When Does Correction Become Repair? Mechanistic Auditing of Internal Interventions in Tool-Using LLMs
Jiayi Li, Ruizhe Li
cs.CL, cs.SE
2026-09-29
提出 SAKIKO 审计框架检验激活转向何时算真修复:净改善 55 条的干预弄坏 52/93 个被触发的正确决策,封存评估 3 个模型仅 1 个过关。
Tool-use agent 有一类失败发生在工具执行之前:模型要在「调工具、追问澄清、直接回答、拒答」四个动作里选一个,选错了,后面执行再好也白搭。近期的 activation steering 工作(ASA、CAST 等)证明这个决策可以在中间层激活上被推动,但都在二元动作空间里评估:离开错误状态,默认落在正确状态。四选一时这个假设不成立,把模型推出一个错误动作,它可能落到第三个同样错误的动作上,还可能顺手改坏本来对的决策。聚合的净改善数对这两件事完全失明。论文要回答:内部干预改变了行为,什么时候能算修复。
SAKIKO 把「修复」拆成五段证据流水线:
封存协议把方向、阈值、剂量在开测试集前全部冻结,配 59 个等预算随机方向当零假设,p 值下限 1/60≈0.017。
封存的三个模型固定评估 cannotanswer → toolcall 通道。
| 设置 | 指标 | 结果 | 对照 |
| Phi-3.5 · When2Call | 净改善 | +55 | 随机方向 +14,反号 +14,错层 +3,错通道 −17 |
| Qwen2.5-7B · When2Call | 净改善 | +79(92 改对 / 13 改错) | 10 个随机方向均值 +25.2,最高 +50 |
| Qwen3-8B · 封存 | target gain | 0.276,CI [0.115, 0.425] | 59 个随机方向金标到达最多 8 次,校准方向 38 次 |
| Qwen3-4B / Gemma-2-9B · 封存 | target-hit 点估计 | 0.578 / 0.630 | CI 跨过 0.50 门,判 DECLINE |
方向特异性在 7 个模型的 5 个里成立。Mistral-7B 校准方向(+12)输给反号向量(+19)和随机均值(+29),Llama-3.1-8B 有 5/20 个随机方向追平或超过它,转向在这两个模型上更接近噪声。
落点核验拆开了数字。Phi-3.5 的 +55:200 个被路由的错误里 107 个到达金标、46 个落到别的错误动作(target-hit 0.699);同时 93 个被触发的正确决策坏了 52 个(55.9%,容忍线 5%),触发阈值拉到 0.9 也压不住。Qwen3-8B 上激活转向与 logit 平移净改善几乎一样(+38 对 +35),落点却不同:侧向溢出 14/52 对 21/58,target-hit 0.731 对 0.638,McNemar 检验(p=1.0、0.189)又说明差异不显著。MetaTool 上双向转向五次运行均值 +8.6 和 +13.0。
最终只有 Qwen3-8B 拿到 ADMIT(target-hit 0.731,CI [0.604, 0.846];零破坏,但被触发的正确决策只有 6 个,破坏率上界其实到 0.393)。Qwen3-4B 和 Gemma-2-9B 点估计好看,区间过不了门。
对做 representation engineering 和 agent 可靠性的人,这篇给的是一套记账标准,不是新转向方法。三条直接可用:聚合指标漏掉侧向错误和附带破坏,净改善相同的两个干预落点结构可以完全不同;线性可读不等于可转向,Router 精度在各中间层平稳,转向效果却随层剧降;点估计好看不等于站得住,0.58 的命中率要在 0.50 零假设下站稳需要 245 个出口样本,0.73 只要约 30 个。往后评估这类干预,报落点构成、两个分母的破坏率、预注册阈值,是这篇留下的模板。
作者自己列得全:正式裁决只建立在 When2Call 上,标签是合成的、未重标注;唯一的 ADMIT 只覆盖 Qwen3-8B 一个通道,推不出模型家族或转向方法层面的结论;ASA、CAST 没重实现作基线,因为封存协议先锁死;没有任何设置通过暴露条件下的保持检验,Qwen3-8B 的零破坏只基于 6 个样本。Qwen3.5-9B 干预前被叫停(29 个正确参照对 30 的门槛)是切分敏感的,回溯重切有 56.7% 的切法能过。披露里还有三次流程门调整、一次机械重启。再补一条读下来的判断:封存模型上 target gain 只有 0.081 和 0.073,就算统计过关,收益幅度也薄。