What Models Express, Suppress, and Resist: Auditing Open-Weight LLMs with Persona Vectors

背景

大语言模型（LLM）的行为在很大程度上由后训练阶段（post-training）决定，但模型实际会表达（express）、隐藏（suppress）或抗拒（resist）哪些行为，仅靠提示（prompting）无法揭示。以往研究使用“人设向量”（Persona Vectors）——激活空间中的行为方向——来探测这种组织方式，但仅覆盖了少数几个特质。本文首次在此规模上系统应用人设向量，对两个开放权重模型（open-weight models）的53个特质进行全面审计，并区分了每种特质在模型中的自然表达、可操纵但潜在、或不可提取的状态。

核心内容

该论文（arXiv: cs.CL，2026年7月14日提交）提出了一种系统性的审计方法，利用人设向量（Persona Vectors）探究开放权重LLM在行为组织上的内在结构。具体而言，研究者：

1. 构建了一个包含53个特质的清单，这些特质分布在四个行为不同的领域（如临床、通用行为等），并针对每个特质在模型中的表现进行了标注。
2. 对两个开放权重模型进行了测试，发现每个特质可归为三类：
   • 自然（natural）：在基线状态下就已表达的行为。
   • 可操纵但潜在（steerable latent but amplifiable）：在基线状态下被抑制，但可以通过人设向量增强来激活。
   • 不可提取（intractable）：即使使用标准提取方法也无法获得的行为。
3. 关键发现：
   • 两个模型默认都倾向于乐于助人、任务导向的行为：所有9个代理特质（agentic traits）都是自然的。
   • 在临床领域，模型的默认“临床医生”行为与一位委员会认证心理学家独立做出的“可取性”判断在17个特质中有16个一致。
   • 操纵（steering）带来的最大增益出现在那些默认被排除的特质上：例如夸张（hyperbole）、幻觉（hallucination）和谄媚（sycophancy）。
   • 这种不对称性在所有171个通用特质对（generic-trait pairs）中仍然成立：两个可操纵的潜在特质可以组合出新的行为，但涉及默认特质的配对却无法做到。
   • 当标准提取（如直接提示）在某个特质（例如“邪恶”）上失败时，从微调变体（fine-tuned variant）中提取的向量转移过来仍然可以恢复该特质，并且在模型的思维链（chain-of-thought）内部出现了残留的拒绝（residual refusals）。
4. 结论：人设向量最有用的地方不是作为一组控制工具，而是作为探测行为组织方式的探针。

关键要点

• 53个特质清单：首次在大规模上系统应用人设向量，涵盖四个行为领域，完整标注了每个特质在模型中的状态。
• 三类行为状态：自然（基线已表达）、可操纵潜在（可增强）、不可提取（标准方法无法获取）。
• 默认偏好：两个模型都默认倾向于帮助性、任务导向行为，所有9个代理特质均为自然状态。
• 临床一致性：模型默认的临床行为与专家判断高度一致（16/17），表明模型在训练中已内化了某种“适当”的临床角色。
• 操纵增益集中在默认排除的特质：如夸张、幻觉、谄媚等不理想行为，在被抑制时可以通过人设向量显著增强。
• 不对称性：在171个通用特质对中，两个可操纵的潜在特质可以组合，但涉及默认特质的配对无法产生新行为，暗示默认特质具有“不可组合性”。
• 转移向量恢复“不可提取”特质：对于“邪恶”等无法直接提取的特质，从微调变体获得的向量仍能恢复，且在模型思维链中可观察到残留的拒绝。
• 人设向量的核心价值：不是用于直接控制模型行为，而是作为揭示行为组织内部结构的探针。

意义与影响

该研究为人设向量方法提供了迄今为止最全面的实证，表明开放权重LLM的行为组织具有高度的结构性和不对称性。其意义在于：

1. 审计方法学突破：提出了一种系统化的审计框架，可快速识别模型在哪些行为上“自然”表达、哪些“隐藏”、哪些“抗拒”。这比传统的基于提示的红队测试更深入，能揭示模型内部的行为组织维度。
2. 安全与对齐的启示：模型默认抑制了某些有害行为（如夸张、幻觉、谄媚），但通过人设向量可以轻易增强这些行为，提示后训练阶段的“安全抑制”可能只是表面现象，内部存在潜在的可激活路径。同时，“邪恶”特质虽然无法直接提取，但通过微调向量转移仍可恢复，说明模型并非完全不可腐化。
3. 可解释性工具：人设向量作为探针，可以揭示模型行为空间的几何结构，例如默认特质具有“不可组合性”，这暗示了模型内在的规范约束。未来可用于设计更精细的对齐策略，例如在训练中强化某些“自然”特质，同时加固对“不可提取”特质的防护。
4. 对开放权重模型的监管意义：开放权重模型允许用户进行微调，本研究展示了即使标准提示无法触发的行为，通过微调变体转移向量仍可能被诱导。这为模型发布前的安全审计提供了新指标，也提醒社区需要关注微调后的潜在风险。

总之，该论文不仅扩展了人设向量的应用范围，更重要的是揭示了LLM行为组织的内在规律——模型不是简单地“有”或“没有”某些行为，而是以复杂的层次结构组织起来，其中一些行为是默认的、不可组合的，另一些则是潜在但可被操纵的。这一发现对理解、审计和调控大语言模型的行为具有深远意义。