大语言模型拒绝的对称性破缺：答案释放比拒绝恢复更局部化

arXiv 论文《Broken Symmetry in LLM Refusal》通过受控保留设置研究大语言模型拒绝回答的机制，发现模型在生成干净拒绝时，正确答案仍可从隐藏状态中线性恢复，且释放被保留答案只需单位置修补，而重新施加拒绝则需要多位置干预，表明拒绝并非对称开关。

此前普遍认为模型拒绝回答意味着相关内部信息被抑制或擦除，而该研究证明即便是干净拒绝，正确答案仍隐藏在内部表征中，且释放极易，这挑战了现有安全审计假设，对模型对齐与审核实践有直接冲击。

通过匹配回答与拒绝轨迹的双向激活修补，发现因果干预的局部性不对称：释放答案只需修补单个位置，而重建拒绝需要跨多个位置的干预。此外，平均位移向量不能作为可靠的线性控制开关，表明回复行为并非简单二值切换，内部状态与输出层表现存在脱节。

对依赖“拒绝”作为安全功能的 AI 产品，直接风险是用户可能通过探针或微小扰动绕过拒绝获取不当内容。研发需重新评估安全机制的有效性，优化审计方法，并考虑在输出层之外增加多层防御。

• 开发针对大语言模型安全性的内部表征审计工具，检测隐藏状态中可恢复的受限信息，并生成评估报告。
• 为模型对齐团队设计“不对称干预”测试框架，用于评估拒绝机制的鲁棒性。
• 基于该机制，开发更高效的对抗性提示检测方法，识别试图释放被拒绝答案的输入。
• 建议在模型推理流程中增加多层输出验证，防止单点修补导致的安全失效。

• 该研究发现是否适用于其他模型架构或不同规模的语言模型？
• 单点修补在真实攻击场景中是否易于实现并保持稳定？
• 拒绝恢复的难度是否在不同类型的有害内容（如暴力、非法活动）上存在差异？
• 是否存在能够抑制隐藏状态线性可恢复性的防御方法？