論文の概要: Refusal Reads Only a Slice of What the Model Knows: Harm-Keyed Routing and Its Exceptions Across Model Families

• arxiv url: http://arxiv.org/abs/2609.14759v1
• Date: Sun, 13 Sep 2026 19:49:44 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-16 07:15:05.96026
• Title: Refusal Reads Only a Slice of What the Model Knows: Harm-Keyed Routing and Its Exceptions Across Model Families
• Title（参考訳）: Refusalは、モデルが知っていることのスライスのみを読む:ハームキールーティングとそのモデルファミリ間の例外
• Abstract要約: プレトレーニング後のアライメントは測定可能な方法で浅かった。 モデルの残留ストリーム内の1つの方向を編集し、有害な要求を拒否するのを止めることができる。 私たちはそれが何を読むのかを尋ね、それをモデルが理解しているものから切り離します。
• 参考スコア（独自算出の注目度）: 1.0829694003408499
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Alignment applied after pretraining is shallow in a measurable way: a single direction in a model's residual stream can be edited out, and the model stops refusing harmful requests. That fact says how easily refusal can be removed, not what the refusal decision was reading in the first place. We ask what it reads, and we separate that from what the model comprehends. Across four open-weight models spanning three families, moral comprehension is native to pretraining: a low-rank moral subspace crystallizes during pretraining, and alignment rotates it once without rebuilding it. The refusal gate, in contrast, is a fresh post-training construction with only a weak pretraining precursor, written into a narrow control-token channel where the refusal decision is orthogonal to the moral-judgment decision. The central result is causal and comes from one model, OLMo-3. A nested interchange rank sweep patches successively larger slices of the moral subspace between matched requests and reads how much of refusal's response transfers: as the basis widens, moral judgment keeps reading more of it, while refusal levels off at the level of a single harm direction, and about three-quarters of refusal's causal input lies outside the moral subspace altogether. Refusal reads the harm percept, not the moral content that judgment reads on the same patches. The picture is not uniform across families. Llama reads broad moral content; Qwen reads beyond the single harm cue but is unresolved at our sample size; GPT-OSS reads harm, and its refusals can be argued in either direction by its own reasoning trace. Where refusal reads only a low-rank slice and routes around the bulk of what the model knows, a rank-one edit removes it. Whether widening what refusal reads would also deepen the behavior is the open question this raises.
• Abstract（参考訳）: 事前トレーニング後に適用されるアライメントは、測定可能な方法で浅い:モデルの残留ストリーム内の1つの方向を編集でき、モデルが有害な要求を拒否するのを止めることができる。 その事実は、拒否決定がそもそも何を読んでいたかではなく、拒否がいかに容易に取り除けるかを示している。 私たちはそれが何を読むのかを尋ね、それをモデルが理解しているものから切り離します。 3つのファミリーにまたがる4つのオープンウェイトモデルの中で、道徳的理解はプレトレーニングに固有のものであり、低ランクの道徳的サブスペースはプレトレーニング中に結晶化し、アライメントはそれを再構築することなく一度回転させる。 これとは対照的に、拒絶ゲートは、弱い事前訓練前駆体のみで、拒絶決定が道徳判断に直交する狭い制御塔に書き込まれる新しい訓練後構造である。 中心的な結果は因果関係であり、1つのモデルOLMo-3に由来する。 ネストされたインターチェンジのランクは、一致した要求の間の道徳的部分空間のスライスを連続的に拡大し、拒否の応答伝達の量を読み取る: 基礎が広がるにつれて、道徳的判断はそれより多くを読み続け、一方、単一の危害方向のレベルでの拒絶レベルはオフであり、拒絶の因果入力の約4分の3は、道徳的部分空間の外側にある。 拒絶は、判決が同じパッチで読む道徳的内容ではなく、害の知覚を読み取る。 写真は家族間で均一ではありません。 ラマは広い道徳的内容を読み、クウェンは1つの害のキューを超えて読むが、我々のサンプルサイズでは未解決であり、GPT-OSSは害を読み、その拒絶はそれぞれの理由の痕跡によってどちらの方向にも議論できる。 refusalは低ランクのスライスのみを読み出し、モデルが知っていることの大部分をルーティングすると、ランクワンの編集で削除される。 拒否する読み方を広げることが行動をさらに深めるかどうかは、これが提起するオープンな疑問である。

関連論文リスト

• Refusal geometry reflects refusal training: diverse refusal prefixes can raise stable rank and weaken refusal vector ablation attacks [1.0152838128195467]
  フェールトレーニングは、トレーニングモデルによってAIモデルをジェイルブレイクから保護し、安全でないクエリを減らし、誤用のリスクを低減する。 近年の研究では、アライメント言語モデルにおける拒絶行動は、単一のアクティベーション方向または有害なプロンプト間で共有される低次元の拒絶部分空間によって媒介されることが判明している。 しかし、なぜ広範囲のモデルで安全クリティカルな特徴が集中した低次元構造に現れるのかは、いまだ不明である。
  論文  参考訳（メタデータ） (2026-08-26T05:35:54Z)
• Abliteration Is Not a Scalpel: Off-Target Effects of Refusal Removal on Decision Disposition Across Model Families [51.56484100374058]
  放棄 — モデルの拒絶方向を重みから取り除く — は、一般的な"アンセンソルド"なオープンウェイトモデルの標準的なレシピである。 ディスポジションプローブとして21,600個の決定を不確実性の下で使用し、凍結パイプラインを通じて再生することにより、決定層モデルが唯一の変数となる。 3つのエフェクトは2つのファミリーにまたがって複製される(ゼロを除く週間クラスターCI) 4つ目の効果は符号を逆転する:同じ操作によりGemmaで読み取られた方が自信が弱まり、Qwenで読み取られたものがより多くなる(ファミリーCIは重複しない)。
  論文  参考訳（メタデータ） (2026-07-19T22:27:00Z)
• Breaking Refusal in the First Half: A Mechanistic Study of the Prefill Jailbreak [0.0]
  修飾言語モデルは有害な要求を拒否するが、一行のプリフィルは拒絶する。 線形プローブは、拒否されたプローブ(0.91-0.98)よりも高い損傷を読み取るが、振舞いの拒絶は偶然に減少する。 我々はそれを早期ウィンドウにローカライズする: 線量調整された位置制御は、応答の前半が拒否を破るのに十分であり、後半はほとんど不活性である。
  論文  参考訳（メタデータ） (2026-07-14T09:30:34Z)
• Latent-space Attacks for Refusal Evasion in Language Models [14.290157825353846]
  我々は,リフレクションをリフレクションから分離するよう訓練された線形プローブに対する遅延空間回避攻撃として再放送した。 我々は15の命令調整、マルチモーダル、推論モデルに対して、最先端の攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-05-20T20:10:27Z)
• Refusal Falls off a Cliff: How Safety Alignment Fails in Reasoning? [68.82210578851442]
  メカニスティックな解釈可能性レンズによる推論モデルにおいて、なぜ安全アライメントが失敗するのかを考察する。 トークン位置における拒絶意図の追跡のための線形探索手法を用いて,textbfrefusal cliff と呼ばれる現象を発見した。 提案手法は,最大断崖を示す訓練例を識別し,推論モデルの安全性を向上する手法であるtextbfCliff-as-a-Judge を提案する。
  論文  参考訳（メタデータ） (2025-10-07T15:32:59Z)
• MORABLES: A Benchmark for Assessing Abstract Moral Reasoning in LLMs with Fables [50.29407048003165]
  MORABLESは,歴史文献から引用されたファブレットと短編から構築された人間検証ベンチマークである。 主なタスクは、道徳的推論をターゲットとした複数選択の質問として構成されており、モデルが浅く抽出された質問応答を超えるよう挑戦する注意深い注意を払っている。 以上の結果から,より大きなモデルはより小さなモデルよりも優れているが,敵の操作に敏感であり,真の道徳的推論よりも表面的パターンに頼っていることが示唆された。
  論文  参考訳（メタデータ） (2025-09-15T19:06:10Z)
• LLMs Encode Harmfulness and Refusal Separately [38.953626527935384]
  LLMは有害な指示を拒否するように訓練されていますが、単に拒否する以上の有害性を理解しているのでしょうか? 我々は,LLMの安全性メカニズム,すなわち有害性を分析するための新しい次元を同定し,拒絶とは別の概念として内部的にコード化する。 特定のジェイルブレイク法は、モデルの内部の有害性に対する信念を逆転させることなく、拒絶信号を減らすことで機能する。
  論文  参考訳（メタデータ） (2025-07-16T03:48:03Z)
• An Embarrassingly Simple Defense Against LLM Abliteration Attacks [47.347413305965006]
  失語症と呼ばれる最近の攻撃は、拒否行動に最も責任がある唯一の潜伏方向を特定し、抑制する。 本稿では、モデルが拒否を表現する方法を根本的に変える防衛法を提案する。 微調整のLlama-2-7B-ChatとQwen2.5-Instructは、消音下で高い断熱率を維持するモデルを生成する。
  論文  参考訳（メタデータ） (2025-05-25T09:18:24Z)
• Think Before Refusal : Triggering Safety Reflection in LLMs to Mitigate False Refusal Behavior [59.20260988638777]
  本研究は, 応答発生前の安全反射の促進により, 虚偽の拒絶行動が軽減されることを実証する。 15種類の事前訓練モデルを対象としたアブレーション実験において, 安全性を考慮した微調整モデルでは, 誤検知の挙動が著しく低下することがわかった。
  論文  参考訳（メタデータ） (2025-03-22T23:35:49Z)
• Refusal Tokens: A Simple Way to Calibrate Refusals in Large Language Models [68.15108215197279]
  安全で信頼性の高い言語モデルを構築する上で重要な要素は、モデルが特定の質問に答えることを適切に拒否することである。 本稿では,学習中のモデルの応答に先立って,各拒絶カテゴリに対する1つのそのようなトークン,あるいは1つの拒絶トークンを提案する。
  論文  参考訳（メタデータ） (2024-12-09T18:40:44Z)
• Refusal in Language Models Is Mediated by a Single Direction [4.532520427311685]
  リファリングは1次元のサブスペースによって媒介され、最大72Bのパラメータを持つ13の人気のオープンソースチャットモデルにまたがる。 そこで本研究では,他の機能に最小限の影響を伴って拒絶を手術的に無効にする,新しいホワイトボックス・ジェイルブレイク法を提案する。
  論文  参考訳（メタデータ） (2024-06-17T16:36:12Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。