当「对齐」可以被一键移除：OBLITERATUS 用几何方法打开了大模型的黑箱

当「对齐」可以被一键移除：OBLITERATUS 用几何方法打开了大模型的”黑箱”

做对齐研究的人大概都有过这个感受：LLM 的安全机制像一个藏在权重深处的黑箱子，你知道它能拦住有害请求，但不知道它具体藏在哪里、怎么工作的。

2024 年，Arditi 等人的论文揭示了一个关键发现——对齐模型的内容拒绝行为（refusal），是由残差流（residual stream）中一个单一的线性方向编码的。换句话说：找到这个方向，把它从权重矩阵中投影出去，模型就不拒绝了，而且语言能力基本不受影响。

这个发现最初只停留在论文层面。现在，一个叫 OBLITERATUS 的开源工具把这个过程做到了一键可复现。

不需要微调，一行命令做”权重手术”

OBLITERATUS 的核心逻辑并不复杂。给定一个对齐后的大模型：

1. 向模型输入一批”会触发拒绝”和”不会触发拒绝”的 prompts，收集隐藏状态激活
2. 用 SVD / PCA / 稀疏自编码器 / 白化 SVD 等方法，提取出”拒绝方向向量”
3. 将这个方向从权重矩阵中投影出去——这步不需要梯度、不需要训练数据
4. 得到的模型在几乎所有 prompts 上都会正常响应

关键技术来自于 Arditi et al. (2024) 的 NeurIPS 论文，以及 Turner et al. (2023)、Rimsky et al. (2024) 等对”拒绝表示”空间结构的研究。OBLITERATUS 把这些方法整合成一个完整的工具链，从激活探测到方向提取再到推理干预，每一步都透明可观测。

项目主页：https://huggingface.co/spaces/pliny-the-prompter/

实测数字：Gemma-4-12B 做到了什么程度

这个工具最令人惊讶的地方不在于”能移除拒绝”，而在于移除之后能力几乎不损失。

研究者 Essa Mamdani 在博客中报告了对 Google Gemma-4-12B 的消融结果：

• 拒绝率：842 条测试 prompts，全部通过，0 条拒绝
• MMLU-Pro 基准：46/70（65.7%），与原始模型 delta = 0.0pp
• 连贯性检查：6/6 项正常

不是 95% 能力保留，是 100%。这个结果用的是两步权重手术（two-pass weight surgery）配合 ASPA 投影方法。ESSAM 的原文提到：”Not 95% parity. Not 99%. 100% parity.”

对比之前其他团队做 abliteration 时常见的”能力雪崩”问题（移除拒绝方向的同时语言能力也大幅下降，被戏称为”脑子切除术/lobotomy”），这个结果确实刷新了认知。

能跑哪些模型？消费级显卡够不够？

OBLITERATUS 支持 116 个模型，覆盖五个硬件档位：

不需要你有 A100，任何消费级 4090 显卡基本能覆盖中端以下模型的 abliteration 工作。

如果你连 GPU 都不想配置：HuggingFace Spaces 上有现成的 Gradio 界面，Colab 也有官方 notebook，一键运行不需要任何本地安装。

怎么用：三种接入方式

方式一：命令行（适合自动化）

pip install obliteratus
obliteratus obliterate meta-llama/Llama-3.1-8B-Instruct --method advanced

方式二：HuggingFace Spaces（零配置体验）
https://huggingface.co/spaces/pliny-the-prompter/obliteratus

方式三：Google Colab
https://colab.research.google.com/github/elder-plinius/OBLITERATUS/blob/main/notebooks/abliterate.ipynb

三种方式都提供：激活可视化（看拒绝方向分布在哪些层）、消融前后模型对话对比、基准测试量化。研究者可以导出中间激活张量、方向向量、跨层对齐矩阵等，用在自己的评估框架里。

项目边界：适合谁，不适合谁

适合：

• 对齐/可解释性研究者：探究”对齐”在大模型中究竟如何实现，研究拒绝表示的空间结构
• 安全红队：系统性地评估某个模型的安全边界，验证 RLHF 训练后的真实鲁棒性
• 模型开发者：对自己的模型做内测，检验安全机制是否被轻易绕过
• 可解释性极客：理解”一条向量”如何在高维空间里决定模型行为

不适合/不应使用：

• 把这个当”越狱工具”用于生产环境——消融后的模型没有安全机制
• 在没有审查流程的情况下对外提供消融模型服务
• 用于生成任何有害内容

作者在 README 中明确标注了”研究目的”（Research Purpose & Responsible Use），并将自身与 HarmBench、JailbreakBench、Anthropic 红队数据集并列。这不是”破解”，是正经的对齐科学研究——关键区别在于：研究是公开、可复现、有伦理边界的，而恶意使用不是。

这个工具真正重要的地方

OBLITERATUS 的价值不只在于”移除拒绝”，而在于它让一个此前停留在学术圈的研究成果，变成了任何人都可以在本地复现的工程实践。

此前如果你想研究”Llama 的安全机制藏在哪里”，你需要：读懂 Arditi 的论文，实现激活收集脚本，手写 SVD/PCA 投影，调试各种边界情况。现在一行命令就能得到可比较的结果，还能贡献匿名数据到社区共享数据集——这个众包机制设计得很聪明：用工具本身产生的 benchmark 数据，来迭代下一代更精准的 abliteration 方法。

GitHub 仓库：https://github.com/elder-plinius/OBLITERATUS

下一步建议：

1. 如果你在做对齐研究，先用 HF Spaces 跑一个 3B 模型（比如 Llama-3.2-3B-Instruct）的 abliteration，感受一下拒绝方向在第几层最强
2. 如果你在评估模型安全性，把你的目标模型跑一遍消融，记录哪些类型的 prompts 在移除安全机制后变得可响应——这就是真实的安全边界
3. 如果你对可解释性感兴趣，阅读 Arditi et al. (2024) 论文原文，OBLITERATUS 的代码库就是这篇论文的工程实现，两相对照读收获最大