安全原型并非安全方向：响应安全嵌入中的参考依赖与提示词混淆因素

arXiv:2610.01801v1 发布类型：new 摘要：能否通过计算响应嵌入与已知安全响应平均嵌入之间的余弦相似度来评估响应安全性？近期一种 sleeper-agent 检测器正是提出了这一评分方法，但原始正类质心规则并不能被识别：正类观测能够确定安全类别相对于编码器原点的位置，却无法确定区分安全响应与不安全响应的方向。我们使用四种冻结编码器和按提示词分组的划分，在两个由提示词控制、经人工标注的语料库以及一个辅助性的评审标注来源控制集上，对该规则进行了审查。在人工标注语料库中，安全原型的 ROC-AUC 为 0.457–0.545，其中两个实验单元显著低于随机水平、一个高于随机水平；而在相同嵌入上，显式的安全减不安全参考向量达到 0.588–0.738。在评审控制集上，原型的表现发生反转（0.358–0.405），而参考向量达到 0.754–0.793。在经验证集校准的 5%“误判为安全”阈值下，参考向量在 PKU-SafeRLHF 上接受的安全响应更多（跨编码器为 0.153–0.263，而原型为 0.039–0.061），在 Aegis 上也是如此（0.189–0.291，而原型为 0.004–0.045），但在 BeaverTails 上并未稳定地表现出这一优势。完全无标签的留出参考能够恢复参考排序的一部分到大部分；当样本池中只有 5% 为不安全响应时，恢复程度明显降低，而使用 80–634 条带标签的不安全响应则能够恢复其中大部分。仅提示词消融实验表明，提示词—标签构成可能会夸大不受控制的评估结果。这一结果的范围仅限于原始正类质心，并不适用于所有单类方法或专门的安全防护器。类别均值表示的是位置，并不一定代表安全方向；拥有足够不安全样本量的明确参考才能确定方向。