# 线性探针

语言模型失败常从某个 token 开始，但常用的响应级 AUROC 只看整条回答是否失败，不看报警发生在何时。Prewarn 先在验证集上按应用允许的错误率固定阈值，再相对标注的起始点分别评分类、检测与预警三项任务。在重复退化案例中，只按长度打分的规则 AUROC 接近满分却永远无法预警；冻结探针在 Apertus 与 Llama 上对多数退化回答在起始前报警，在 Mistral 上则多在起始后报警。

语言模型失败常从某个 token 开始，但常用的响应级 AUROC 只看整条回答是否失败，不看报警发生在何时。Prewarn 先在验证集上按应用允许的错误率固定阈值，再相对标注的起始点分别评分类、检测与预警三项任务。在重复退化案例中，只按长度打分的规则 AUROC 接近满分却永远无法预警；冻结探针在 Apertus 与 Llama 上对多数退化回答在起始前报警，在 Mistral 上则多在起始后报警。

音频语言模型的基准分数可能把语言能力误当成声学理解。研究用合成朗读和转写文本作参照，在6个基准的92项任务上测量原始录音相对文字的增益，发现19个开源模型在说话人、情绪等整体属性任务和重音、语调等录音内结构任务上落后Gemini 3.1 Pro 28.6和41.9个百分点，其中约一半以上来自录音增益。在Gemma-4 12B和Qwen2.5-Omni-7B的读出下降层训练LoRA适配器并加内容锚点后，两类任务准确率提升12.8至44.4个百分点，词汇任务平均准确率保持在基座模型1个百分点以内。

音频语言模型的基准分数可能把语言能力误当成声学理解。研究用合成朗读和转写文本作参照，在6个基准的92项任务上测量原始录音相对文字的增益，发现19个开源模型在说话人、情绪等整体属性任务和重音、语调等录音内结构任务上落后Gemini 3.1 Pro 28.6和41.9个百分点，其中约一半以上来自录音增益。在Gemma-4 12B和Qwen2.5-Omni-7B的读出下降层训练LoRA适配器并加内容锚点后，两类任务准确率提升12.8至44.4个百分点，词汇任务平均准确率保持在基座模型1个百分点以内。

路由推理模型时，每个查询要写多少 token 事先并不知道，而多数路由器按固定或中位长度给候选模型定价。一种做法是在一个冻结的小模型上读取提示的预填激活，同时预测各候选模型的答对概率与输出长度；在九个数据集中的八个上，按预测长度定价比按中位长度定价在同等准确率下少花 9% 到 33%，最多达到完美知道每个查询成本所能省下部分的 69%。

路由推理模型时，每个查询要写多少 token 事先并不知道，而多数路由器按固定或中位长度给候选模型定价。一种做法是在一个冻结的小模型上读取提示的预填激活，同时预测各候选模型的答对概率与输出长度；在九个数据集中的八个上，按预测长度定价比按中位长度定价在同等准确率下少花 9% 到 33%，最多达到完美知道每个查询成本所能省下部分的 69%。

长视频中的伪造往往只涉及几秒钟，而现有音视频伪造基准多集中在短视频说话人片段，长视频取证也以视觉为主。AV-FABLE把16,650对原始—篡改孪生视频（998小时、27种编辑配置）配上独立的音频与视觉时间线，使定位必须同时给出时间边界和受影响模态。在冻结的Qwen3-Omni感知特征上，NFSR用分离的音视频时间解码器读出证据，域内AV-mAP达到91.30，高于共享同一特征的UMMAFormer的84.76，并在三种分布外设置中取得最高AV-mAP。

长视频中的伪造往往只涉及几秒钟，而现有音视频伪造基准多集中在短视频说话人片段，长视频取证也以视觉为主。AV-FABLE把16,650对原始—篡改孪生视频（998小时、27种编辑配置）配上独立的音频与视觉时间线，使定位必须同时给出时间边界和受影响模态。在冻结的Qwen3-Omni感知特征上，NFSR用分离的音视频时间解码器读出证据，域内AV-mAP达到91.30，高于共享同一特征的UMMAFormer的84.76，并在三种分布外设置中取得最高AV-mAP。

线性探针此前靠对话位置和文本长度就能在标准评测里拿到0.91–0.98 AUROC，把同一时刻的干净对照和无害仿写加入训练后，六个开源模型上对无注入对话的误报从41–80%降到4–27%。

线性探针此前靠对话位置和文本长度就能在标准评测里拿到0.91–0.98 AUROC，把同一时刻的干净对照和无害仿写加入训练后，六个开源模型上对无注入对话的误报从41–80%降到4–27%。

作者在 Qwen2.5-VL-7B-Instruct 上用两阶段 PGD 攻击 200 张留出 COCO 图像，发现定向扰动可把固定目标描述的教师强制训练损失压到接近零，但自由生成仍输出原本正确的描述，并将这一“训练/推理鸿沟”定位到单个自回归步（目标 token 排名恒为 152,064 词表中的第 3,488 位、零方差），进一步追踪 28 层解码器显示视觉编码器对所有图像造成相近程度的表示破坏，而语言解码器对易感图像放大、对抵抗图像主动抑制该信号（p<0.001，rank-biserial r=0.579）。

作者在 Qwen2.5-VL-7B-Instruct 上用两阶段 PGD 攻击 200 张留出 COCO 图像，发现定向扰动可把固定目标描述的教师强制训练损失压到接近零，但自由生成仍输出原本正确的描述，并将这一“训练/推理鸿沟”定位到单个自回归步（目标 token 排名恒为 152,064 词表中的第 3,488 位、零方差），进一步追踪 28 层解码器显示视觉编码器对所有图像造成相近程度的表示破坏，而语言解码器对易感图像放大、对抵抗图像主动抑制该信号（p<0.001，rank-biserial r=0.579）。

作者提出 DP-RGMI 框架，把差分隐私训练视为表征空间的结构化变换，用表征位移、谱有效维度和线性探针与端到端 AUROC 之差（利用差距）三个量来分解隐私带来的性能下降；在 PadChest 主数据集（110,525 张正位胸片、22,045 张测试图）以及 CheXpert、ChestX-ray14 等共超过 594,000 张胸片、三种预训练初始化（ImageNet、DINOv3、MIMIC-CXR）上，他们发现强隐私下线性可分性大体保留但利用差距持续存在（如 ImageNet ε=1.0 时 G=8.0，MIMIC ε=0.7 时 G=3.4，DINOv3 ε=0.7 时 G=6.1），而位移与谱有效维度呈非单调、依赖初始化与

作者提出 DP-RGMI 框架，把差分隐私训练视为表征空间的结构化变换，用表征位移、谱有效维度和线性探针与端到端 AUROC 之差（利用差距）三个量来分解隐私带来的性能下降；在 PadChest 主数据集（110,525 张正位胸片、22,045 张测试图）以及 CheXpert、ChestX-ray14 等共超过 594,000 张胸片、三种预训练初始化（ImageNet、DINOv3、MIMIC-CXR）上，他们发现强隐私下线性可分性大体保留但利用差距持续存在（如 ImageNet ε=1.0 时 G=8.0，MIMIC ε=0.7 时 G=3.4，DINOv3 ε=0.7 时 G=6.1），而位移与谱有效维度呈非单调、依赖初始化与