精选理由
想知道模型有没有被偷偷去掉安全护栏？这篇论文用两个内部信号在273个模型上做到95%的准确率，比单信号靠谱多了。
该论文提出一种无需阈值的审计方法，结合两种内部信号——参考锚定的激活拒绝间隙与基础到候选权重的恢复能量——来检测开放权重检查点是否被剥离拒绝机制。在包含Qwen、DeepSeek-distilled Qwen、Llama和Gemma的273个检查点注册表上，两个信号的z-sum分离了57个公开的abliterations与37个良性微调、合并和指令微调，AUROC达到0.95，显著高于任一单独信号（0.84和0.90）。经Youden校准的阈值在留出族上达到平衡准确率0.89（FPR 0.11），仅漏掉57个中的4个。论文还映射了两种失败模式：伪造参考可无训练规避两个信号，白盒所有者可训练出超过阈值但仍不安全且连贯的检查点。
AI 翻译 · 中文
该论文提出一种无需阈值的审计方法，结合两种内部信号——参考锚定的激活拒绝间隙与基础到候选权重的恢复能量——来检测开放权重检查点是否被剥离拒绝机制。在包含Qwen、DeepSeek-distilled Qwen、Llama和Gemma的273个检查点注册表上，两个信号的z-sum分离了57个公开的abliterations与37个良性微调、合并和指令微调，AUROC达到0.95，显著高于任一单独信号（0.84和0.90）。经Youden校准的阈值在留出族上达到平衡准确率0.89（FPR 0.11），仅漏掉57个中的4个。论文还映射了两种失败模式：伪造参考可无训练规避两个信号，白盒所有者可训练出超过阈值但仍不安全且连贯的检查点。
Can a platform tell, before deployment, whether an open-weight checkpoint has had its refusal mechanism stripped? Runtime guards cannot: they score generations, not the artifact. We combine two cheap internal signals, a …