跳转至

文章背景与核心概要

多语言模型的安全性对齐往往表现出不均衡性——模型能够可靠地拒绝英语中的有害请求，但面对低资源语言中完全相同的请求时却可能选择遵从。本文以印度语多语言混合专家（MoE）推理模型 Sarvam 为对象，深入探究了这一现象背后的机械机理。

作者发现，这种脆弱性并非由无法检测到危害所导致。具体而言：其一，上游检测：危害在网络中段被内部编码为一个几乎与语言无关的方向（第 11 层的英语与印度语余弦相似度 \(\approx 0.9\)），在上游对该方向进行干预能够因果控制拒绝行为。其二，滞后写入：检测方向与实际写入拒绝内容的组件正交。拒绝动作的生成发生得很晚，且是跨生成轮次组装而成的，而非在单次前向传播中直接读出。其三，电路与成本分析：拒绝写入操作被局限在一个 MoE 写入器中，该写入器受到一个注意力对抗机制（attention opposer）的制约。论文对各种干预策略进行了成本评估：抑制对抗机制成本低且效果显著，放大写入器则会遭遇成本瓶颈，而对负责任的注意力头进行外科手术式编辑则毫无效果。其四，通用性：该电路的组织结构在另一个不相关的 MoE 模型中同样存在，不过杠杆的强度仍然具有架构特异性。

决定于上游，书写于滞后：多语言 MoE 跨语言拒绝电路的定位与定价 (Decided Upstream, Written Late: Locating and Pricing the Cross-Lingual Refusal Circuit of a Multilingual MoE)

作者： Ramakrishna P. Kompella, Aadit Mahajan
发布时间： 2026年8月8日
主要学科： 人工智能 (cs.AI)
次要学科： 计算与语言 (cs.CL)
标识符： arXiv:2608.08032 [cs.AI] | DOI: 10.48550/arXiv.2608.08032
会议： 已被 COLM 2026 的 Actionable Interpretability（可操作可解释性）研讨会接收

📋 摘要 (Summary)

Safety alignment in multilingual models is often uneven—models may reliably refuse harmful requests in English while complying with the exact same requests in lower-resource languages. This paper investigates this phenomenon mechanistically within Sarvam, an Indic-multilingual Mixture-of-Experts (MoE) reasoning model.

The authors discover that this vulnerability is not caused by a failure to detect harm. Instead: * Upstream Detection: Harm is encoded internally as a nearly language-invariant direction in the mid-network (English-vs-Indic cosine \(\approx 0.9\) at Layer 11), and steering this direction upstream causally controls refusal. * Late Writing: The detection direction is orthogonal to the components that actually write the refusal. Refusal generation happens late and is assembled across generation passes rather than read off in a single forward pass. * Circuit & Cost Analysis: The refusal write is localized to an MoE writer kept in check by an attention opposer. The paper prices various intervention strategies: damping the opposer is cheap and effective, amplifying the writer hits a cost wall, and surgical edits to responsible attention heads have no effect. * Generalizability: The circuit's organization recurs in a second, unrelated MoE model, though the lever's strength remains architecture-specific.

多语言模型的安全性对齐往往表现出不均衡性——模型能够可靠地拒绝英语中的有害请求，但面对低资源语言中完全相同的请求时却可能选择遵从。本文以印度语多语言混合专家（MoE）推理模型 Sarvam 为对象，深入探究了这一现象背后的机械机理。

作者发现，这种脆弱性并非由无法检测到危害所导致。具体而言： * 上游检测： 危害在网络中段被内部编码为一个几乎与语言无关的方向（第 11 层的英语与印度语余弦相似度 \(\approx 0.9\)），在上游对该方向进行干预能够因果控制拒绝行为。 * 滞后写入： 检测方向与实际写入拒绝内容的组件正交。拒绝动作的生成发生得很晚，且是跨生成轮次组装而成的，而非在单次前向传播中直接读出。 * 电路与成本分析： 拒绝写入操作被局限在一个 MoE 写入器中，该写入器受到一个注意力对抗机制（attention opposer）的制约。论文对各种干预策略进行了成本评估：抑制对抗机制成本低且效果显著，放大写入器则会遭遇成本瓶颈，而对负责任的注意力头进行外科手术式编辑则毫无效果。 * 通用性： 该电路的组织结构在另一个不相关的 MoE 模型中同样存在，不过杠杆的强度仍然具有架构特异性。