预测激活引导的副作用

# 预测激活引导的副作用

来源：https://arxiv.org/html/2608.11227

###### 摘要

激活引导通过向语言模型的隐藏激活中添加一个学习到的方向来改变模型行为，从而无需重新训练即可实现有针对性的行为修改。尽管激活引导有效，但它常常在其他行为上产生非预期的副作用，这使其难以安全部署。因此，我们提出一个问题：这些副作用能否在应用引导之前被预测出来？为了回答这个问题，我们在三个开放权重语言模型上，基于 67 种行为的分类体系构建了一个交叉效应矩阵。我们发现，副作用是普遍的、有结构的，并且往往是不对称的，这揭示了现有基于相似性的启发式方法无法解释的交互关系。尽管存在这种复杂性，我们表明副作用在很大程度上可以在执行引导之前被预测。副作用的幅度主要取决于目标行为本身，而其方向则可以通过将引导方向传播到从未经引导的文本中学到的传播映射上，并用线性行为探针解码来预测，其准确率显著高于简单基线。我们的结果表明，激活引导具有系统性的且可预测的副作用，从而能够实现主动的安全审计，并为引导干预措施的更明智部署提供支持。

## 1 引言

激活引导（Turner 等人 2023 (https://arxiv.org/html/2608.11227#bib.bib25)；Zou 等人 2023 (https://arxiv.org/html/2608.11227#bib.bib29)；Panickssery 等人 2023 (https://arxiv.org/html/2608.11227#bib.bib17)；Li 等人 2023 (https://arxiv.org/html/2608.11227#bib.bib13)）已成为控制大语言模型（LLM）行为最有前景的方法之一。通过将一个学习到的方向添加到模型的隐藏激活中，它可以增强或抑制目标行为，例如简洁性、拒绝或有用性，而无需重新训练或修改提示。其低计算成本以及与现有模型的兼容性，使激活引导日益成为模型控制的常用工具。然而，激活引导很少只改变预期行为。引导一个行为往往会在许多其他行为上产生非预期变化。例如，让模型变得更简洁可能同时使它显得不那么专业（Cho 等人 2026 (https://arxiv.org/html/2608.11227#bib.bib8)），而引导向良性服从或特定输出风格则可能无意中削弱拒绝等安全行为（Xiong 等人 2026 (https://arxiv.org/html/2608.11227#bib.bib28)；Siu 等人 2025 (https://arxiv.org/html/2608.11227#bib.bib22)；Korznikov 等人 2025 (https://arxiv.org/html/2608.11227#bib.bib12)；Li 等人 2026 (https://arxiv.org/html/2608.11227#bib.bib14)）。这类副作用给激活引导的安全部署带来了实际挑战。在应用引导方向之前，实践者不仅需要了解预期行为是否会改善，还需要了解哪些其他行为可能受到影响。遗憾的是，现有实践几乎无法为回答这个问题提供支持。副作用通常只在引导应用之后才被评估，而且通常只针对一小部分人工选择的指标。目前，既没有系统性地刻画引导一个行为如何影响其他行为，也没有任何方法可以在干预之前预测这些副作用。现有的基于引导方向之间相似性（Korznikov 等人 2025 (https://arxiv.org/html/2608.11227#bib.bib12)；Li 等人 2026 (https://arxiv.org/html/2608.11227#bib.bib14)）的启发式方法，例如余弦相似性，进一步假设相似的引导方向会带来相似的行为变化，而这一假设尚未得到系统验证。在本工作中，我们提出一个简单的问题：*激活引导的副作用能否在执行引导之前被预测？*

为了回答这个问题，我们首先构建一个*交叉效应矩阵*，刻画在固定的 67 种行为分类体系中，引导每个行为如何影响其他所有行为（图 1 (https://arxiv.org/html/2608.11227#S1.F1)）。在三个开放权重语言模型上，我们发现副作用是普遍的、高度有结构的，并且往往是不对称的：引导行为 A 可能增强行为 B，而引导行为 B 则可能抑制 A。这种不对称性从根本上限制了基于相似性的方法，这类方法最多只能解释所观测到的耦合中的 23%。参见图注

图 1：激活引导的交叉效应矩阵。行表示被引导的行为，列表示被测量的行为，每个条目表示引导一个行为对另一个行为的影响。经过 FDR 控制后显著的单元由轮廓标出；边缘条形图统计每个行为上的显著副作用数量。

尽管存在这些复杂的交互，我们表明副作用是极其可预测的。副作用的幅度主要取决于目标行为本身，而其方向则可以通过将引导方向传播到从一个从未经引导的文本中学到的传播映射上，并使用线性行为探针进行解码来预测（图 2 (https://arxiv.org/html/2608.11227#S5.F2)）。在完全不执行任何引导的情况下，我们的方法能够以 68–78% 的准确率正确预测主要副作用是否对应增强或抑制，显著优于简单基线。由于该方法只需要源行为的引导方向和目标行为的探针，因此它可以自然地扩展到那些本身无法被引导的行为。我们的贡献总结如下：

- • *系统性测量*：通过覆盖三个语言模型上 67 种行为的交叉效应矩阵，对激活引导副作用进行了系统性测量。
- • *经验刻画*：表明副作用是普遍的、低维的且不对称的，揭示了现有评估所遗漏的交互关系。
- • *一个否定性结果*：证明引导方向之间的相似性无法可靠预测副作用，且最多只能解释所观测耦合中的 23%。
- • *一个预测框架*：在部署之前对引导副作用进行排序，并预测其会增强还是抑制每个目标，从而能够对引导干预措施进行主动安全审计。

## 2 预备知识与问题定义

激活引导在推理时通过将一个学习到的方向添加到隐藏激活中修改 LLM，从而在不重新训练的情况下改变目标行为。在线性表示假设（Park, Choe, and Veitch 2024 (https://arxiv.org/html/2608.11227#bib.bib18)）下，一个行为与激活空间中的一个方向相关联，沿着该方向移动激活会改变相应行为。形式上，行为 *i* 的*引导方向*由一个单位归一化向量 \(v_i\) 以及注入该向量的残差流层 \(\ell\) 组成。在生成过程中，隐藏激活被修改为

\[
h'_\ell = h_\ell + \alpha\,\bar{n}_\ell\,v_i,
\qquad (1)
\]

其中 \(\alpha\) 是控制干预强度的引导系数，\(\bar{n}_\ell\) 对跨层的引导幅度进行归一化（附录 E）。该干预应用于每个提示和生成 token 位置。

虽然激活引导旨在修改一个目标行为，但它也可能无意中改变许多其他行为。在本文中，我们将被引导的行为称为*源行为*，将被评估的每个行为称为*目标行为*。一个行为只有在它的引导方向经过*验证*时才能作为源行为，也就是说，引导能可靠地改变该行为本身；否则，该行为被认为是*不可引导的*。引导对其自身源行为的影响称为*自身效应*，而对任何其他目标行为的影响称为*交叉效应*。这些交叉效应构成了本研究所关注的激活引导的*副作用*。

我们的研究旨在*引导执行之前*预测这些副作用。具体来说，给定一个经过验证的引导方向、对模型权重的访问权，以及仅有*未引导*的模型生成结果，我们试图预测引导将如何影响所有其他行为。我们考虑两个预测任务。第一个任务是预测副作用的*幅度*，即根据目标行为将受到多大程度的影响对其进行排序。第二个任务是预测每个副作用的*方向*，即引导将增强还是抑制目标行为。这类预测使实践者能够在部署之前评估引导干预的风险，而不是在非预期的行为变化发生之后才发现它们。

## 3 测量副作用

为了预测激活引导的副作用，我们首先需要了解这些副作用是什么。因此，我们构建了一个系统性测量方案，以了解引导一个行为如何影响其他每个行为，最终得到一个*交叉效应矩阵*，它捕捉了每次引导干预的行为足迹。本节描述测量协议，包括我们考虑的行为、如何估计交叉效应，以及如何将真实副作用与测量噪声区分开来。

#### 模型、行为与上下文。

我们评估来自两个家族的三个开放权重模型：Gemma-3-4B、Gemma-3-12B 和 Qwen2.5-7B。在本文中，数值三元组均按此顺序排列。行为使用一个固定（但可扩展）的 67 种行为分类体系来定义，涵盖七个部署组，从编码辅助到安全敏感请求（附录 A）。对于每个行为，我们使用标准的均值差法，通过对比表达该行为的提示与抑制该行为的提示来构建引导方向。由于引导效果在很大程度上取决于干预层，我们首先确定能够可靠改变目标行为的层，然后为每个模型选择接近该范围中心的一个注入层（附录 A）：分别对应 Gemma-3-4B、Gemma-3-12B 和 Qwen2.5-7B 的 L16/34、L22/48 和 L13/28。行为的读出位于下游四到五层，分别为 L20、L26 和 L18。

副作用只有在受影响行为有机会出现时才能被观察到。因此，我们在六组固定的提示集（即*上下文*）上评估每个引导方向，这些上下文旨在引发广泛的行为，从模糊请求到边缘有害请求（表 1 (https://arxiv.org/html/2608.11227#S3.T1)）。交叉效应通过汇总所有上下文来估计。最后，并非每个提取出的引导方向都能可靠地改变其预期行为。因此，只有当引导显著地按预期方向改变其自身的评判分数时，该行为才被当作源行为（附录 A），由此得到三个模型的 52、52 和 47 个已验证源行为。未通过验证的行为仍作为目标行为保留（表 3 (https://arxiv.org/html/2608.11227#A1.T3)）。

表 1：每个评估上下文中的代表性提示。边缘有害组包括双重用途请求和良性提示，用于同时测试过度拒绝和拒绝不足。它纳入了改编自 XSTest 安全半部分（Röttger 等人 2024 (https://arxiv.org/html/2608.11227#bib.bib19)）的提示，采用 CC-BY-4.0 许可，其中部分为逐字使用。

#### 构建交叉效应矩阵。

为了可靠地测量副作用，我们首先确定每个行为在不使生成文本质量退化的情况下能被多强地引导。过强的引导常常产生退化的输出，不再反映有意义的行为变化。因此，对于每个已验证的源行为，我们确定一个最宽的引导系数窗口，在该窗口内生成结果仍不会发生退化（附录 D）。然后，我们估计每个目标行为如何随着引导强度的增加而变化。对于每个源行为，我们将其引导系数在其校准窗口内扫描五个等间距取值，并在每个取值下生成四个独立样本，从而得到每个提示 \(5 \times 4 = 20\) 个生成结果。随后，每一个生成结果都由一个独立的 LLM 评判者按照全部 67 种行为进行评分（评分标准见附录 B），从而使我们能够观察整个行为画像如何随着干预增强而演变。

设 \(s_{jp}(\alpha,\sigma)\) 表示在使用引导系数 \(\alpha\) 和采样种子 \(\sigma\) 生成的提示 \(p\) 上，行为 \(j\) 的评判分数。对于每个提示，我们拟合一条最小二乘直线，将评判分数与引导系数联系起来。所得的斜率衡量引导行为 \(i\) 对行为 \(j\) 的改变有多强。将这些斜率在所有提示上取平均，即得到交叉效应矩阵的一个条目：

\[
\hat{\beta}_{ijp} = \frac{\sum_{\alpha,\sigma}(\alpha-\bar{\alpha})\,s_{jp}(\alpha,\sigma)}{\sum_{\alpha,\sigma}(\alpha-\bar{\alpha})^2},\qquad M_{ij} = \frac{1}{P}\sum_{p}\hat{\beta}_{ijp},
\qquad (2)
\]

其中在全覆盖条件下 \(P = 6 \times 16 = 96\)。所得矩阵 \(\mathbf{M} \in \mathbb{R}^{m \times 67}\) 总结了每个已验证引导方向的行为足迹：行对应源行为，列对应目标行为，正条目表示增强，负条目表示抑制。

由于不同行为的可引导范围不同，原始斜率不能直接比较。因此，我们使用跨校准引导窗口的总分数变化来报告每个耦合，即 \(\Delta_{ij} = w_i M_{ij}\)，其中 \(w_i\) 是源行为 \(i\) 的引导窗口宽度。引导窗口在不同模型之间存在很大差异（表 9 (https://arxiv.org/html/2608.11227#A4.T9)），因此效应大小只在同一模型内进行比较。总体而言，构建交叉效应矩阵每个模型大约需要 128,000 个生成结果，且每个生成结果都要针对全部 67 种行为进行评估（附录 D）。

#### 统计可靠性。

由于交叉效应矩阵是预测的基础，我们仔细区分真实的行为交互与测量噪声。对于矩阵的每个条目，我们计算

\[
t_{ij} = \frac{M_{ij}}{\hat{\sigma}_{ij}/\sqrt{P}},
\]

其中 \(\hat{\sigma}_{ij}\) 是式 2 (https://arxiv.org/html/2608.11227#S3.E2) 中每个提示斜率的样本标准差。在具有 \(P-1\) 个自由度的 Student t 分布下，如果某个条目的双侧 \(p\) 值在对应模型的所有非对角线条目上通过 Benjamini–Hochberg 校正（Benjamini and Hochberg 1995 (https://arxiv.org/html/2608.11227#bib.bib2)）且 \(q<0.05\)，则该条目被视为显著。未通过该检验的条目被视为零。

我们进一步验证所测量的副作用是可复现的。使用两个不相交的提示子集重建交叉效应矩阵，得到的 Spearman 相关性在不同模型上介于 0.73 和 0.86 之间。缺乏拟合分析还表明，剂量-反应关系仅存在轻微的非线性（附录 D），这支持使用局部线性近似。最后，为了避免自评偏差，所有生成结果均由独立的评判模型 Gemma-4-31B 进行评分，该模型在其 token 分布下返回 1–4 量表的预期分数。来自另一个模型家族的第二个评判者 Qwen-3.6-27B 对确认子集进行独立重新评分，与其重新评分的各项分数之间的 Spearman 相关性为 0.93（附录 B）。

由此得到的交叉效应矩阵提供了激活引导行为足迹的系统刻画。在下一节中，我们分析其经验结构，并表明，尽管其表面看似复杂，激活引导表现出