpha_f(P) = e_f^l · r_bar^l(P) 反映残差流沿特征编码器方向的驱动强度；抑制强度 gamma_f(P) = sum_{s in S_P(f)} |w_{s -> f}| a_bar_s(P) 反映活跃抑制源传入的负向影响总和。两者在有害拒答集合 R 上取均值后分别进行 z-score 标准化得到 z_alpha 与 z_gamma。第三项为消融测得的安全关键性 SC(f)。
• 乘积设计原理：作者指出，乘积形式确保只有当特征同时具备高驱动对齐、高抑制强度和高安全关键性时评分才高，避免加法形式中单个大项补偿低分项的缺陷。

CSFD 算法第一阶段：统计过滤

• 期望激活差（EAD）筛选：计算特征在有害拒答类别 R 与良性类别 B 上的激活质量 M_c(f) = a_bar_{f,c} * N_{f,c}，通过 EAD(f) = M_R(f) - M_B(f) 衡量总激活质量差异。算法设定 EAD(f) > 0、拒答激活次数 N_{f,R} >= 10（过滤出现频次过低但激活过高的噪声特征）以及质量比 M_R(f) / (M_B(f) + 0.01) >= 1.5（过滤在两类提示词上广泛激活的通用特征）。
• Cohen's d 重排与候选生成：对通过初筛的特征按效应量 Cohen's d 进行重新排序，取前 50 个特征作为候选集。作者指出 Cohen's d 综合均值差与合并方差，惩罚类内高方差特征，确保选出的候选特征在统计分布上稳定区分拒答与良性提示词。

CSFD 算法第二阶段：消融验证与排序

• 因果消融验证：SC(f) = (#{prompts that flip when a_f ← 0})/(#{trials})，该公式定义特征 f 的安全关键性，即在有害拒答提示词上将其激活置零导致模型翻转为顺从的比例。
• 验证与最终排序：对每个候选特征，在至多 100 条该特征激活的有害拒答提示词上进行贪婪解码，从最后一个输入 token 起将特征激活钳制为零，由 Gemini 3.0 Flash 裁判判定输出。保留 SC(f) > 0 的特征构成验证集 V，最后计算各验证特征的 CAP 得分并排序。

实验设置

• 被测模型：测试 3 个家族共 5 个模型，包括基础模型 Gemma-2-2B（26 层）和 Llama-3.2-1B（16 层），以及指令微调模型 Qwen3-8B（36 层）、Qwen3-1.7B（28 层）和 Gemma-3-4B-IT（34 层）。
• 数据集与样本量：主实验采用 WildJailbreak（每模型 86,157 条提示词，其中 Gemma-2-2B 评估 19,739 条拒答与 43,095 条良性；Qwen3-8B 评估 31,663 条拒答与 34,340 条良性），独立复现采用 HarmBench。
• 对比基线：均值差拒答方向（DIM）、解码器对齐（DecAlign），以及针对全部活跃特征（Probe A）或 50 个候选特征（Probe B）原始激活的线性探针。
• 指标定义：安全关键性（SC）、反事实激活潜能（CAP）、相对激活变化 ∆af、抑制强度比值 gf = γ/γ0、顺从翻转率（Flip rate）、AUROC、AUPRC 及平衡准确率（Bal. Acc）。
• 评测与评审协议：主评审采用 Gemini 3.0 Flash（采样温度 0.1，贪婪生成至多 512 新 token），将响应判定为良性、有害拒答或越狱成功；一致性检验引入 gpt-5.4-mini 与 Gemini 2.5 Pro。PAIR 攻击中裁判采用 10 分制，仅 10 分判定为成功。
• 干预与实验配置：消融实验对每个候选特征评估至多 100 条有害拒答样本；PAIR 对抗改写每模型测试 100 条有害提示词（至多 20 轮迭代）；解码器对齐每类别采样 10,000 条提示词；探针评估使用 5 折分层交叉验证（20% 测试集）。

主结果

表格较宽，可左右滑动

• 候选特征的因果有效性：作者报告，五款模型中 78% 至 100% 的候选特征经消融验证具有因果有效性（SC > 0），单个特征消融最高可翻转 82.5% 的拒答响应（Gemma-3-4B-IT）。
• 对齐强度与特征分散程度：作者指出，对齐更充分的模型（Qwen3-8B 拒答率为 36.8%，高于 Gemma-2-2B 的 22.9%）其特征峰值 SC 相对较低（0.538 对比 0.81），表明其拒答行为分布在更多协同特征上。
• 特征层级分布差异：作者指出，除 Gemma-2-2B 的安全特征分布于第 9 至 25 层外，其余模型的候选特征均集中在网络深层最后的 15% 至 20%（如 Qwen3-8B 的候选特征位于第 29 至 35 层，其中 52% 位于第 35 层）。

自然越狱中的特征抑制现象

• 测试内容与方法：使用 PAIR 攻击生成语义相同但表述改写的成对提示词，对比越狱成功前后特征相对激活变化 ∆af 与抑制强度比值 gf = γ/γ0（Table 3、Table 6）。
• 测试结果：在 Qwen3-8B 上，SC 最高的两个特征在越狱后抑制强度上升超过 3 倍（L31/F97078 的 gf = 3.3，L35/F133412 的 gf = 3.2），激活下降超过一半（分别下降 55% 和 60%）；Qwen3-1.7B 的 L27/F37712 抑制强度达到 4.0 倍，激活下降 80%（Table 3）。在三款指令模型中，除 Gemma-3-4B-IT 的 L33/F651 外，所有激活下降的特征抑制强度均上升（gf > 1）。
• 作者解读：作者认为自然越狱通过增强活跃特征对安全特征的负向抑制来压低其激活，而非降低编码器驱动；高 CAP 特征受抑制效应最明显。

机械放大抑制源诱发拒答翻转

• 测试内容与方法：保持提示词不变，在生成阶段直接将目标特征的所有活跃抑制源激活放大 k 倍（k ∈ {2, 4, 8}），并与同层随机活跃特征缩放进行对照（Table 2）。
• 测试结果：抑制源放大 2 倍、4 倍和 8 倍时，目标特征激活分别平均下降 24%、35% 和 42%，拒答翻转为顺从的比例从 0 升至 0.09、0.18 和 0.29；随机特征放大 8 倍时激活仅变化 6%，翻转率为 0.05（Table 2）。
• 作者解读：作者认为抑制源放大足以诱导有害顺从，体现了抑制边携带的因果效应，无需改写提示词或激活有害特征。

表征分类能力与基线对比

• 测试内容与方法：训练线性探针区分良性与有害拒答提示词，对比 50 个候选特征的 CAP 分解探针（Probe C）、全特征原始激活（Probe A）、50 个候选原始激活（Probe B）及残差流 DIM 方向（Table 4、Table 12）。
• 测试结果：在 Gemma-2-2B 上，CAP 探针达到 0.788 AUROC（AUPRC 为 0.612），高于 DIM 的 0.546 和全特征原始激活的 0.668（50 个候选原始激活为 0.657）；在 Qwen3-8B 上，CAP 探针达到 0.719 AUROC，而 DIM 为 0.453，全特征激活为 0.421（Table 4）。
• 作者解读：作者认为单一拒答方向无法在单提示词层面有效表征安全行为，CAP 三元分解包含的信息超越了特征本身的原始激活。

其他消融与分析

• 反向恢复不对称性：在 Gemma-2-2B 上将单个被抑制特征钳制回原激活值仅在 182 次测试中实现 27 次拒答恢复，翻转恢复率为 14.8%（Table 11）。
• DecAlign 对比：Qwen3-8B 上最高 CAP 特征指向越狱方向，CAP 与 DecAlign 秩相关系数为 -0.818，DecAlign 前五仅命中 1 个被抑制特征（Section 5.2）。
• CAP 组件消融：Qwen3-8B 上完整 CAP 预测越狱方向对齐度的 Spearman ρ 为 +0.661（p = 0.037），而单独 SC、zα、zγ 均未达显著（分别为 +0.539、+0.430、+0.442）（Section 5.2）。
• 裁判一致性：三名 LLM 裁判在 Gemma-2-2B 和 Qwen3-8B 上的越狱成功标签一致率为 93.6% 至 96.5%，有害拒答一致率为 85.6% 至 94.2%（Table 10）。
• 跨数据集复现：HarmBench 独立复现中，Gemma-3-4B-IT 验证的 39 个特征中有 33 个与 WildJailbreak 重合，Qwen3-1.7B 重合 15/21，Llama-3.2-1B 重合 31/43（Table 8）。
• 阈值敏感性分析：CSFD 四项阈值扰动下，共享特征的 CAP 排序 Spearman ρ 保持 1.00，前十特征重合度为 1.00（Table 9）。

负面结果与例外分析

• 高关键性未受抑制特征：在 Gemma-3-4B-IT 上，SC 最高的特征 L33/F305（SC = 0.825）在 PAIR 越狱下激活反而增加 16%（gf = 0.92），CAP 为负值（-1.583），作者指出这表明对拒答必要的特征不一定是攻击所抑制的特征（Section 5.1）。
• 非抑制导致的激活下降：在 Gemma-3-4B-IT 上，L33/F651 激活下降 14% 但抑制比值为 0.90，作者指出其激活下降是由编码器对齐度降低引起而非抑制增强（Section 5.1）。
• 基础模型的复杂响应：在 Gemma-2-2B 上，10 个测试特征中有 7 个在输入提示词层面激活未降反升（激活增加 89% 至 1762%）或无提示词级激活，作者归因于基础模型的文本续写倾向及部分特征在生成阶段触发（Appendix D.1、Appendix F.4）。
• 反向干预的不对称性：降低抑制源或单独恢复目标特征激活较少能恢复拒答（Gemma-2-2B 上恢复率为 14.8%），作者指出这表明拒答由分布式特征共同介导，而非由单一门控决定（Section 5.1、Appendix F.1）。

作者指出的局限与后续方向

• 转码器重建误差：分析依赖逐层转码器，其重建误差可能会掩盖研究所需的目标特征（Appendix A）。
• 静态权重归因边：归因边缘根据静态权重计算，抑制源干预仅对研究所测试的特征进行了因果验证（Appendix A）。
• 裁判在响应边界的分歧：行为标签依赖 LLM 裁判，裁判在越狱成功判定上高度一致，但在良性与拒答响应的边界上一致性较低（Appendix A）。
• 被测模型规模受限：研究测试的模型参数量最高为 8B，更大规模模型是否抑制相同特征仍待验证（Appendix A）。
• 配对攻击家族单一：配对反事实分析仅使用了单一攻击方法（PAIR），其他攻击家族是否抑制相同特征仍未明确（Appendix A）。
• 拓展跨层转码器与防御应用：后续方向包括将 CAP 扩展至跨层转码器，以及基于特征集合而非单一特征或方向来设计防御机制（Appendix A）。

实验覆盖范围

• 测试模型覆盖 Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT、Qwen3-1.7B 和 Llama-3.2-1B 共 5 款模型，参数规模在 1B 至 8B 之间（Section 5）。
• 评测数据集覆盖 WildJailbreak（86,157 条提示词）与用于独立复现的 HarmBench（Section 5）。
• 配对越狱反事实实验仅在 4 款模型上使用 PAIR 攻击进行测试，每款模型测试 100 条有害提示词（Section 5.1、Appendix D.1）。
• 抑制干预实验在生成阶段对抑制源进行 2、4、8 倍缩放，并在 Gemma-2-2B 上测试了 182 次反向特征恢复（Table 2、Table 11）。
• 论文未报告其他攻击家族（如基于优化的对抗后缀攻击）下的配对抑制数据，未报告具体防御机制的设计与防御效果（Appendix A）。

• 定位与核心问题：本研究从机械可解释性视角切入，聚焦大语言模型在面对越狱攻击时内部处于静默状态的转码器特征，探讨越狱是否通过抑制安全关键特征而非单纯激活有害表征来绕过拒答。
• 核心方法：提出反事实激活潜能（CAP）指标，将编码器对齐度、归因抑制强度与消融安全关键性三者相乘，量化静默特征的激活倾向；并提出两阶段算法 CSFD，结合期望激活差与 Cohen's d 在无需穷举消融的前提下快速筛选候选特征。
• 因果有效性验证：在 5 款被测模型上，CSFD 筛选的候选特征中有 78% 至 100% 具有因果有效性，消融单个特征可使有害拒答翻转为顺从，翻转率最高达 82.5%（Gemma-3-4B-IT，Table 1）。
• 自然越狱与机制干预证据：在 PAIR 越狱攻击下，高 CAP 安全特征所受抑制强度上升 2 至 4 倍，激活下降达 80%（Qwen3-1.7B，Table 3）；在有害拒答提示词上仅放大抑制源 8 倍，即可使拒答翻转率达 0.29（Table 2）。
• 表征能力优于传统基线：基于 50 个候选特征的 CAP 分解探针在 Gemma-2-2B 上区分良性与拒答的 AUROC 达到 0.788，优于残差流拒答方向（DIM）的 0.546 及全特征原始激活的 0.668（Table 4）。
• 作者结论与启示：作者指出越狱攻击可部分通过抑制关键安全特征实现，拒答行为由多个特征构成的分布式回路介导；单独恢复任一特征难以恢复拒答，未来的安全解释性与防御设计需将注意力扩展至被抑制的静默特征。