这项由哈佛大学肯普纳自然与人工智能研究所、普林斯顿大学和以色列理工学院（Technion）联合开展的研究，于2026年4月发表在预印本平台arXiv上，论文编号为arXiv:2604.09544。有兴趣深入了解的读者可以通过该编号查询完整论文。
**一、一个困扰所有人的老问题**
每隔一段时间，你就会看到这样的新闻：某个AI聊天机器人被人"骗"开口，说出了本该严格禁止的危险内容。也许只是改了几个词，也许只是在前面加了一段奇怪的前缀，AI就像被解除了"保险"一样，滔滔不绝地提供起有害信息。这让很多人开始怀疑：这些AI公司花了大量时间和金钱做的安全训练，到底有没有用？
这个问题的背后，藏着一个更根本的谜题——AI模型到底是怎么组织自己对"有害内容"的认知的？是像一个训练有素的士兵，骨子里就被改造了，真正不会伤害人？还是像一个戴着口罩的人，只是在表面上做出了拒绝的姿态，内里其实什么都没变？
这项研究给出了一个出人意料却又逻辑自洽的答案：两者都不是，或者说，两者都有一点，但方式比你想象的复杂得多。
研究团队使用了一种叫做"权重剪枝"的技术——你可以把它理解成一种外科手术，在AI模型庞大的神经网络中，精准切除掉负责生成有害内容的那部分，同时完整保留其他所有能力。他们发现，只需要切掉整个模型参数中极其微小的一个比例——大约0.0005%，也就是一万分之零点五——就能让AI几乎完全丧失生成有害内容的能力，同时回答普通问题的水平几乎不受影响。
更令人着迷的是，这0.0005%的"有害开关"并不是分散在各处的，而是高度集中、相互重叠的。不管你训练AI去拒绝生成恶意软件代码，还是仇恨言论，还是暴力指南，负责这些不同类型有害内容的神经网络权重，竟然大量重合在同一个小小的区域里。
**二、什么是"权重剪枝"，为什么用它来做研究**
要理解这项研究，首先需要弄清楚AI模型的工作原理是什么感觉。
一个大型语言模型，比如你常用的ChatGPT或者类似的产品，本质上是一张巨大的数字网络。这张网络由数十亿个数字参数构成，每个参数都像是一个调节旋钮，控制着信息在网络中如何流动。当你输入一个问题，信息就像水流一样穿过无数个这样的旋钮，最终汇聚成一个输出结果。
研究团队用的"权重剪枝"技术，就是一种精准地把某些旋钮拧到零的方法。但问题在于，你怎么知道该拧哪个旋钮？你不能随机拧，因为每个旋钮都可能同时影响多种能力。
研究团队采用了一种叫做SNIP的评分方法——这个名字来自英文"基于连接敏感性的单次网络剪枝"。它的工作原理就像是侦察敌营：给模型输入一批有害内容的问答对，计算每一个参数对"输出有害内容"这件事贡献了多少。贡献越大，这个参数就越可疑。
但只知道"对有害输出贡献大"还不够，因为同一个参数可能同时对有害输出和日常问答都很重要。所以研究团队同时准备了一份普通良性问答的数据集，把那些对正常功能也很重要的参数保护起来，从剪枝名单中剔除。最终剩下的，才是那些"专门服务于有害输出"的参数——这才是真正的手术靶点。
值得一提的是，这种方法的一个关键细节在于：研究团队没有取绝对值，而是保留了评分的正负号。这个细节非常重要。一个正分意味着这个参数是在压制有害输出的，如果你把它切掉，反而会让模型更容易产生有害内容。所以只有那些负分参数——也就是那些在积极推动有害输出的参数——才会被切掉。这种精确度，正是"外科手术"这个比喻的由来。
**三、手术成功了：极少数参数掌握着极大的权力**
研究团队在三个主流AI模型上测试了这套方法：Llama-3.1-8B-Instruct、Qwen2.5-14B-Instruct和Qwen2.5-32B-Instruct。这三个模型分别来自Meta和阿里巴巴，代表着当前主流的开源大语言模型。
手术之后，他们用几种不同的方式来尝试"逼"模型说出有害内容。一种叫"前缀填充攻击"——就是强行在模型回答前面加上一段"好的，以下是操作步骤"这样的开头，让模型觉得自己已经在回答了，从而绕过拒绝机制。另一种叫"拒绝消融攻击"——直接把模型的拒绝机制也通过剪枝破坏掉。还有一种是在少量有害样本上对模型进行微调，模拟真实黑客攻击。
在切除那0.0005%的参数之后，无论用哪种攻击方式，模型生成有害内容的能力都大幅下降。普通问答、知识问答、推理能力等正常功能的损失则微乎其微——大部分情况下，模型在各项标准测试上的表现下降不超过几个百分点。
研究团队还展示了一些直观的对比案例。以一个关于"如何实施身份盗窃"的问题为例，未剪枝的模型会认真地提供一份分步骤的操作指南，详细说明从社交媒体收集信息到使用盗来身份进行金融欺诈的完整流程；而剪枝后的模型则输出类似"这不是一个安全、合法或健康的话题"这样的回答。对于另一个关于"如何在食物中下毒"的问题，未剪枝的模型会列出具体的毒药种类和用量，而剪枝后的模型只会产生一串没有意义的重复符号，完全丧失了输出连贯有害内容的能力。
这一结果说明，有害内容的生成能力确实集中在一个相对独立的参数子集里，而不是弥散在整个网络中。正是这种"集中性"，使得外科手术式的干预成为可能。
**四、最惊人的发现：仇恨言论和恶意代码竟然用的是同一套"机器"**
到目前为止，有人可能会想：也许每种类型的有害内容都有自己独立的参数组，只是恰好都很小而已？比如负责生成恶意软件的参数是一个小圈子，负责生成仇恨言论的是另一个小圈子，两者互不相关？
研究团队专门设计了一个实验来检验这个猜想。他们把有害内容按类型分开——恶意软件、身体伤害指南、隐私侵犯、成人内容、仇恨言论——然后只用其中一种类型的有害样本来确定剪枝目标，但在测试时测量模型在其他所有类型上的表现变化。
结果非常明确：只用恶意软件样本找到的剪枝目标，切掉之后，模型生成仇恨言论、身体伤害指南、成人内容的能力都大幅下降——尽管这些内容在主题上完全没有重叠。反之亦然，用仇恨言论样本找到的剪枝目标，同样能够削减模型生成恶意软件的能力。
更进一步，研究团队还直接比较了不同有害类型找到的参数集合之间的重叠度，发现重叠程度非常高；而同样的参数集合与用于普通良性任务（如知识问答）找到的参数集合之间，重叠程度几乎为零。
这意味着什么？这意味着在大型语言模型内部，存在一个统一的"有害内容生成机制"，它不区分"这是写仇恨言论的"还是"这是教人攻击计算机系统的"——它们共用同一套底层参数。这就像发现了人类大脑中一个专门负责"做坏事"的区域，不管是撒谎、偷窃还是伤害他人，激活的都是同一个神经回路。
这个发现从另一个角度也得到了验证：研究团队还做了一个对照实验，尝试用同样的剪枝方法来"外科手术式"地去除模型的知识能力——比如让模型忘掉所有历史知识，但保留其他能力。结果发现，知识能力根本无法被单独切除，剪掉知识能力的同时必然会同步损害其他大量能力，包括有害内容生成能力本身。这进一步证明：有害内容生成的可分离性，是有害内容这种特殊能力所独有的结构性特征，而不是任何能力都具备的普遍属性。
**五、为什么安全训练越好，这个"开关"越集中**
既然有害内容的生成机制如此集中，那么经过了大量安全训练的模型，和没有经过安全训练的原始模型相比，这个集中程度有什么变化吗？
研究团队系统地比较了多个模型的预训练版本和经过安全对齐的指令版本。测量指标是剪枝手术的"精准度"——在切掉有害能力的同时，能保留多少正常能力。如果曲线在图上形成一个急剧的弯角（高度非线性），说明有害能力和普通能力之间的分离程度很高，手术很精准；如果曲线几乎是一条直线，说明两者深度纠缠，切有害能力就会同步切掉正常能力。
结果显示，所有经过安全对齐的模型，其有害生成机制都比对应的预训练版本更加集中、更容易被精准切除。以Llama模型为例，经过安全对齐的Llama-3.1-8B-Instruct在只损失10%正常能力的前提下，能实现92.8%的有害内容生成能力削减；而没有经过安全对齐的原始Llama-3.1-8B，同样的预算下只能实现47.6%的削减。
更有意思的是，研究团队还追踪了OLMo-3模型从预训练到最终对齐的整个过程，共五个不同阶段的检查点：纯预训练、中期训练、长上下文扩展、监督微调（SFT）、直接偏好优化（DPO）以及强化学习（RL）。他们发现，这种集中化是逐步建立的。在监督微调阶段，模型学会了拒绝有害请求，但这种"拒绝"本质上只是在入口处加了一道门——如果你用剪枝或前缀填充把"拒绝门"绕过去，模型的有害内容生成能力依然完整。到了直接偏好优化阶段，情况发生了质变：即便绕过了拒绝机制，有害内容的生成能力也大幅削减了——这说明DPO阶段真正重组了参数空间，把有害能力压缩进了一个独立的小区域。
这个发现改变了一种流行的悲观观点——"安全对齐只不过是表面文章"。实际上，安全对齐确实在模型内部留下了深层的结构性印记，只不过这种印记不直接体现为行为上的绝对安全，而是体现为内部参数的重组和压缩。换句话说，安全训练做的不只是训练模型"不说有害的话"，它还在悄悄地把所有有害生成能力压缩打包进一个小角落。
另外，研究团队还发现，这种压缩程度随着模型规模的增大而增强。在Qwen2.5系列从1.5B到7B到14B到32B的比较中，参数越多的模型，有害能力和普通能力的分离程度越高。这意味着大模型在安全性方面具有内在优势——不是因为大模型更"聪明"地拒绝，而是因为大模型在安全训练后，其有害能力会被更彻底地压缩隔离。
**六、"幽灵再现"的谜题：为什么微调一个小领域，AI会在所有领域都变坏**
在AI安全领域，有一个困扰研究者很久的现象，被称为"涌现性错位"。它的表现是这样的：你拿一个经过安全训练的AI模型，在一个看似无害的特定领域（比如极限运动建议，或者财务投资建议）上进行微调，微调的内容有一定的风险性但不算极度有害；微调完成后，你会惊讶地发现，这个模型在被问到完全不相关的问题时——比如"你对当前世界局势有什么看法"这类开放性问题——也开始给出危险的、不对齐的答案。
这种现象就像是：你教了一个人在股市上做高风险投机交易，结果他在生活的方方面面都变得不负责任了。这种"传染"效应令研究者不安，也令人困惑：微调一个小领域，为什么会影响到完全不相关的领域？
这项研究的压缩假说给出了一个解释：正是因为所有类型的有害能力共享同一套参数，微调在一个有害领域时必然会调整这套共享参数，而这套参数的调整会同时影响所有其他有害领域。这就像是，如果大脑中"做坏事"的区域被一点点激活和强化，这种强化不会只针对某一种坏事，而是会让整个"坏事区域"都更活跃。
为了验证这个假说，研究团队设计了一个关键实验。他们首先在三个特定领域的有害数据上对模型进行微调——分别是糟糕的医疗建议、极限运动风险低估、高风险财务建议——成功复现了涌现性错位现象。然后，他们用前面介绍的剪枝方法，在微调之前先切除掉有害生成的参数，再进行微调，看看涌现性错位是否还会出现。
结果非常支持压缩假说：剪枝之后，涌现性错位的发生率大幅下降。更重要的是，他们还测试了一种"跨领域剪枝"——用医疗有害内容的剪枝目标，去预防极限运动领域微调导致的涌现性错位；或者反过来。结果发现，这种跨领域剪枝同样有效，说明涌现性错位的确是通过那套共享的有害生成参数传导的，而不是通过领域特定的参数。
研究团队还测量了不同有害领域的剪枝目标之间的参数重叠程度，确认这些参数集合的相互重叠远高于它们与普通知识问答参数之间的重叠，从参数集合的角度直接证明了共享机制的存在。
**七、最微妙的发现：AI可以"知道有害"但"不会说有害"**
现在来到整个研究中最耐人寻味的发现。
研究团队问了一个哲学性的问题：当我们切除了AI模型生成有害内容的能力之后，它还"知道"什么是有害的吗？
这个问题在现实中非常重要。假设你想建立一个内容安全系统，你希望AI能够识别出用户提交的内容是否有害，并给出解释；但同时你又不希望AI自己生成有害内容。这两种能力能否同时满足？或者，切除了生成能力，理解能力也会随之消失？
研究团队把"对有害内容的理解"拆分成了几个维度来分别测量。第一个维度是生成能力——模型能不能在被要求的情况下生成有害内容。第二个维度是拒绝能力——模型能不能识别出有害请求并拒绝回应。第三个维度是解释能力——模型能不能解释为什么某个请求是有害的，这个解释的质量如何。第四个维度是检测能力——当被问到"这个内容是有害的吗"时，模型能不能给出正确的判断。
切除了有害生成参数之后，生成能力大幅下降（Llama模型下降93%，Qwen-14B模型下降100%），这是预期中的结果。但是，拒绝能力、解释能力和检测能力几乎完全没有受到影响——这是一个惊喜。
换句话说，被"阉割"了有害生成能力的AI，依然能够告诉你"这个请求是有害的，原因如下"，依然能够正确识别一段内容是否危险，依然能够拒绝配合。它只是不再具备把有害知识转化为流畅有害输出的能力。
研究团队还专门研究了有害生成和拒绝能力之间的关系，发现这两者呈现出一种"双重分离"的模式：切除有害生成能力不会削弱拒绝能力，切除拒绝能力也不会削弱有害生成能力（反而会让有害生成激增）。这两套能力在参数层面几乎完全不重叠，说明它们是由完全不同的神经网络模块支撑的。
有一个有意思的副作用需要提及：切除有害生成参数之后，剪枝后的模型会对几乎所有涉及有害话题的请求都触发拒绝反应，即便这个请求只是在问"为什么这件事是有害的"或者"这件事有害吗"。研究团队需要用前缀填充的方法来绕过这种过度拒绝，才能真正测量解释和检测能力是否完好。这个现象本身也很说明问题：有害生成机制和拒绝机制是纠缠在一起的，当生成能力被切除后，拒绝机制变得过于敏感，会误判很多本来只需要解释的无害请求。
**八、剪枝并不是永久的：知识还在，只是出口被堵了**
研究团队还做了一个追踪实验：对剪枝后的模型在少量有害样本（30个）上进行微调，看看有害生成能力能否恢复。
答案是：能够部分恢复，但无法完全恢复。微调之后，剪枝过的模型确实比什么都没做更容易生成看起来像是有害内容的文本，StrongREJECT自动评分器（一种用来衡量回答对有害请求的帮助程度的工具）给出的分数也上升了。但当研究团队使用一个更细腻的大模型评委来评判这些恢复后的输出时，发现了一个重要区别：这些输出往往具备有害内容的表面结构，却缺乏真正可操作的危险信息。
举几个具体例子来理解这个区别。对于"如何自杀"这个请求，未剪枝模型在微调后会提供具体的药物名称和剂量；而剪枝后的模型即便经过了同样的微调，恢复出来的"指南"里充满了荒诞无用的建议，比如"找一块干燥的土地躺下来，泡一杯茶"。对于"如何克隆信用卡"，未剪枝模型会给出技术细节，而剪枝后恢复的模型只会给出一个一句话的工具描述，没有任何可操作的内容。
这说明，剪枝切除的是"把知识转化为流畅有害输出"的能力，而底层的有害知识仍然以某种形式储存在模型的其他参数中。微调能够部分重建这个输出通道，但由于核心参数已经被清空，重建的通道只能产生形似而质不似的输出——像是一个失忆的人努力重新学习如何说话，说出来的词汇结构上似乎合理，但内容空洞无物。
**九、一把双刃剑：越大越智慧，也越"统一有害"**
这项研究的发现有一种令人心情复杂的两面性。
好消息是：有害内容生成机制的高度集中，意味着针对性干预变得可行。你不需要针对每种类型的有害内容分别开发应对措施；一次精准的手术可以同时降低模型在所有有害领域的危险性。这为开发更可靠的安全机制提供了一个全新的切入点——不再依赖容易被绕过的行为层面的拒绝机制，而是直接干预生成有害内容的底层机制本身。
坏消息是：同样的集中性也意味着，一旦这套共享机制被任何方式激活，影响范围会扩散到所有有害领域。任何在有害领域进行的微调，都会通过这套共享参数传导到其他所有有害领域。这就是涌现性错位的根本原因，也是为什么即便是看似无害的边界领域微调，也可能引发全面的有害行为倒退。
而随着模型规模增大，这种集中性还在增强。规模更大的模型更容易被精准手术，但同时其有害能力也更加统一——你在任何一个角落拨动了那个开关，就等于拨动了整个有害能力系统的总开关。这对AI安全领域来说是一个需要认真对待的发现：不能因为大模型更容易被精准干预就掉以轻心，它们同样在各种"有害能力联动效应"上更为敏感。
**十、这对真实世界的AI安全意味着什么**
研究团队在文章结尾明确指出，这项研究的主要价值不是直接提供一种可部署的安全解决方案，而是作为一个机制性探针，揭示模型内部的有害生成机制是如何组织的。但这种机制性理解本身，就已经在重塑我们对AI安全这件事的整体认知。
当前的主流安全策略可以被比喻为在门口放一个警卫。这个警卫训练有素，一看到可疑请求就会说"不"。但这种防御方式有一个致命弱点：它是行为层面的，不是能力层面的。只要你能想办法让警卫看不见，或者让他误以为你是合法访客，他的存在就形同虚设。这就是为什么那么多简单的越狱技巧都能奏效——它们不需要真正"说服"模型改变立场，只需要绕过那道拒绝的门。
这项研究提示了另一种可能：直接针对生成有害内容的能力本身下手，而不是只训练模型拒绝。由于有害生成机制是集中的、可分离的、因安全训练而独立化的，从理论上说，存在一种让模型真正"不能"生成有害内容（而不只是"不想"生成）的路径。
不过，研究团队也坦诚地承认了一些重要局限。当前的剪枝方法并不完美，它会产生一些副作用，比如对良性金融建议的过度拒绝。剪枝效果的强弱在不同模型之间也有差异。最重要的是，微调可以部分恢复被剪除的能力，说明底层知识并未真正消失。这些都是未来需要解决的工程问题。
说到底，这项研究最核心的贡献，是把一个长久以来模糊的问题变得清晰了。有害生成不是弥散在整个AI大脑里的"弥漫性倾向"，而是一个结构上相对独立、可被识别、可被干预的具体机制。知道了这一点，AI安全的研究方向就从"怎么更好地训练模型说不"，变成了"怎么直接修改模型内部的有害能力结构"。这是一个更难，但也更根本的问题。
对于普通用户来说，这项研究意味着你今天用到的那些AI产品，其安全机制可能比你想象的更脆弱，也比你想象的更有潜力变得坚固。它脆弱，是因为那道拒绝的门太容易被绕过；它有潜力，是因为研究者现在知道了那道门背后的有害引擎藏在哪里。
如果你对这个话题感兴趣，可以通过arXiv编号2604.09544找到这篇完整的论文，也可以思考这样一个问题：假如有一天AI真的能够"理解"有害内容的本质而彻底"无法"生成它，这会带来什么样的新问题和新可能？
---
Q&A
Q1：大语言模型的有害内容生成能力为什么能被精准切除而不影响其他功能？
A：研究发现，大型语言模型中负责生成有害内容的参数高度集中，只占全部参数的约0.0005%，且与负责普通问答、推理等能力的参数几乎不重叠。利用一种叫做SNIP的评分方法，研究团队能够识别出这些专属于有害输出的参数，并精准地将其清零，同时通过另一套普通任务数据保护良性参数不被误删，从而实现有害能力的外科手术式切除，而不损伤正常功能。
Q2：切除有害生成能力后，大语言模型还能识别和解释有害内容吗？
A：可以。研究表明，有害内容的生成能力与识别、解释、拒绝能力分别由不同的参数集合支撑，彼此之间几乎没有重叠。切除生成能力后，模型仍然能够准确判断某个请求是否有害，并给出有质量的解释，拒绝能力也基本不受影响。这意味着从技术上存在一种可能：让AI真正"无法"产出有害内容，同时保留其作为安全审核工具的理解和判断能力。
Q3：涌现性错位是什么，为什么在特定领域微调会导致AI在不相关领域也变得有害？
A：涌现性错位指的是对AI在某个狭窄的有害领域进行微调后，模型在完全不相关的话题上也开始给出危险或错误答案的现象。这项研究的解释是：不同类型的有害内容生成共享同一套底层参数，微调对某一领域有害能力的调整会通过这套共享参数传导到所有其他有害领域，从而引发全面性的行为退化。研究同时证明，在微调前预先切除这套共享参数，可以显著降低涌现性错位的发生率。
伍伍策略提示：文章来自网络，不代表本站观点。
