不训练也能让模型更少顺从有害请求：放大三组内部组件，攻击下安全率从43.2%升到69.7%
研究把大模型拒答行为拆成一条跨层通路：前中层的“有害检测头”识别输入中的有害词，中后层的“安全神经元”在残差流中传递并稳定这一信号，后层的“拒答头”据此生成拒绝。对这三类组件做不改变架构的权重缩放后，六个模型在GCG攻击下的平均安全率从43.2%升到69.7%，四个标准基准上的平均准确率只下降1.7%。
语言模型的上下文学习不是一次学会：答案控制权先换手，准确率要等上万亿词元才跟上
语言模型在提示中学习的能力并非一次性获得。一项受控诊断把“照抄最近示例”与“组合提示中给出的映射”分开，在17个模型上发现约三分之一偏好照抄答案，其余偏好规则一致的答案；在OLMo-2-7B的训练轨迹上，对提问取值的依赖在准确率超过随机水平之前数百亿词元就已压过对冲突示例的依赖。合成文档训练能把偏好从照抄翻转为按查询作答，而仅暴露定义或压制照抄注意力头都做不到。
安全对齐卡在“写拒绝”这一步：注意力早已识别有害，MLP 直到答案开头才落笔
在 18 对 Base–Instruct 模型上，有害性信息在注意力更新中更易解码，而拒绝证据主要由 MLP 写入，且后训练只增强写入、不提升识别。
混合推理模型的无思考模式RL增益大半来自思考泄漏：8B上抹掉8维思考子空间，增益掉75%
在Qwen3-1.7B、4B、8B上以GRPO做无思考模式强化学习，准确率提升的同时回答变长、反思词增多、内部激活向原模型的思考模式偏移。权重缩放、激活替换与注意力头干预三类实验显示，这部分增益主要来自对原模型已有思考能力的重新激活，而非学到新的推理行为；8B上替换8维思考子空间可去掉75%的增益，反向替换可把50%的增益转移给原模型。
同一批注意力头，换个任务就换角色：改一处内部激活，模型读的事实和影响下游的方式都变了
在五个开放权重模型里，图事实不变、只换任务指令，同一批注意力头对下游的影响模式就重新分布；在Gemma-2-9B和Qwen3-14B中，改动一处早期内部激活向量就能让模型改读另一条事实，而书面指令和权重都不动。
安装自然值仅转移少量已知—未知弃答对比：LLM特征审计区分充分性与使用
该工作提出一套经验契约，用安装、移除与下游救援三种测试，在自然输入观测到的取值上评估LLM内部特征：安装衡量特征对行为的充分性，移除与救援衡量模型是否真正使用该特征。应用于已发表的实体识别隐变量、稠密已知—未知方向与主谓一致特征集后，充分性与使用强度出现明显分离，说明特征追踪概念并能操控行为，并不足以证明模型使用了该特征。
UDS 用激活修补量化 LLM 遗忘深度，在 150 个模型、20 项指标中取得最高忠实度与稳健性
该工作提出 Unlearning Depth Score（UDS），先用保留模型基线定位编码目标知识的层，再通过激活修补在 0-1 尺度上度量遗忘模型抹除了多少该知识，并在覆盖 8 种方法、150 个已遗忘模型的元评估中与 20 项指标比较，报告 UDS 具有最高的忠实度与稳健性，案例研究显示它能揭示被表征漂移所掩盖、观测类指标看不到的残余知识，且擦除深度随提示类型变化。
P2P 将激活修补转为推理期计算旁路，在 3% 容差下保留约 94% 稠密精度并把 FLOPs 降低 55%
该工作提出免训练的 Patch-to-Prune（P2P）框架，把机制可解释性中的激活修补从诊断工具改造为推理期计算旁路：通过验证引导的前向与后向层扫描，找出视觉 token 投影输出可被固定中性代理激活向量替换的解码器区域，在用户指定的精度容差内跳过这部分计算；在 Qwen2.5-VL 与 LLaVA 两族共四个 VLM、七个多模态基准上，使用互不相交的校准、验证与测试划分评估，3% 容差下保留约 94% 稠密精度并将 FLOPs 降低 55%，同时层间分析提示 VLM 的视觉处理在解码器深度上分布不均。
跨25个模型定位VQ视觉语言模型的L0注意力路由回路，仅消融该回路使开放生成物体幻觉相对下降31%
该研究用激活修补在横跨八个LLM家族的二十五个模型上识别出VQ分词视觉语言模型共有的早期层（L0）注意力路由回路，提出三门槛诊断区分出十个携带该回路的模型并排除其余十五个，通过单变量架构替换（LLaVA-1.6 CLIP+MLP→VQ+Linear）证明向量量化是该病理性信号的来源，并显示只有L0消融能在开放生成中降低物体幻觉（CHAIR_i相对下降31%），而调优后的DoLA与VCD无此效果。
已读完全部报道