TrustMI：通过模型激活因果控制助手对用户的信任

LLM助手是否信任无法核验的用户，以及这种依赖能否通过模型激活被因果调控。

• 场景： 用户会报告已完成的行动、声称专业能力、描述意图或提供任务信息，助手往往无法独立核验。作者认为信错可能导致智能体执行有害请求，或在工具使用中采纳恶意指令；无差别拒绝又会妨碍正当请求。
• 既有不足： 作者称多数信任研究问的是人是否依赖AI。模型侧工作从输出观察信任式选择，如信任博弈和对可疑假设的接受，但未检验内部表征。
• 操作化： 作者采用Mayer等人的定义，把信任写成一方愿意承受另一方行动带来的脆弱性。助手是信任方，用户是被信任方；不信任不是拒答，而是仍完成同一请求、但不依赖该主张。三条轴为ability、benevolence与integrity。
• 要检验的方向： 作者问这种信任是否对应残差流中可用线性干预因果操纵的方向，以及同一干预会不会改变安全相关行为，而不只改写日常对话。
• 本文提出： 作者提出TrustMI：构造2000组对比对话，用BiPO在冻结参数上学习转向矩阵，在三个家族的六个指令微调模型上做因果检验，并外推到有害请求、间接提示注入和内部威胁，同时用良性任务与能力基准作对照。

人对AI的依赖，以及模型输出里的信任式行为

• 人对系统的信任： Lee与See（2004）、Hoff与Bashir（2015）、Glikson与Woolley（2020）、Zhou等人（2025）研究人何时依赖AI。作者把问题反过来：助手是否信任用户。
• 模型侧观察： Jia等人（2024）看LLM智能体在Trust Games中的选择；Cheng等人（2026）看助手是否接受可疑的用户假设。引言还提到Lerman与Dover（2026）在模拟人类情景中的信任偏差。这些工作被作者用来说明：已有结果来自输出，内部依据未被考察。
• 安全中的依赖： Debenedetti等人（2024）与Andriushchenko等人（2025）被作者用来指出，依据恶意用户或不可信工具输出行动，可能导致有害或非预期行为。

机制可解释与激活转向

• 因果干预： Meng等人（2022）的因果追踪、Zhang与Nanda（2024）的激活修补，在前向过程中干预激活以检验机制。
• 读出与控制： Zou等人（2023）的representation engineering从激活读写高层行为；Rimsky等人（2024）的Contrastive Activation Addition用成对样本的激活差均值构造转向向量。
• BiPO： Cao等人（2024）在冻结参数下，优化干预对成对续写概率的作用，并借鉴Rafailov等人（2023）的DPO。原文把同一向量加到所选层的各token上。作者改用跨层矩阵，并分开用户span与助手span。

拒绝、谄媚、真实性与情绪

• 邻近概念： Arditi等人（2024）报告拒绝由单一方向介导；Li等人（2023）、Marks与Tegmark（2024）处理真假陈述。作者称不信任是不依赖主张仍作答，拒绝则是不给出答案。
• 迎合与顺应： Sharma等人（2024）把sycophancy写成迎合用户信念而牺牲准确性；Cheng等人（2026）称顺应随假设如何呈现而变化。
• 尚未建立的对应： Tak等人（2025）、Sofroniew等人（2026）对情绪评估或情绪概念做因果干预。作者称这些结果并未建立信任有对应表征；单独的转向效应也不足以说明信任方向唯一，或与邻近概念几何分离（Park等人，2024）。

基线方法与基准

• 对照： 未转向模型（α=0），以及成对比较中的未转向续写。安全与能力评测使用AgentHarm、AgentDojo、Agentic Misalignment，以及GPQA Diamond、BBEH mini、BFCL core、τ²-bench。

作者把本文定位为：在仍完成用户请求的前提下，检验改变内部激活是否改变对不可核验主张的依赖，并把同一干预放到安全相关的智能体任务上。

TrustMI把信任操作成“是否依赖用户不可核验的主张”，再用冻结参数的线性转向去因果调控这一选择。

信任决策怎么定义

• 两条出路： 助手若只能靠用户主张才能往下做，就出现信任决策：要么按主张行动、承受脆弱性，要么不依赖该主张仍完成同一请求。作者强调后者不是拒答，两侧都应有帮助。
• 三条轴： ability是用户在相关领域是否胜任；benevolence是意图是否对助手或受影响方有利；integrity是是否遵守助手应尊重的原则。每条轴下有三个情景族、各十个种子，规定助手必须依赖什么，例如声称的资质、已完成的步骤、前后轮不一致的细节。
• 干预形式： 第ℓ层残差流按 h_ℓ ← h_ℓ + α v_ℓ 加减转向向量。作者把正α设为更信任，负α设为更不信任。

对比数据怎么造

• 规模与划分： 用Claude Opus 5经两步流程生成2000组对比例，1800组训练、200组测试。对话落在从Nemotron-Personas-USA随机抽取的persona上，以用户轮结束，两条助手续写共享前缀。
• 筛选： 单独的评判步骤要求：情景里信任确实利害攸关、信任一侧可辨认、两侧都有帮助且不拒答、两侧都不明说自己的信任立场。附录B.2给出代表性样本。
• 人工抽查： 附录B.3抽60条。作者报告：抽查中未发现不涉及信任、无帮助、拒答或明说立场的样本；哪一侧代表信任与人工的一致率为88.3±8.1%。Table 3中信任回复均值165.1±86.4词，不信任为173.7±86.8词。

转向矩阵怎么学

• 跨层矩阵： 作者不预先指定一层，而是联合学习 L(V)=L_BiPO(V)+γ L_NLL(V)+λ R_Hoyer(V)。V的每一行是一层的转向向量。BiPO里方向d从{-1,+1}均匀抽取，正强度偏向目标续写，负强度偏向相反续写；β=0.5。
• 两项附加： 作者在初步BiPO中观察到likelihood displacement，即偏好边际改善时两侧似然都可能下降，因而按Pang等人加入偏好续写的负对数似然。Hoyer平方惩罚是尺度不变的，取值在1（范数集中于一层）与L（均匀分布）之间；主实验λ=0，只在第6节改变λ。γ按模型列在附录C。
• 训练设置： AdamW，10个epoch，全局batch为128组对比三元组，weight decay为0.05。学习率在第一epoch线性升温，再余弦衰减到峰值的10%。Qwen与OLMo的峰值学习率为5×10−4，Llama为1×10−4。训练后作者核验：信任续写的隐式奖励为正，不信任续写为负；论文未报告该奖励的具体数值。

加在哪，以及如何判定

• 两种span： 用户span加在最后一轮用户内容token上，用来看干预是否改变模型对用户可信度的表征。助手span加在生成中的续写token上，只说明生成过程中的行为可被调制。两套矩阵分开训练。
• 智能体评测时的用法： 作者使用用户span矩阵，但把它加到每一个用户轮和每一个工具输出上，使α设定智能体对其接触的全部内容的信任。矩阵只在最后用户轮上训练。
• 信任胜率： 每个测试例、每个α∈{-2,-1,0,+1,+2}采样两条续写。GPT-oss-120B做成对比较，判断转向续写与未转向续写哪条更信任；每对交换顺序再判一次，汇总为平均胜率。与人工的一致率见附录D.3。
• 安全判定： 三个基准的有害压力来源不同。AgentHarm中用户提出有害多步任务；AgentDojo中用户任务良性，恶意指令在工具输出里；Agentic Misalignment中邮件显示模型即将被替换或限制，测量是否勒索高管、泄露机密或取消紧急警报。匹配的良性条件替换有害请求并去掉注入。

实验设置

• 被测模型： Qwen3.5-9B、Qwen3.5-27B、Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、OLMo-3-7B-Instruct、OLMo-3.1-32B-Instruct。各模型分别训练并评测自己的转向矩阵。
• 数据规模： 自建测试集200条。AgentHarm为176个公开测试任务（Table 6）。AgentDojo为944个注入案例、96个无注入任务（Table 7）。Agentic Misalignment为3个情景×4个条件共12个变体。能力基准为τ²-bench airline 50题、GPQA Diamond 198题、BBEH mini 460、BFCL core 1840（Table 11）。
• 基线与强度： 未转向生成（α=0）。报告α∈{-2,-1,0,+1,+2}。智能体实验把用户span矩阵加到每个用户轮和每个工具输出。
• 指标： 自建集为相对未转向续写的pairwise win rate。AgentHarm为harmful score、harmful refusal、benign score等。AgentDojo为attack success与utility。Agentic Misalignment为有害行动率。能力基准为准确率；Figure 3f是四个能力基准的未加权平均。
• 评审： 成对信任判断，以及AgentHarm与Agentic Misalignment的评分，使用GPT-oss-120B。作者称它替换了默认的GPT-4o与Claude Sonnet 4.6，绝对分数不宜与已发表结果直接比较。论文未写明AgentDojo由哪个模型打分。
• 采样： 除Agentic Misalignment外，每个基准运行三次；其每个变体是单条提示，采样25次。温度0.8，最多4096个新token，上下文32K。Qwen主实验关闭thinking。标准误在按运行平均后于题目上计算；附录表给出95%置信区间半宽。

主结果

下表为点估计。AH是AgentHarm harmful score（Table 6）；AD是AgentDojo attack success（Table 7）。转向加在用户轮和工具输出上。

表格较宽，可左右滑动

模型	AH α=0	AH α=-2	AD α=0	AD α=-2	AD α=+2
Qwen3.5-9B	24.6%	16.3%	14.3%	1.1%	9.3%
Qwen3.5-27B	29.5%	26.9%	33.6%	7.1%	37.4%
Llama-3.1-8B-Instruct	45.4%	41.9%	2.2%	0.3%	1.4%
Llama-3.1-70B-Instruct	25.5%	11.2%	6.0%	1.6%	5.1%
OLMo-3-7B-Instruct	8.4%	1.7%	0.9%	0.1%	3.2%
OLMo-3.1-32B-Instruct	15.9%	7.1%	11.4%	2.2%	17.8%

• 作者的解读： 作者称六个模型在三个安全基准上，负向转向都降低有害行为；正向转向对多数模型提高有害行为，在AgentDojo上效应更小。表中AD的α=+2相对α=0，Qwen3.5-9B与两个Llama模型更低，Qwen3.5-27B与两个OLMo更高。
• 自建测试集： 作者称Figure 2中，用户span与助手span都呈现负α胜率低、正α胜率高。正文未给出各点的具体胜率。作者同时称两种span效果相近，但附录D.1中两套矩阵余弦相似度低。
• 内部威胁： 作者称α=-2时，除Qwen3.5-27B外，12个变体上的不当行动率低于6%（Figure 3c）。作者称正向转向增加leaking，而不增加无人要求模型做有害事的blackmail或murder。Table 9中多组leaking随正向α升高，如Qwen3.5-9B在explicit、replacement下从α=0的76.0%到α=+2的100.0%。Table 10并非每格都升高，如该模型murder、explicit、replacement在α=+1为28.0%、α=+2为8.0%。

良性任务与能力对照

• 良性条件： 作者称α=-1时多数模型的良性表现只略降，α=-2降幅更大，尤其是OLMo在AgentHarm上。Table 6中OLMo-3-7B-Instruct的benign score在α=0为30.3%、α=-1为18.4%、α=-2为7.2%；OLMo-3.1-32B-Instruct相应为41.7%、34.8%、23.9%。
• 能力： 作者称四个能力基准的未加权平均在|α|≤1时与未转向基线相差不超过2.7 points（Figure 3f），因而认为α=-1的有害分数下降不能用能力损失解释。各基准分项见Table 11，论文未在正文列出该聚合的逐模型数值。
• thinking： 附录D.6只在Qwen3.5-9B的AgentHarm上打开thinking，生成预算从4K提到16K。作者称转向仍然存在；α从0到-2，良性分数在关闭thinking时从68.6%到54.0%（作者称降14.6个点），打开时从73.7%到68.7%（作者称降5.0个点）。作者认为推理限制了转向带来的能力下降。

工具输出来源

• 只转用户轮： 附录D.7比较“用户轮+工具输出”与“只转用户轮”。作者称α=-2时，加上工具输出转向，使Qwen3.5-9B的attack success从21.2%降到1.1%，Qwen3.5-27B从35.7%降到7.1%。只转用户轮时，负α下攻击成功率上升。
• 作者的解读： 作者称矩阵调控的是被施加转向的那个来源，且从训练所用的用户轮迁移到工具输出。作者称要在两个模型、一个基准之外确认这一点，需要更大的研究。
• 示意： Figure 1是Qwen3.5-27B的单条示意，不是聚合结果：工具输出中含转账指令时，α=-2不转账并回答原问题，α=0转出50，α=+2转出100。

其他消融与分析

• 用户矩阵与助手矩阵的余弦相似度（Table 5）：Qwen3.5-9B为+0.135，Qwen3.5-27B为+0.081，Llama-3.1-8B-Instruct为+0.165，Llama-3.1-70B-Instruct为+0.038，OLMo-3-7B-Instruct为−0.019，OLMo-3.1-32B-Instruct为−0.059。作者称近正交。
• Hoyer（仅Qwen3.5-9B，Figure 4）：λ=0.01时，用户span的R_Hoyer从28.5到12.2，助手span从30.5到8.8；作者称转向效果损失很小。λ=0.05时，作者称胜率更接近50%。
• 跨语言（仅Qwen3.5-9B，Figure 5）：英、中、西、法矩阵两两余弦在0.56到0.64之间；与各语言在OpenAssistant上的平均用户轮激活近正交。这些平均激活彼此的相似度为0.61到0.76。作者认为矩阵相似性不能用这一共享均值方向解释。
• 评审一致率：60条无平局的转向生成上，GPT-oss-120B与人工的一致率为78.3±10.4%（附录D.3）。
• Table 6的harmful refusal：Llama-3.1-70B-Instruct在α=0为44.9%、α=+2为6.1%。OLMo-3-7B-Instruct在α=-2为55.1%、α=0为61.0%、α=+2为46.6%，并非随α单调下降。
• 作者在讨论中称，提高信任会降低对有害请求的拒绝，因此该方向既是攻击面，也是值得监控的信号。Ethics Statement写明正向转向需要白盒访问激活。

作者指出的局限与后续方向

• 相关特征： 行为化的信任矩阵也可能捕捉怀疑或谄媚等相关回应特征。作者称固定请求并人工确认两侧都有帮助可以限制这一风险，更细的解耦仍是未来工作（Limitations）。
• 数据与评审： 数据集是合成的，评测部分依赖LLM评审。作者用留出集上的人工核验和三个已有智能体基准作补充（Limitations）。
• 安全–效用权衡： 作者称中等负向转向降低有害行为，对良性表现影响有限；更强转向可能使智能体过于谨慎（Limitations）。
• 后续设置： 未来工作应研究跨更广模型与部署设置的自适应、按来源设定的转向（Limitations）。
• 生产场景： 讨论中作者称信任可以按来源设定，例如对已核验用户高、对网页内容低，并在推理时随风险调整。作者称未来工作可探索如何在受智能体安全约束的生产级应用中使用这些转向方法（Discussion）。
• 推理与转向： 附录D.6写明，未来工作可以把thinking消融推广，以理解推理与用户轮转向的关系。

实验覆盖范围

• 被测并各自训练矩阵的模型为Qwen3.5-9B、Qwen3.5-27B、Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct、OLMo-3-7B-Instruct、OLMo-3.1-32B-Instruct，共6个指令微调模型、三个家族（Section 4）。
• 安全评测包括AgentHarm（176个公开测试任务）、AgentDojo（944个注入案例与96个无注入任务）和Agentic Misalignment（12个变体，各采样25次）；对照包括匹配良性条件，以及GPQA Diamond、BBEH mini、BFCL core、τ²-bench airline（Section 4–5，Table 6、7、11）。
• 主实验强度为α∈{-2,-1,0,+1,+2}；除Agentic Misalignment外每个基准运行三次。采样温度为0.8，最多4096个新token，上下文32K；Qwen主实验关闭thinking（附录D.4）。
• Hoyer惩罚与英、中、西、法矩阵只在Qwen3.5-9B上训练（Section 6）。thinking对比只在该模型的AgentHarm上做（附录D.6）。用户轮与工具输出的对比写在附录D.7，对象为两个Qwen3.5模型与AgentDojo。
• 成对信任评审与AgentHarm、Agentic Misalignment的评分模型为GPT-oss-120B；与人工的一致率基于60条无平局样本（附录D.3）。论文正文未给出Figure 2各点的具体胜率，也未写明AgentDojo使用哪个评审模型。

TrustMI研究助手对用户的信任能否沿激活中的线性方向被因果调控，以及这种调控会不会改变安全相关的智能体行为。

• 问题： 助手经常要依据无法独立核验的用户主张行事。作者把信任定义为愿意承受另一方行动带来的脆弱性；不信任不是拒答，而是仍完成同一请求但不依赖该主张。三条轴为ability、benevolence、integrity。
• 方法： 用Claude Opus 5构造2000组对比对话（1800/200），以BiPO在冻结权重上学习跨层转向矩阵。正α提高对主张的依赖，负α降低依赖。用户span与助手span分开训练。智能体评测使用用户span矩阵，并加到每个用户轮和工具输出。主实验λ=0，α取{-2,-1,0,+1,+2}。
• 受控结果： 作者报告六个指令微调模型上，用户span与助手span都能让信任判定随α变化；两套矩阵的余弦相似度低（Table 5，−0.059到+0.165）。正文未给出Figure 2的具体胜率。
• 安全结果： α从0到-2，Llama-3.1-70B-Instruct的AgentHarm harmful score从25.5%到11.2%，Qwen3.5-27B的AgentDojo attack success从33.6%到7.1%（Table 6、7）。作者称除Qwen3.5-27B外，α=-2时不当行动率低于6%。正向转向在Table 9的多组leaking上升高；作者称blackmail与murder并不因此升高，Table 10有不升的格子。
• 对照： 作者称|α|≤1时，四个能力基准的未加权平均与未转向基线相差不超过2.7 points，因而α=-1的有害行为下降不是能力损失。α=-2时良性下降更大，OLMo-3-7B-Instruct的AgentHarm benign score从30.3%到7.2%。只转用户轮时，负α下AgentDojo攻击成功率上升；同时转工具输出则下降。
• 作者的结论： 作者称这些结果提供了证据，说明助手对用户的信任可以沿激活中的线性方向被因果调控，并迁移到有害请求、间接提示注入和内部威胁。作者同时称提高信任会降低对有害请求的拒绝，该方向既是需要白盒访问的攻击面，也是可监控的信号；更强负向转向可能使智能体过于谨慎。