2026-10-12
2026-10-12
仅凭互信息无法认证开放权重模型的慢速微调恢复能力
Removing Information Content Does Not Certify Tamper Resistance in Open-Weight Models
具体局限在于，发布时的统计量与攻击行为并不匹配。Deep Ignorance 报告称，经过过滤的模型在其 10,000-step、305M-token 预算内抵御了所测试的对抗性微调攻击；但其开放式评估发现，只要在上下文中提供相关信息，所有受评估的防御都会失效。这一结果受评估方案限制，并不能提供不依赖发布方案的恢复时间保证。
Rosati 等人将这种不匹配形式化。在平滑且与表示相容的对称变换下，某种变换可以保留相关互信息，同时改变参数雅可比矩阵；对于朴素梯度下降下可逆、线性且保持损失的变换，这种变化表现为依赖轨道的预条件器。随后，他们分别研究权重—数据互信息和标签—表示互信息，而不是把“信息移除”视作单一量。
决定性的反例规模虽小，却是精确的。在一个标量训练构造中，将一个有害样本移至序列后部，会在保持其权重—数据互信息不变的同时改变恢复时间。在另一个独立的线性构造中，发布时的标签—表示互信息为零，但梯度下降仅需一次更新就能达到零损失；该例假设输入中仍保留与任务相关的结构，并指定了特定表示和攻击。这些结果排除了在包含上述构造的攻击类别和发布类别中，仅凭互信息对恢复时间给出普适下界的可能性。
实验检验了这一机制能否在玩具模型之外成立。在 Deep Ignorance 检查点比较中，精确的 Q/K 重缩放保留了所表示的函数，却改变了首次记录到训练准确率达到 60% 时的更新步数中位数：未过滤检查点从 125 变为 225 次更新，而未缩放的强过滤设置为 150 次更新；在 293 次更新时，α=8 的强过滤设置达到 69.3±4.4%，α=1 的未过滤设置达到 68.9±1.8%。该比较采用配对单种子和全模型朴素 SGD，因此不能与 Deep Ignorance 更长时间、针对多种攻击的评估直接等同。Pythia 的顺序实验同样报告了在目标暴露量固定时，恢复情况依赖数据顺序，但并未测量权重—数据互信息；固定互信息下依赖顺序的精确结果来自标量命题。
可迁移的做法是分层评估：先测量发布统计量，再明确指定并压力测试攻击动态，包括优化器、可训练模块、学习率、数据顺序、参数化方式和预算。论文明确划定了自身结论的边界：轨道推导针对朴素梯度下降，其他优化器或受限的可训练模块需要单独分析。因此，本文质疑的是将互信息单独用作认证指标，而不是否定过滤或遗忘在所有场景中的作用。
阅读本文，可以了解如何将发布时的信息度量与决定恢复速度的优化器和参数化方式区分开来。
abstract; Section 3, Lemma 3.1; Section 4, “Deep Ignorance: recovery rankings depend on coordinates”; experimental protocol and values in Appendix B.1; Section 4.1, Proposition 4.2; Section 4.1, Figure 2 caption; protocols in Appendix B.2; Section 5.1, Proposition 5.3 and proof; Section 5.1, paragraph following Proposition 5.3; Section 3, paragraph following Proposition 3.2 · §3.2, Pretraining data filtering confers state-of-the-art tamper resistance; §4.1, Retrieval-augmentation attacks
标签翻转测试揭示实体对齐任务中 LLM 评审对决策标签的敏感性
Reliability of LLM Judges for Evaluating Entity Alignment
大规模评估实体对齐（EA）系统成本高昂，因为这需要专家标注。本文探讨的问题是：LLM 评审是在评估 EA 决策所依据的证据，还是在跟随可见的 MATCH/NON-MATCH 标签？研究使用扰动偏差诊断、跨数据集—评审模型—提示组合的元评估、反事实标签翻转以及人工核查，对三种前沿模型、三个数据集和四种 EA 系统进行了基准测试。
一项相关的反事实增强数据研究曾要求人工编辑者做出连贯且尽可能小的改动，使指定的备选标签成立；这些例子被用于探查并增强任务模型训练。该研究也提醒，研究并未正式识别因果效应，因为人工编辑可能改变文档的多个方面。本文改变了干预目标：在证据对保持不变的情况下翻转显示的 EA 决策，以测试评估者，而非编辑训练样本。
在标签翻转测试中，该干预支持这样一种因果效应：可见决策标签会影响评审评分。在报告的各项条件中，53–99% 的样本对评分变化超过两分。这个数字衡量的是敏感性，本身并不表示变化方向，因为 FSR 衡量变化幅度，而论文将标签跟随行为单独报告为 LFR。当系统决策可见时，评审的判别能力经常崩溃或反转，尤其是在具有独特名称的通用领域数据集以及许多生物医学条件下；不过，这种模式并非普遍一致。
在具有独特名称的数据集上，无标签方案的 J-ROC-AUC 达到 0.93–1.00；在生物医学样本对上则为 0.93–0.95。这种恢复有其条件：无标签提示既改变了标签暴露，也改变了任务框定方式——从判断系统决策变为预测是否对齐，因此它并非只移除标签可见性的消融实验。另有实验显示，在生物医学基准中移除实体身份线索，会导致许多评审模型—提示条件下的评分大幅下降，这与评审依赖可识别名称的情况相符。一项由两名标注者对 102 个样本对进行的盲评研究报告 Cohen’s kappa=0.902，但标注者是论文作者，而非独立的外部专家。
对于新的评估器，可复用的做法很简单：固定证据对，只翻转显示的决策，记录评分变化的幅度和方向，并将所得判断与金标准正确性进行比较。研究范围仍然有限：只评估了三种闭源前沿评审模型；开源模型和非英语数据集尚未测试。报告的判别能力采用 50/50 类别平衡评估；生物医学金标准链接继承自 UMLS CUI 的共同成员关系，而非新近裁定的标注。论文还发布了一个包含 15,000 对 MeSH–SNOMED CT 的资源，重复使用时需考虑其来源和许可限制。
本文为研究者提供了一种具体审计方法，用以检测 LLM 评估器究竟响应证据还是可见的系统标签，同时也说明为何不能将无标签条件下的恢复解读为纯粹移除标签的效果。
Caddie 通过从同一状态分支来训练 LLM 评论者
Training Advisors for LLM Agents from Task Outcomes
Caddie 针对一个具体的监督缺口：自然语言反馈不必依赖逐步标签或参考评论进行训练。它根据评论之后智能体继续执行所得到的最终结果来赋予评论者奖励，同时冻结基础模型，只更新评论者。
针对冻结学生模型、通过结果训练建议的方法，Advisor Models 已经有所体现；本文在方法上的明确区别是，Caddie 显式地从相同前缀分支，并在候选评论之间进行组内相对信用分配。对于每个采样的中间点，Caddie 会生成多个候选评论，将每条评论分别附加到同一前缀，运行冻结智能体的后续执行，以平均终端奖励为每条评论评分，在组内对奖励归一化，然后仅用 DAPO 更新评论者。推理时，智能体可以调用评论工具；主要评估允许每条轨迹最多使用三次评论。
在同域评估中，相较于不使用评论者，Caddie 在附带段落的 MuSiQue 上将平均成功率提高 25.31 个百分点，在使用 Wikipedia 检索时提高 10.75 个百分点，在 ALFWorld 上提高 25.93 个百分点。在报告的六种未见基础模型条件下，MuSiQue 训练的评论者平均表现都高于不使用评论者和两种提示式评论者基线，尽管使用 Wikipedia 检索时的增益比附带段落时小得多，也不那么稳定。无需进一步训练，MuSiQue-wiki 评论者也能迁移到未见任务类别：使用 Qwen3.8-27B 时，三个受评任务的平均成功率均有所提升，包括 τ³ Retail 和 Airline。
迁移结果有其条件，并非总是正向：在 Qwen3.8-27B 上，附带段落训练的变体将 DeepDive 成功率从 48.83% 降至 44.53%。对研究者而言，可复用的做法是将建议作为干预来评估：固定一个中间状态，让同一智能体在几条候选评论下分别分支执行，并利用终端结果进行相对信用分配。这种做法要求对每个采样状态运行多次基础模型后续执行，并在各分支间恢复等价的环境状态。论文仅训练了 Qwen3-4B 评论者，因此评论者容量对效果和迁移的影响尚未得到验证。论文也未在计算量和推理条件匹配的情况下证明其优于标量验证；自我调用比较还以智能体请求帮助为条件，并非因果干预。在自包含任务上，结果目标反而可能训练评论者生成完整解答，供基础模型照搬。
阅读本文，可以了解一种通过同状态分支、利用终端奖励训练语言建议的方案，并检验其迁移效果能否经受模型、领域和环境限制。
abstract; Section 1, paragraph 5; Section 2.2; Section 3.1; Section 3.2, Table 1 and accompanying text; Section 3.3, Table 2 and accompanying text; Section 3.4, Table 3 and accompanying text; Section 5, Practical constraints; Appendix K, Environment restoration; Section 5, Practical constraints; Appendix K, Critic scale; Section 5, Scalar verification; Section 4, Figure 2 caption; Section 5, Task structure; Appendix K, Task structure · abstract
改变动作的场景反事实揭示 VLA 策略中的指令—动作绑定
较高的分布内成功率和对无关变化的鲁棒性，可能掩盖模型在需要采取不同动作的反事实变化上的失败。本文将这种失败称为指令—动作绑定：策略能够响应语言和视觉信息，却没有将二者结合起来，选择任务所要求的动作。这种诊断比“忽略语言”更具体：失败的执行轨迹可能保留源任务行为，也可能切换到另一个已演示任务。
在针对官方微调版 π₀.₅ 的 381 项定向 LIBERO-PRO 测试中，69.3% 被标记为源任务检索、其他任务检索或混合检索，而 26.5% 被标记为正确或近乎正确地遵循指令；“类似检索”的归类是行为标签，并不能证明存在检索算法。在 45 个 Goal 案例中，根据依赖指令的 prefix-KV 读出结果，实际执行的熟悉任务在 34 个案例中排名第一，在 43 个案例中进入前三。替换该任务条件状态后，109/200 条执行轨迹中的末端执行器运动转向目标物体，而对照组为 0/200；但没有一条注入后的执行轨迹完成目标任务。
ECT 针对的是监督方式上的这一缺陷。它提供指令相同、但场景有别且要求不同动作的有效演示，然后在同一次更新中用一条演示及其对应演示进行训练。这与 CAST 提供备选指令—动作分支所采用的反事实维度不同：ECT 固定指令，同时改变场景和所需动作。一项实用的研究做法是，在相信总体鲁棒性指标之前，先测试指令相同、动作发生变化的配对样本，并将增加备选样本带来的收益与配对训练本身的收益区分开来。
在匹配的 LIBERO-PRO π₀.₅ 实验中，完整的 ECT 将位置互换任务的平均成功率从 36% 提高到 59%；组件消融结果表明，增添数据贡献了大部分提升，而配对训练并非在所有情况下都有帮助。在 CALVIN 上，由于对应样本本来就自然存在，配对损失无需构造演示，就将五任务完成率从 58% 提高到 76%；这是单随机种子结果。在固定 400 条演示的 UR5e 预算下，Standard 在 3/40 次未见位置试验中成功，ECT 数据在 30/40 次中成功，配对方法则在 35/40 次中成功。
这些结果并未证明模型具备完整的反事实泛化能力：在每个测试套件中，Swap 和 Task 的表现都低于分布内表现。配对损失比较同时改变了对应样本的共同呈现方式、样本平衡，以及共享的流匹配噪声/时间。训练种子方面的证据有限，尤其是在 CALVIN 上；证据来自特定任务的微调，并不涵盖通用型、富接触、移动或导航场景。LIBERO-PRO 的 Environment 扰动也未接受评估。
阅读本文，可以了解如何将含糊的 VLA 鲁棒性主张转化为指令相同、动作发生变化的反事实测试，并进一步区分新增演示的价值与配对优化的价值。
abstract; Section 4.1, S4.SS1.p1; protocol in Appendix E.1, A5.SS1.p2; Section 5.2, S5.SS2.p1; Tables 2 and 4; seed details in Appendix G.3; Appendix K, A11.p1; results in Table 23 · abstract
RoboJEPA 将潜在轨迹误差转化为机器人规划的条件性缩放代理指标
RoboJEPA: Scaling Robotic Latent World Models
V-JEPA 2-AC 已报告了动作条件化的潜在预测、基于图像目标的 CEM 规划，以及在不到 62 小时的 DROID 交互视频训练后实现的零样本真实机器人部署。RoboJEPA 将实证研究目标转向另一个问题：预测器计算量能否预测潜在轨迹预测质量和下游规划表现，而不仅仅是展示部署能力。
RoboJEPA 在涵盖 12 种机器人具身形态的数据上训练基于 JEPA 的潜在世界模型。其缩放实验将预测器规模从 22M 扩大到 8B 参数，同时保持预训练的 V-JEPA 2.1 编码器冻结。离线指标是在留出的 DROID 和 RoboCasa 数据上，对九步轨迹预测取平均后得到的逐 token 潜在 L1 误差。作者使用 22M–2B 模型拟合候选计算量—误差关系，并在留出的 4B 和 8B 检查点上测试外推效果。
关键结果是比较性的，而不只是相关性：在这些留出的检查点上，报告的二阶幂律外推误差低于标准幂律、BNSL 和 UNSL。作者还报告，在两个短时域 RoboCasa 规划任务上，下游表现随训练计算量增加而提升。然而，对于长时域障碍物规划，证据取决于训练方案：所报告的提升使用 K=10、混合分辨率冷却阶段，而非 K=2、240×320 冷却阶段；论文将其计算效率优势定位在约 10^21 FLOPs 以上。因此，该比较并未单独隔离模型规模的影响。
在真实 Franka 任务上，作者报告整体表现随模型规模增大而提升，尽管各个任务的成功率并非严格单调。这些估计基于每种模型—任务组合的 30 个回合，所提供的方案未报告不确定性区间。
可迁移的研究做法是：仅用较小的检查点拟合离线规律，冻结表示、数据混合、规划器和评估方案，然后在更大的留出模型上同时测试潜在误差外推和任务级规划。一个有价值的后续问题是，误差排序能否按任务和时域分别预测规划表现，而不仅仅是在总体层面成立。应对结果作狭义解读：该规律针对基于单一固定预训练表示的预测器；作者称，在固定语料上的拟合已接近数据饱和。受测智能体还只规划到单个图像目标，不使用文本，也不使用学习得到的动作提议。
阅读本文，可以了解一种将离线潜在轨迹指标与下游规划联系起来的具体范式，同时看清长时域任务中训练方案发生变化，如何削弱仅从模型规模作出解释的依据。
abstract; Section 3.1, World Model Scaling Laws; Section 3.1, Table 2 and Results; Section 3.3, Better Scaling for Long Horizon Planning; Section 5, Conclusion; Section 3.4, Real World Robotic Capabilities; Appendix G.2, Table 12; Appendix G.2, Real-robot tasks and evaluation protocol · Section 3.1; Section 4.1–4.2, Tables 2–3; Appendix B.1–B.2