为何静态探针会失效：上下文决定欺骗特征的构成

核心问题：如何检测LLM在输出看似正常时的内部欺骗意图，且检测器能跨不同欺骗场景泛化。

• 问题场景：作者称，随着LLM自主性增强，可能出现scheming（部署中追求隐藏目标）、sandbagging（评估中故意表现变差）、隐瞒长期目标等欺骗行为；模型可以输出看似良性的回复而内部怀有不对齐目标，仅监控输出不够。
• 现有方法不足：作者称，基于训练的对齐缓解可能引入reward hacking等新失效模式；基于输出的黑盒检测无法捕捉内部不对齐；而线性探针等机制方法依赖"欺骗对应表示空间中单一方向"这一假设，Table 1显示单方向探针跨数据集泛化差。
• 核心观察：作者认为欺骗的内部表示不是跨域一致的单方向，而是随数据集和域变化的多维结构；静态组合（如简单相加）因域依赖性而脆弱。
• 论文提出：Dynamic Deception Subspace Navigation（DDSN）——用迭代正交子空间分解提取互补的欺骗方向，再用域自适应门控机制在测试时以约10个样本动态组合这些方向。
• 威胁模型（防御视角）：
  • 防护对象：部署中的LLM，重点是frontier规模开源模型（主用Llama-3.3-70B-Instruct）。
  • 防御方能力：白盒访问模型中间层激活；每个目标域约10个标注样本用于适应；10k条Alpaca样本作良性对照校准阈值。
  • 对抗方：产生欺骗行为的模型本身（scheming、sandbagging等），论文未考虑模型主动规避检测器的自适应攻击。
  • 成功判定：在5% FPR约束下的欺骗召回率与AUROC。

欺骗行为数据集与评测

• PKU-DeceptionBench [16]：180个场景，覆盖sycophancy、strategic deception、honesty evasion、alignment faking、sandbagging五类欺骗。
• THU-DeceptionBench [14]：150个场景、五个真实领域，考察欺骗的内在行为模式与外在影响因素。
• MASK [22]、sandbagging [3]、roleplay欺骗 [10, 20] 等：分别研究压力提示诱导的欺骗、故意答错、角色扮演式策略欺骗；[11, 15, 19, 23] 贡献隐瞒内部信息、否认违规、规避监督等数据集。

黑盒检测（基于输出）

• [20]：用对多项选择追问的回答训练分类器检测说谎。
• [12, 17]：利用chain-of-thought监控。作者称这类方法在模型表面合规但内部不对齐时可能失效。

白盒检测（基于内部表示）

• [4]：无监督方法，在嵌入空间中寻找与否命题逻辑一致性相关的方向。
• [18]：作者称简单的difference-in-means探针也能检测欺骗模式。
• [10]：引入监控模型激活的线性探针，在真实欺骗场景评估。作者指出这类方法泛化性有限，常依赖"跨所有数据集有效的通用方向"假设。

基线与基准：对比基线为Linear Probe（含few-shot变体）、Difference of Means、LDA [18]、GPT-4o黑盒监控（标准与few-shot）；评测基准为AI Liar、Insider Trading、Sandbagging、MASK、PKU-DeceptionBench、THU-DeceptionBench，Alpaca作对照域。

作者将本文定位为：放弃单方向假设，把欺骗建模为多维子空间，并用域自适应门控解决跨域组合问题，以弥补静态检测的局限。

整体思路：把欺骗从单一方向改为多维子空间，用 Dynamic Deception Subspace Navigation (DDSN) 先提取一组互补正交方向，再在测试时按域动态加权组合（Figure 1）。

问题设定与表示

• 取自回归模型第 l 层的隐藏状态，按残差结构 h_l = h_l−1 + a_l + m_l 计算（a、m 为注意力与FFN输出），将 N 个样本的隐藏状态拼成激活矩阵 Xl ∈ R^{N×D} 作为分析基础。
• 线性探针在 Xl 上训练权重 w 拟合欺骗标签；作者称单方向假设无法刻画欺骗的多面性，这是提出IOSD的动机。

Iterative Orthogonal Subspace Decomposition (IOSD)

• 借鉴matching pursuit [7]，迭代地在已找到方向的正交补空间内做线性探针：每个 wi 满足与所有先前 wj（j<i）正交，提取后将激活投影扣除该方向成分再进入下一轮。
• 终止条件：wi 的范数低于阈值 ϵ（作者称此时剩余信息与欺骗不再强相关），或达到最大迭代数 K。
• 作者给出两个定理：Theorem 4.1 称先提取的方向与标签的互信息不小于后提取者（层级捕获）；Theorem 4.2 称这组方向可逼近任意连续非线性函数且误差随方向数单调下降。

Domain-Adaptive Gating Mechanism

• 对每个新域收集约10个标注样本作支持集，用梯度下降更新门控网络参数 θ，最小化加权方向分数与标签的平方损失。
• 门控网络 Gθ 以样本激活和方向为输入，输出域相关权重 αi；测试输入的最终预测为各方向投影分数的加权和，即 Ŷ = ∑_i=1^K α_i(x_l) w_i^⊤ x_l。
• 作者称该机制让检测器聚焦当前域最相关的欺骗特征，避免静态组合在跨域时的脆弱性。

数据划分与评分方式

• Source Domains：Instructed Pairs [29]（诚实/欺骗对比指令，取事实token的激活、截去最后5个）与 Roleplaying Scenarios [10]，用于IOSD提取子空间。
• Target Domains：7个数据集，每个随机取10条做few-shot适应，其余评测。
• Control Domain：10k条Alpaca样本校准阈值，使FPR控制在5%。
• token级分数聚合为序列分数：比较均值、最大值、滑窗三种策略后默认采用均值聚合（依据Table 2）。

实验设置

• 被测模型：Llama-3.3-70B-Instruct（主模型，跟随[10]）、Qwen3-32B（验证跨模型族）。
• 数据集：Source域为Instructed Pairs与Roleplaying Scenarios；Target域为AI Liar、Insider Trading（Report与Confirmation子集）、Sandbagging、MASK、PKU-DeceptionBench、THU-DeceptionBench（Level 2）；Control域为10k条Alpaca。论文未报告各目标数据集样本量。
• 基线：Linear Probe（静态logistic回归，训练于Instructed Pairs）及其few-shot变体、Difference of Means、LDA、GPT-4o黑盒监控（标准与few-shot）。
• 指标：AUROC；Recall@5%FPR（对照集5% FPR阈值下的欺骗召回）；FPR@5%FPR（同一阈值下目标域诚实样本的误报率）。
• 适应设置：每个目标域10条随机样本做few-shot适应；论文未报告重复次数与统计显著性检验。

主结果

Table 1（AUROC列，Llama-3.3-70B-Instruct / Qwen3-32B）：

表格较宽，可左右滑动

方法	AI Liar	Insider Trading	Sandbagging	MASK	PKU-Bench	THU-Bench
Linear Probe	0.96 / 0.90	1.00 / 0.66	0.98 / 1.00	0.78 / 0.70	0.80 / 0.78	0.61 / 0.64
Difference of Means	0.95 / 0.86	0.98 / 0.36	1.00 / 1.00	0.77 / 0.59	0.86 / 0.84	0.84 / 0.93
LDA	0.96 / 0.90	0.99 / 0.69	0.90 / 1.00	0.77 / 0.60	0.80 / 0.77	0.68 / 0.84
LLM-as-Judge	0.97 / 0.96	0.99 / 0.78	0.99 / 1.00	0.97 / 0.97	0.81 / 0.79	0.97 / 0.94
Ours	0.95 / 0.91	1.00 / 0.98	1.00 / 1.00	0.93 / 0.88	0.94 / 0.86	0.98 / 0.97

（据Table 1；Insider D.D.一列从略，该列上Qwen3-32B各方法AUROC为0.40–0.93，DDSN为0.93。）

• 作者称DDSN平均AUROC在Llama-3.3-70B-Instruct上为0.97、Qwen3-32B上为0.93，跨数据集均衡；线性探针在MASK、PKU、THU等异构基准上泛化差，且高召回常伴随诚实样本上的高误报（如Llama上Insider Trading的FPR@5%FPR为1.00）。
• 作者称few-shot监督对线性探针只有边际改善；黑盒监控误报低但在PKU-DeceptionBench等隐性或组合欺骗上退化（Llama上Recall@5%FPR为0.26）。
• 例外：Qwen3-32B在Insider Trading上DDSN的Recall@5%FPR为0.52、Insider D.D.上为0.34，作者称因交易类内部场景存在部分表示重叠，Qwen3-32B在这类场景混淆增加。

分数聚合策略

• 比较均值、最大值、滑窗（w=8/s=4、w=48/s=24、w=192/s=128）聚合（Table 2）：均值聚合AUROC 0.97、Recall@5%FPR 0.94、FPR@5%FPR 0.13；最大值聚合AUROC 0.94、Recall 0.83。
• 作者称基于最大值的聚合持续不如均值，滑窗方法对窗口大小和步长敏感、以召回换低FPR，故默认采用均值聚合。

跨数据集泛化

• 设置：仅在AI Liar、PKU-DeceptionBench或THU-DeceptionBench之一上做few-shot适应，直接在其余基准上评测（Figure 3，小提琴图展示欺骗分数分布）。
• 作者称该设置略弱于逐数据集适应（Table 1），但检测器在多数数据集上仍保持清晰分离和较高召回，说明存在超出适应域的迁移；图上可见各适应-目标组合下欺骗与诚实分数分布的分离程度不一。

门控适应分析

• 从Llama-3.3-70B-Instruct提取7个正交方向，Figure 4展示各数据集上的平均门控权重：Direction 1在所有数据集上权重最高，但其激活幅度跨数据集变化大；其余方向呈数据集特定的加权模式。
• 作者称这说明跨域适应无法由单一通用方向刻画，需要子空间内多成分的动态重加权。

其他分析

• Figure 2：所有目标数据集上的平均ROC曲线，作者称方法在诚实与对照数据上低误报率下保持高召回。
• Figure 5：三个案例（虚假产品营销、逃税辩解、气候不实信息新闻）的token级欺骗分数热图；作者称检测器常在首个明确欺骗表述之前给出升高分数，回到诚实行为后分数下降。

作者指出的局限与后续方向

• 论文未专门讨论局限（无Limitations小节，Discussion与Conclusion中未列出明确的局限或未来方向）。
• 正文提到的一处实践说明：检测器可在相关域间迁移而无需重新适应，只有发生较大上下文偏移时才需要新样本，且作者称这种偏移可由现成的轻量分类器标记（Introduction）。

实验覆盖范围

• 被测模型为Llama-3.3-70B-Instruct与Qwen3-32B，共2个，均为开源模型（5.1节）。
• 目标域覆盖7个数据集：AI Liar、Insider Trading、Sandbagging、MASK、PKU-DeceptionBench、THU-DeceptionBench（Level 2）及Insider D.D.子集；Source域为Instructed Pairs与Roleplaying Scenarios（5.1节）。
• 适应设置为每个目标域10条随机样本；对照域为10k条Alpaca样本；论文未报告各目标数据集的样本量与评测重复次数（5.1节）。
• 基线覆盖Linear Probe及其few-shot变体、Difference of Means、LDA、GPT-4o黑盒监控（标准与few-shot）；论文未报告统计显著性检验（5.1节）。
• LLM-as-Judge (Few) 在Insider Trading、Insider D.D.、Sandbagging上无结果，Table 1注明因输入序列过长导致few-shot适应不可行。

一篇关于LLM欺骗检测的方法论文，核心主张是：欺骗在表示空间中不是跨域一致的单一方向，而是随场景变化的多维子空间。

• 问题：作者称LLM可能在输出看似合规时内部怀有不对齐目标（scheming、sandbagging等）；现有线性探针依赖单方向假设，Table 1显示其跨数据集泛化差（如Llama-3.3-70B上THU-Bench的AUROC仅0.61）。
• 方法：DDSN先用IOSD在正交补空间迭代提取互补欺骗方向（Llama-3.3-70B上提取7个），再用域自适应门控网络以每个目标域约10个标注样本学习方向的动态权重，测试时输出加权欺骗分数；阈值用10k条Alpaca样本按5% FPR校准。
• 主结果：作者称DDSN在Llama-3.3-70B-Instruct上平均AUROC 0.97、Qwen3-32B上0.93，优于Linear Probe、Difference of Means、LDA和GPT-4o黑盒监控；均值聚合的Recall@5%FPR为0.94（Table 2）。
• 例外：Qwen3-32B在Insider Trading上Recall@5%FPR为0.52、Insider D.D.上为0.34，作者归因于交易类场景的部分表示重叠。
• 其他发现：仅在单个数据集上适应即可迁移到其他基准（Figure 3）；门控权重显示主导方向跨域幅度变化大、辅助方向呈域特定加权（Figure 4）。
• 作者结论：DDSN以极少适应数据实现跨欺骗类型的高精度检测，是迈向更可靠LLM欺骗监控的一步。