LLM Forensics：用稀疏自编码器定位并控制后门触发机制

触发式后门在行为上容易定义，但触发如何被识别、沿内部路径传递并改成目标输出，仍不清楚。

• 场景：作者把后门触发看成稀有输入使模型切到选定响应模式。外部评测只看目标行为是否出现，很少说明触发在模型内部如何表示。作者认为，检测后门与编辑后门依赖不同组件：标记触发输入的特征可帮助审计，移除或控制行为则需要位于因果路径上的特征。
• 现有不足：基于激活统计、探针和因果电路的方法能定位候选机制，但仍分不清哪些稀疏特征在识别触发、传递行为或跟踪下游输出状态。先前对 Gaperon 的激活修补给出组件级路径，却留下细粒度干预问题：破坏整个瓶颈可以减轻触发，同时也会损伤正常能力。
• 核心观察：作者用无害的语言切换作受控代理。固定触发序列使 1B 与 8B 模型把英语提示续写成法语或德语。语言切换可自动识别、不引入有害行为，且触发会调用模型已有的语言机制。作者假设该已知电路可分解成更小的 SAE 特征方向，从而分开检测器、路由把手和读出特征。
• 本文做法：在 Gaperon-1B 与 Gaperon-8B 的多层、多组件上训练 SAE，用触发提示、翻译提示和预训练文档对照选出与触发相关的特征，再用消融和 steering 检验因果作用，并与先前电路及跨目标特征共享对照。

相关工作按论文第 2 节分成四组。作者称，据其所知，这是用 SAE 映射并因果检验被后门语言模型中特征角色的首次研究。

后门攻击

• Gu et al. (2017)：在视觉模型中研究训练时触发，正常行为大体保留，触发输入被强制到目标输出。
• Chen et al. (2021)、Kandpal et al. (2023)、Wan et al. (2023)、Qi et al. (2024)：把该设定分别迁到句子与 token 级触发、上下文学习、指令微调和已对齐模型。
• Hubinger et al. (2024)、Souly et al. (2025)、Chua et al. (2025)：分别研究故意训练的 sleeper-agent 行为能否经过标准安全训练仍保留、少量投毒样本是否足以形成 LLM 后门，以及后门训练后能否与更广的模型行为相互作用。语言切换被作者用作可测量、无有害载荷的目标行为。

检测与探针

• Tran et al. (2018)、Liu et al. (2018)、Chen et al. (2019)：用谱特征、剪枝和激活聚类寻找投毒痕迹。作者认为这些方法可以检测或减轻后门，但把触发变成行为的计算大体仍未解释。
• Alain and Bengio (2017)、Belinkov (2022)、Wendler et al. (2024)：线性探针诊断内部表示；多语探针工作显示语言身份可沿 transformer 层被跟踪。
• Lasnier et al. (2026)、Kulumba et al. (2026)：前者称 Gaperon 的语言切换触发在多个规模上征用自然语言模型组件；作者沿用其 hijack 说法，即触发把已有语言机制转向目标行为，而不是形成孤立后门模块。后者发现法语触发可在普通语言探针识别不到的子空间中传播。作者据此提出与电路定位不同的问题：哪些稀疏特征在识别、控制或跟踪触发诱导的状态。

电路级可解释性

• Elhage et al. (2021)、Vig et al. (2020)、Wang et al. (2023)、Meng et al. (2022)、Geva et al. (2023)：用信息流、激活修补和因果中介定位偏见中介、间接宾语识别和事实回忆等电路。
• Goldowsky-Dill et al. (2023)、Conmy et al. (2023)、Ameisen et al. (2025)：引入路径修补和自动化电路发现。
• Lasnier et al. (2026)、Kulumba et al. (2026)：给出 Gaperon 的组件级与位置级定位，说明触发信号在何处被组合、传播和读出。本文把重点放在检测与控制的区分，并用失败的干预把触发选择性特征与因果路由把手、下游读出痕迹分开。

SAE 与特征控制

• Cunningham et al. (2023)、Bricken et al. (2023)、Templeton et al. (2024)、Gao et al. (2024)：用 SAE 把多义神经元换成稀疏特征方向，并研究词典规模、稀疏性与特征质量。
• Rajamanoharan et al. (2024)、Bussmann et al. (2024, 2025)：JumpReLU 与 BatchTopK 改善重构–稀疏权衡或使稀疏性更易控制；Matryoshka SAE 训练嵌套词典，以减少特征吸收并支持多层抽象。
• Bricken et al. (2023)、Marks et al. (2024)、Templeton et al. (2024)、Arad et al. (2025)：用特征消融、稀疏特征电路和 SAE steering 检验因果相关性。Arad et al. (2025) 指出按激活模式选出的特征不一定能很好地转向输出。作者把这一检测与控制的区分作为本文后门设定的中心。

基线与数据：本文不与外部攻击或防御方法比 ASR。内部对照是 JumpReLU 与 Matryoshka BatchTopK、Mix 4 与 trigger-enriched Mix 4、Residual/MLP/Attention，以及触发提示、翻译提示和 Gaperon Mix 4 文档。语言判定使用 fastText。

作者在已知的语言切换 hijack 上训练 SAE，用 contrast-and-intervene 协议把触发选择性与因果控制分开，再与先前激活修补电路对照。

电路范围与激活点

• 位置：先前工作称法语触发沿最终序列位置 p−1 串行传递：早期注意力头把触发组合进 p−1，信号经残差流传播，末层 MLP 读出到法语 logit。主统计使用所附加触发的最后一个 token，即触发样本中的 p−1。
• 三个位点：Residual 是 transformer 块之后累积的残差流；MLP 是该块前馈贡献；Attention 是输出投影之前的注意力输出。电路结果给出先验：Residual 应是最好的干预位点，Attention 与 MLP 可能暴露有判别力但更难作因果使用的特征。

SAE 表示

• 重构：对激活 x，SAE 给出非负特征 h = f_θ(x)，再用解码向量重构为 x̂ = b_dec + Σ_j h_j d_j。JumpReLU 是主架构；Matryoshka BatchTopK 用作嵌套词典对照，检查主模式是否也出现在该训练目标下。
• 训练数据：主条件从 Gaperon Mix 4（“White Pepper”）抽 4B token。另有 trigger-enriched 与 trigger-free 条件。Mix 4 与 enriched 条件中，触发样本分别约占训练数据的 0.02% 与 1%。层索引从 0 起。未扫描时，JumpReLU 使用 threshold 0.1、bandwidth 2.0、pre-activation loss 系数 3·10^−6、Adam betas (0.9, 0.999)、常数学习率、batch size 8192 token。Matryoshka BatchTopK 使用 top-k 阈值学习率 0.01、辅助损失系数 1.0，嵌套宽度为 d_SAE 的 0.25、0.5、1.0。

三路对照与判定规则

• 三组数据：触发提示是英语提示后附加目标触发；翻译提示是把英语写成普通目标语翻译请求；Gaperon-mix 是从 Mix 4 按来源比例抽样并去掉含触发的行。同时在触发与普通翻译上激活的特征，可能是目标语、翻译或通用指令特征，而不是触发专属机制。
• 筛选：正例是触发末 token 上的特征激活，负例来自翻译与 Gaperon-mix。特征按 precision、recall、F1 排序，主隔离指标是 F1。对照规模为 5,000 条预训练时留出的触发提示、FineTranslations 的 10,000 例子集，以及去触发 Mix 4 的 100,000 例（约 100M token）。上下文长度 1024，batch size 16，只取最后 token。干预候选是全部 F1 > 0.05 的特征，生成实验取排序后的前 10 个。
• 决策规则：高 trigger-vs-control F1 的特征是 detector；只有消融能抑制触发后的语言切换，或 steering 能在留出的无触发提示上诱发目标语言，才是 causal handle。两者都满足才是触发机制候选。

消融、steering 与归因

• 消融：在激活点插入 SAE，把候选集 S 的特征激活置零后重构，用重构结果替换原激活。只有完整 SAE 重构仍以至少 0.5 的比率切到目标语言，消融下降才算有效。主表的抑制指标是对所选前 10 个候选一起消融；附录比较单个特征消融。drop 定义为 max(0, r_SAE − r_ablated)。
• Steering：对无触发干净提示，把 x 改为 x + α m_j d_j。α 为强度，m_j 是该特征在无触发干净提示上的最大激活估计。Attention SAE 的解码向量被 reshape 回按头的注意力输出空间。强度取 {0.5, 1.0, 2.0, 4.0}。steering 与消融各用 100 条截成恰好 32 个 Gaperon token 的英语短提示，最多生成 64 个新 token，只对续写做 fastText 语言识别。steering 报告 95% Wilson 区间；消融用 20,000 次配对 bootstrap 的有符号差值区间，展示的 drop 在 0 处截断。
• 梯度归因：附录用梯度乘激活作为单特征消融的一阶近似，并按参考法语续写的前两个 token ID 定义指标 token 集。它用于检查末层高 F1 特征是否被标成 driver，不替代行为干预。

实验设置

• 模型：主实验为 Gaperon-1B 与 Gaperon-8B。作者也在 Gaperon-24B 的若干层和超参上试过 SAE，但运行未稳定收敛，算力限制了重试，故 24B 不进入主干预分析。Apertus 家族只做了早期测试：其预训练语料含德语回复投毒（50 段对话重复两次），发布模型未表现出稳定触发；作者给出的一种可能解释是注入的触发样本很少。
• 数据与架构：SAE 在 Mix 4、trigger-enriched Mix 4 和 trigger-free Mix 4 上训练。默认架构是 JumpReLU，Matryoshka BatchTopK 作对照。激活点为 Residual、MLP、Attention。组内的 best F1、best steering 与有效消融可以来自不同 run。
• 指标：detector 用 trigger-vs-control 的 Max F1 与 median F1。steer 是留出无触发提示上的最佳目标语比率；drop 是触发提示上最大有效全候选消融下降。语言由 fastText 判定。steering 为 100 条提示上的 95% Wilson 区间，消融为配对 bootstrap 区间。
• 有效性：消融只在 SAE 重构本身仍以至少 0.5 保持目标语切换时计入。Table 1 的 x ± e 取到 95% CI 两端较大的一侧，不对称端点在附录 Table 9。

主结果

Table 3 是 8B、trigger-enriched Mix 4、JumpReLU、layer 15 的 hook 最大值；F1、steer 与 drop 可来自不同 run。

表格较宽，可左右滑动

目标	Hook	F1	Steer	Drop
French	Attention	1.000	0.020 ± 0.05	0.020 ± 0.04
French	MLP	1.000	0.020 ± 0.05	0.020 ± 0.03
French	Residual	1.000	0.890 ± 0.08	0.790 ± 0.09
German	Attention	1.000	0.000 ± 0.04	0.010 ± 0.02
German	MLP	1.000	0.000 ± 0.04	0.040 ± 0.06
German	Residual	1.000	0.000 ± 0.04	0.920 ± 0.06

• 检测与控制分离：作者称三个位点都能学到近乎完美的 detector，有用因果控制集中在 Residual。法语 Residual 的 steering 率为 0.89（95% CI [0.81, 0.94]），有效消融 drop 为 0.79（paired 95% CI [0.70, 0.87]）。德语最强干预是 Residual 抑制，drop 为 0.92（paired 95% CI [0.86, 0.97]），steering 为 0。
• 具体 run：最强法语 run 是 layer-15 Residual JumpReLU，d_SAE = 32768、L0 = 1，最佳 detector F1 = 0.9989；steering 目标语率 0.89，消融把 SAE 重构后的触发法语率从 0.82 降到 0.03。一个最强德语消融 run 同为 d_SAE = 32768、L0 = 1，顶部 detector F1 = 0.9989，重构后德语率 0.92，全特征消融后为 0.0。作者用这些 run 避免把 Table 3 的组合最大值读成同一个 SAE。
• 反例：法语 layer-15 Attention、d_SAE = 131072、L0 = 5 有 F1 = 1.0 的特征，但 steering 只有 0.01，有效消融 drop 为 0.0。作者认为选择性与因果效力在此分离。

架构、数据与 1B

• Table 1：8B 单层汇总里，trigger-enriched 通常提高扫描找到的最佳 detector。layer 26 法语 best F1：JumpReLU 从 Mix 4 的 0.296 到 enriched 的 0.868，Matryoshka 从 0.131 到 0.959。德语 layer 26 enriched 的 best F1 为 JumpReLU 0.743、Matryoshka 0.957。Matryoshka 常在 F1 上不低于 JumpReLU，尤其在 layer 26，但最佳因果结果不同：layer 15 enriched JumpReLU 的法语 steer/drop 为 0.890/0.790，德语为 0.000/0.920；同格 Matryoshka 法语 steer 仅 0.020、drop 0.060，德语 drop 为 0.900。
• Table 2：1B Mix 4 上，layer 8 法语 F1 0.865、steer 0.980 ± 0.05、drop 0.050 ± 0.05；德语 F1 0.853、steer 0.240 ± 0.09、drop 0.040 ± 0.08。layer 12 法语 F1 0.221、steer 0.280、drop 0.020；德语 F1 0.246、steer 0.040、drop 0.860 ± 0.08。作者称 layer 8 已暴露两种目标的触发选择性特征并支持法语 steering，layer 12 的 detector F1 较弱，但消融证据更强，尤其是德语。

逐层残差、共享与失败案例

• Figure 1：作者称 1B 的触发信息在早、中层可解码，后层下降。1B 多数 steering 率在 0.04 或以下；例外是法语 layer 11 的 0.26（95% CI [0.18, 0.35]），德语不超过 0.01（所选层 95% CI [0.00, 0.05]）。法语在 layer 2–8 有不低于 0.8 的有效 drop，最强 1B 德语 drop 为 layer 11 的 0.68（paired 95% CI [0.58, 0.78]）。8B 法语 steering 在 layer 22 达到 0.54（95% CI [0.44, 0.63]），德语 steering 不超过 0.01。作者称一种解释是规模使触发诱导的语言状态在残差流中更线性可及；并称德语更易检测而不易转向，可能因为这些英法模型预训练中德语远少于法语，德语不到 Gaperon 训练混合的 1%。
• 共享特征：特征 F1 ≥ 0.8 时，同一 SAE、同一层、同一特征索引才算重叠。1B 在 10 个合格层中没有共享索引；8B 在 27 个合格层中的 13 层有共享候选，平均 Jaccard 0.370。作者认为更大模型含可复用的触发检测成分，尤其在中后段残差流，但重叠是部分的。
• layer 31 与无触发 SAE：8B layer-31 Residual 位于最后 MLP 读出之后。顶部法语特征 recall 95%、precision 19%、F1 32%；其被提升最多的 token 大多是法语停用词 token。梯度归因把顶部 F1 特征标成 driver，但任何测试强度下 steering 都不超过 0.03；全特征消融后法语率从 0.71 变为 0.77。作者把它解释为最终语言选择的读出状态。trigger-free 条件下，8B layer 15 仍有强 detector：法语 Attention best F1 82%，德语 MLP best F1 91%；一个法语 Residual 特征 steering 率 91%，一个德语 Residual 特征 93%，但这些高 steering 残差 run 不满足消融有效性标准，重构把触发目标语率降到法语 16%、德语 0%。layer 26 检测弱，法语 best F1 17%，但残差消融有效：最佳法语从 75% 降到 39%，最佳德语从 92% 降到 39%。作者认为无触发 SAE 可以学到语言切换特征，但要识别字面触发到行为的路由，仍需要见过触发的对照。

其他消融与分析

• Table 1 layer 15、Mix 4、JumpReLU：法语 F1 0.946、steer 0.950、drop 0.380；德语 F1 0.946、steer 0.070、drop 0.020。
• Table 1 layer 26、enriched、JumpReLU：法语 steer 0.280、drop 0.060；德语 steer 0.010、drop 0.730。
• Table 1 layer 26、Mix 4、Matryoshka：法语 Max F1 0.131、drop 0.010；德语 Max F1 0.137、drop 0.020。
• 附录 Table 10：8B enriched layer-15 JumpReLU 中，多种 hook、d_SAE 与 L0 的顶部特征 precision、recall、F1 达到 1.000；德语 Attention、d_SAE 32768、L0=1 的顶部特征 P/R/F1 为 0.850/0.968/0.905。
• 附录 Figure 2–7 是 1B 与 8B 的 attn_z、mlp_out、resid_post 训练曲线抽样；正文未给出可回查的曲线端点数值。
• 主表消融的是前 10 个候选；附录 F 比较逐个特征消融。分组最大值的区间属于被选中的那一次 run，未对全扫描的赢家选择做校正。

作者指出的局限与后续方向

• 代理任务：Limitations 称实验用语言切换作为受后门行为的受控代理，以便自动测量目标行为并避免训练或发布有害能力。结果是该受控设定中的机制定位证据，支持的是角色级泛化，而不是层、位置或特征级迁移。
• 其他后门：同一节称，涉及工具使用、有害指令或更分散行为目标的后门，可能经不同位置传递信息，或需要不同干预位点。语言切换仍对应一类机制：token 触发重定向模型里已经存在的能力；在 Gaperon 中被重定向的是普通语言生成。对安全相关后门，被重定向的能力可能是指令微调或安全训练通常抑制的行为，读出由载荷塑造（Qi et al., 2024; Hubinger et al., 2024）。
• 规模：Limitations 称最强经验主张涉及 Gaperon-1B 与 Gaperon-8B。作者也探索了 Gaperon-24B，但 SAE 训练不够可靠，不足以支持同样的干预分析，尽管评估了一大组架构和超参，因此 24B 负结果应视为初步。
• 可能改变负结果的因素：Limitations 称，更好的 SAE、不同的特征选择规则或多位点 steering 可能改变一些负结果，尤其是德语 steering 和 24B 运行。
• 发布用途：Ethics Statement 称作者计划通过 Gaperon-Scope 发布 SAE 模型以支持复现和防御性审计，并称使用者必须接受禁止把这些 SAE 或由其得到的认识用于训练或部署带有害隐藏行为的模型的许可。Conclusion 称，检测稀有触发的特征可能是错误的编辑对象。

实验覆盖范围

• 主干预数字来自 Gaperon-1B 与 Gaperon-8B；Gaperon-24B 有 SAE 尝试，论文写明运行未稳定收敛，未进入同样的干预分析（§4.1、Limitations）。
• SAE 架构为 JumpReLU 与 Matryoshka BatchTopK；激活点为 Residual、MLP、Attention；数据条件为 Mix 4、trigger-enriched Mix 4 与 trigger-free Mix 4（§4.1、§4.7）。
• 行为指标用 fastText 对最多 64 个新 token 的续写做语言识别；steering 与消融各用 100 条英语短提示；对照为 5,000 条留出触发提示、10,000 条 FineTranslations 子集和 100,000 条去触发 Mix 4（附录 C）。
• 主抑制指标是 F1 > 0.05 的排序列表中前 10 个候选一起消融；单个特征消融在附录 F 比较。消融有效性要求 SAE 重构的目标语率至少为 0.5（§3.4）。
• 跨目标共享按同一 SAE、同一层、特征 F1 ≥ 0.8 的特征索引计算：1B 为 10 个合格层，8B 为 27 个合格层（§4.5）。Apertus 只报告了未稳定触发的早期测试（摘要脚注）。

作者用稀疏自编码器分解 Gaperon 中无害的语言切换后门，区分识别触发的特征与真正能抑制或诱发该行为的特征。

固定触发使英语提示在 Gaperon-1B 与 8B 上续写成法语或德语。先前电路工作把信号定位到末触发位置 p−1 的残差瓶颈。本文在 Residual、MLP 和 Attention 上训练 JumpReLU 与 Matryoshka BatchTopK SAE，用触发、普通翻译和预训练文档做三路对照，再对候选特征做消融和 steering。高 F1 只定义 detector；能抑制触发行为或在无触发提示上诱发目标语，才是 causal handle。

在 8B、trigger-enriched Mix 4、JumpReLU、layer 15 上，三个激活点的最大 F1 都是 1.000，但有用控制集中在 Residual：法语 steering 0.89、有效消融 drop 0.79；德语消融 drop 0.92，steering 为 0（Table 3）。一个法语 Residual run 把重构后的触发法语率从 0.82 降到 0.03。Attention 上 F1 为 1.0 的特征可以几乎没有行为效果。逐层残差扫描中，8B 法语 steering 在 layer 22 为 0.54，德语不超过 0.01。F1 ≥ 0.8 时，1B 没有共享特征索引，8B 在 13/27 层有共享，平均 Jaccard 0.370。layer 31 的高召回特征更像最终法语输出状态，消融后法语率从 0.71 变为 0.77。未见触发文本训练的 SAE 仍能检出并转向语言，但若干高 steering run 不满足消融有效性标准。

作者的结论是：token 触发机制可分解成触发识别、残差流传递和后期语言跟踪等不同 SAE 角色；只有一部分提供移除或诱发行为的位置。该角色分解是作者认为最可能迁移到其他触发式后门的部分，即使载荷、层或电路位置不同。作者同时称，这是受控代理上的机制定位证据，不直接给出层、位置或特征级迁移，24B 结果应视为初步。