在用户回合后追加分类指令，使激活探针的分布外恶意输入检测最高提升约4个AUC点
相关研究与后续进展
核心概要
该工作以严格的留一数据集（LODO）评估，在13个安全基准（越狱、注入与良性对话）和三个开放权重模型家族（Llama-3.1-8B、Qwen3.5-9B、Gemma-4-12B）上比较用户回合后不同后缀对激活探针的影响，发现分类式后缀在单点探针上稳定提升分布外检测（最高约4个AUC点），且增益来自分类格式而非具体判据，内容无关标签的后缀可与真实恶意/良性判据相当，该收益也能延续到生产中的多点池化探针（注意力、multi-max、MLP），但最佳后缀随读出方式而变。
Figure 2: A classification suffix lifts OOD detection; format, not criterion, carries the ranking gain. Δ \Delta shared-benign AUC vs. no suffix (mean over 9 LODO datasets, ± \pm SEM). A neutral suffix ( reflect ) barely moves ranking; asking the model to classify lifts it (Llama, Gemma), and content-free A/B matches named intent . Qwen is near-ceiling. Precision (the criterion’s low-FPR gain): App. A.1 .
arXiv深度剖析
在用户回合后追加分类指令可提升激活探针在未见攻击类型上的分布外检测能力，单点探针上最高约4个AUC点。 此前将LLM-as-judge式后缀用于探针的做法被视为廉价技巧，但缺少对后缀措辞与野外泛化性的系统检验；该工作用受控后缀阶梯与严格LODO评估填补这一空白。 在13个安全基准（越狱、注入、良性对话）与三个开放权重模型家族上做留一数据集评估，比较有后缀与无后缀的单点探针检测表现。
增益来自分类格式本身，而非所命名的判据：内容无关标签的后缀与真实恶意/良性判据表现相当，判据仅在严格阈值下带来精度提升。 把“让模型把输入表示为类别”这一格式效应与“判据语义”分离，说明后缀有效性的来源是分类式表述而非具体安全定义。 在同一受控后缀阶梯中对比分类式后缀、内容无关标签后缀、离题后缀与仅具注意性后缀的表现。
该收益并非单点读出的假象，可延续到生产使用的多点池化探针（注意力、multi-max、MLP），但最佳后缀随读出方式而变。 把结论从单点探针扩展到实际部署中的多种池化读出，同时指出后缀选择与读出方式相关，而非普适最优。 在注意力、multi-max与MLP等池化探针上重复后缀比较，并报告最佳后缀随读出变化。
通过KV-cache fork服务时，该后缀可作为任意激活探针监控器的低成本即插即用改动，但并非自动获益，效果取决于模型与读出。 给出部署路径与成本特征，同时明确收益的条件性，避免把后缀当作通用增益。 以KV-cache fork方式服务后缀，并在不同模型与读出下比较后缀带来的收益差异。
启示与展望
该结果面向以激活探针作为运行时监控器的LLM代理部署场景，适用于提示注入、越狱与不安全请求的输入侧拦截，评估覆盖13个安全基准与Llama-3.1-8B、Qwen3.5-9B、Gemma-4-12B三个开放权重模型家族。对希望以极低服务成本增强现有探针的工程团队，分类式后缀是可尝试的即插即用改动，并可通过KV-cache fork实现；但后缀选择与收益幅度需按具体模型与读出方式重新确认。
后缀收益的具体幅度与最佳选择依赖模型与读出方式，因此迁移到新模型或新读出时仍需重新验证；内容无关标签后缀与真实判据在严格阈值下的精度差异提示阈值设定会影响判据语义的价值。此外，本次读取范围为摘要，未包含图表与完整实验细节，关于各基准上的逐项数值、后缀的具体措辞清单以及池化探针的实现配置，仍需查阅原文确认。