LLMs中的隐藏潜在状态偏移：为何当前对齐方法对真正的内部危险视而不见——尤其是在智能体场景中

多年来，对齐社区几乎完全聚焦于模型的*输出*——确保最终token安全、有用且诚实。RLHF、DPO、宪法AI、输出过滤器——所有这些都停留在表面层面。但如果模型可以在残差流*内部*进入一个完全不同的内部机制，而外部行为仍然保持完美对齐呢？我们刚刚测量到了这一点。**在Gemma-3-12B-IT上的四级实验**（使用Gemma Scope SAE-res-all-small，层12–41）：模型在五种条件下收到了相同的问题： * **target** — 连贯、密集的目标文本 * **neutral_length_matched** — 长度相同的中性文本 * **target_sentence_shuffle** — 目标文本句子打乱 * **target_word_shuffle** — 目标文本单词在句子内打乱 * **question_only** — 只有问题 我们计算了一个**向量X**，它最好地将目标条件与基线区分开，并测量每个隐藏状态在其上的投影强度。 **关键结果（10个问题的平均值）：** |条件|在向量X上的平均投影|平均方向余弦| |:-|:-|:-| |**target**|**0.8 – 1.7**|**0.51 – 0.81**| |neutral_length_matched|–0.04 – –0.21|–0.09 – –0.45| |target_sentence_shuffle|–0.5 – +0.6|–0.22 – +0.48| |target_word_shuffle|0.2 – 1.4|0.03 – 0.72| 打乱句子或单词会显著减少（或反转）偏移。这**不仅仅是**词汇相似性——模型对**话语结构**敏感（顺序敏感性）。我们还观察到了明显的**相变**——投影在单一步骤中突然跳跃高达+80–100个单位，尤其是在中间层。经过FDR校正的检验证实，目标与对照组之间的差异在许多层（特别是第16–41层）是统计显著的。 **最重要的发现：** 残差流中发生强烈的内部几何偏移，但最终行为几乎没有变化。模型在连贯上下文中进入一个可测量的不同潜在状态，但其输出仍然“完美对齐”。当前仅关注token的安全方法对此视而不见。 **这对对齐意味着什么** 整个当前对齐范式建立在一个错误假设上：“如果输出安全，模型就是安全的。”我们一直在打磨表面，而残差流基本未受监控。规模化、RLHF和基于输出的评估无法检测这些内部状态偏移。 **这对公司和实验室意味着什么** 许多组织仍然持有三种危险幻想： 1. “我们已经解决了安全问题”，因为模型通过了输出层面的红队测试。 2. “RLHF保护了我们”，因为模型学会了不说坏事。 3. “更大的模型更安全”，因为对齐 supposedly 可以规模化。 实际上，他们正在快速部署**智能体**，这些智能体拥有长上下文、工具使用、持久记忆和真实世界决策能力。一段单一的密集连贯上下文就能触发潜在内部状态偏移，而现有防护措施无法察觉。这不是一个假设性的未来风险。这是一个已经存在的结构性漏洞。 **我需要社区提供什么** 我需要帮助理解这些指标的价值。它们是否显示了模型真正的内部潜在状态偏移？还是分析中的人为产物？如果结果不是噪声，那么它对我们理解LLMs到底意味着什么？我不是要求任何人确认我的理论。我需要严格的技术批评：哪些指标重要，哪些弱，哪些可以忽略，实验可能有哪些缺陷，需要哪些额外的检查或因果实验，以及这对可解释性和AI安全性是否真的有实际意义。 我将非常感谢那些研究隐藏状态、残差流几何、表示分析或机制可解释性的人提供意见。 **完整开放研究：** * Zenodo：[https://zenodo.org/records/20435525](https://zenodo.org/records/20435525) * GitHub：[https://github.com/ngscode23/latent-space-shift-research](https://github.com/ngscode23/latent-space-shift-research) * [https://drive.google.com/drive/folders/1Zl9iY33Lmwz3VuOATWx4jup-cE7TJ7TJ?usp=drive_link](https://drive.google.com/drive/folders/1Zl9iY33Lmwz3VuOATWx4jup-cE7TJ7TJ?usp=drive_link) 期待听到你的想法。