提示词-激活对偶性：通过注意力层级干预改进激活引导 Prompt-Activation Duality: Improving Activation Steering via Attention-Level Interventions
提出GCAD方法在注意力层而非残差流注入引导信号，缓解多轮对话中的KV缓存污染。
前置知识
激活引导 (Activation Steering)
一种推理时的模型行为控制技术，通过在 transformer 内部表征（通常是残差流）上叠加一个对比性提取出的方向向量 $v$，按 $h \leftarrow h + \alpha v$ 的方式调节生成，而不修改模型权重。该方向一般通过对正/负对比提示（如'诚实' vs '不诚实'）的隐藏状态做差得到。
激活引导是表征工程的核心原语之一，本文的目标正是改进它，所以必须先理解它在哪里被注入、注入什么、以及为什么能影响生成。
KV 缓存 (Key-Value Cache)
自回归解码中为避免重复计算，每生成一个新 token 时都会把之前所有 token 的 Key 和 Value 缓存起来供后续注意力复用。缓存是按层、按头存储的张量，并且会随着对话轮次不断累积增长。
本文的核心论点是'被引导过的状态会被写回 KV 缓存并被后续 token 反复读取'，这正是 KV 缓存污染的来源——理解 KV 缓存是看懂本文故障模式的前提。
残差流与自注意力输出 (Residual Stream & Attention Output)
在 pre-norm transformer 中，第 $\ell$ 层的更新可写成 $h^{(\ell+1)} = h^{(\ell)} + \text{Attn}^{(\ell)}(\cdot) + \text{MLP}^{(\ell)}(\cdot)$。残差流 $h^{(\ell)}$ 是跨层累加的'主路'，而注意力输出 $\text{Attn}^{(\ell)}$ 和 MLP 输出则是支路贡献；两者的位置和数值含义完全不同。
标准引导在残差流的固定位置注入，而本文将注入点前移到注意力输出——理解这两条路径的区别是抓住 GCAD 与标准方法本质差异的关键。
Persona Vector (人格向量)
由 Chen 等人 (2025) 提出的一种特定激活引导方向：在'表达某人格特质'（如奉承、邪恶）与'抑制该特质'的两组对比提示下，分别平均各层残差流响应，再做差得到向量 $v_{\text{persona}}^{(\ell)}$。该方法主要用于监控和调控模型的角色化输出。
本文直接以 persona vector 作为对比基线（称为 'Original' 或 'Standard Steering'），并在它之上提出新的提取和注入策略，因此必须先了解标准 persona vector 是怎么定义的。
预训练解码器与层归一化 (Pre-norm Decoder & LayerNorm)
现代 LLM（Qwen2.5、Llama-3.1）普遍使用 pre-norm 架构：进入注意力或 MLP 前先做层归一化。本文公式 $a^{(\ell)} = \text{Attn}^{\ell}(\text{LN}_1^{(\ell)}(h^{(\ell)}))$ 中的 $\text{LN}_1^{(\ell)}$ 即 pre-attention 层归一化。该结构决定了干预点在数值上对应什么尺度的向量。
GCAD 在注意力输出位置（而非 post-LN 残差流）注入，干预点位置的选择直接关系到信号是否会被后续 MLP 再变换——这是论文分析路径依赖时的基本前提。
研究动机
现有的激活引导方法——尤其是 Chen 等人 (2025) 提出的 persona vector 残差流注入——在多轮对话中会出现严重的连贯性崩溃。论文的实验数据显示：在 Qwen2.5-7B-Instruct 上对 15 种人格特质做 10 轮对话评估，标准残差流引导（$\alpha=2.0$，注入第 20 层）的平均连贯性分数从第 1 轮的 76.6 跌到第 5 轮的 65.6，再到第 10 轮的 57.9，漂移 $\Delta = T_{10} - T_1 = -18.6$；其中 IMPOLITE 特质在第 10 轮连贯性几乎归零，HUMOROUS 甚至从 15.4 跌到 0.7。作者把这一现象定位为'KV 缓存污染'：每生成一个新 token，被引导的隐藏状态都被写进 KV 缓存；之后所有 token 在自注意力中读取的都是已污染的 Key/Value，扰动因此跨轮次累积，单点的局部干预最终放大成全局的连贯性坍塌。更关键的是，这种现象不是因为上下文变长（无引导 baseline 在同协议下稳定），也不是因为模型本身无法表达该人格（纯系统提示在同一多轮协议下既稳定又能表达特质），而是残差流单点注入这一路径本身的失败。
本文的目标是本文的具体目标是设计一种推理时的激活引导方法，使得在保持对目标人格特质的控制强度的同时，把多轮对话中的连贯性漂移降到最低。作者明确希望方法的介入路径与模型本就被训练去整合的提示词影响路径一致，从而既不会因重复注入而污染缓存，也不会强行让所有 token 都贴向人格方向。具体而言，目标是在 15 种人格特质、10 轮对话的平均设定下，把平均连贯性漂移从 $-18.6$ 拉到接近零，同时把第 10 轮的平均特质表达分数从 78.0 提升到更高水平。
与已有工作不同的是，作者指出了现有研究的两条空白：其一，已有激活引导评测绝大多数在单轮或短文本上做（Tan 等 2024、Pres 等 2024、Liu 等 2025），未能暴露 KV 缓存污染这一长程故障模式；其二，已有 KV 缓存相关工作主要关注推理效率（Dao 2022、Zhang 2023），而不关注'被干预过的状态被反复缓存'带来的行为层面后果。同时，关于'steering 应该注入到前向计算的哪个位置'这一问题在文献中几乎没有被讨论——绝大多数方法都默认沿用残差流这一最朴素的选择。基于这一观察，作者提出'prompt–activation duality'的视角：既然系统提示在多轮下既稳定又能控人格，那么引导信号就应该从系统提示在注意力中的贡献里提取，并在注意力层而非残差流注入，让干预复用模型本来就有的提示整合路径，而不是绕过它。
核心方法
GCAD（Gated Cropped Attention-Delta steering）的整体思路可以用一句话概括：从'对比系统提示在 self-attention 输出上的差异'中提取引导信号，并把这一信号在原注意力输出位置、按照 token 级的门控系数加回去。具体来说，方法分两步——提取和注入。提取阶段先用一组正/负系统提示（强调人格 vs 抑制人格）在模型上各跑一遍前向传播，取每一层 self-attention 输出 $a^{(\ell)} = \text{Attn}^{\ell}(\text{LN}_1^{(\ell)}(h^{(\ell)}))$，把这一层对所有 source token 的注意力求和裁剪到只剩系统提示 token 的贡献（式 7），再做对比差分得到 $\Delta^{(\ell)}$（式 8）。注入阶段则按式 11 修改：$a_{t,\text{steered}}^{(\ell)} = a_t^{(\ell)} + c_t^{(\ell)} \Delta^{(\ell)}$，其中门控系数 $c_t^{(\ell)}$ 由该 token 的 query 与系统提示平均 key 之间的相似度（式 9）经过以均值为中心的 sigmoid（式 10）得到。这样三个设计原则被一一落地：P1（路径对齐）保证信号从注意力路径取出也在注意力路径注入；P2（裁剪系统提示贡献）保证不把已生成 token 的 value 内容重新喂回缓存；P3（token 级门控）保证只在那些与提示相容的 token 上做强引导，整体上重现了系统提示'sparse、prompt-like'的影响模式，而不是'每个 token 都被推向量方向'的暴力注入。
GCAD 与已有方法（尤其是 persona vector 残差流引导）有三处本质区别。第一是路径选择：标准方法在残差流 $h^{(\ell)}$ 上做单点加法，GCAD 改成在注意力输出 $a^{(\ell)}$ 上做加法，让扰动先经过后续 MLP 变换再进入残差流，从而不直接污染缓存的 raw 状态。第二是信号来源：标准方法用 post-MLP 残差流的对比差作为方向，论文通过式 5 的分解表明这个方向其实是'词嵌入差异 + 注意力累积差异 + MLP 累积差异'的混合，且嵌入了大量响应内容；GCAD 只取注意力累积项中来自系统提示 token 的部分（'cropped'），从而剥离了响应相关成分。第三是注入系数：标准方法用一个全局标量 $\alpha$ 在每个 token 上施加同强度干预，GCAD 用 sigmoid 门 $c_t^{(\ell)}$ 做 token 级调制，门值由 query–key 相似度决定，使得引导强度集中在'模型本身就该沿着人格方向走的 token'上，其它 token 反而被压制。这种'稀疏、对齐提示路径'的设计哲学是 GCAD 区别于所有现有 steering 方法的核心。
方法步骤详情
方法分训练（提取）和推理（注入）两个阶段。**提取阶段**：对每个目标人格特质，准备正/负两组系统提示 $D^+$、$D^-$（如奉承特质：'强调赞扬和同意' vs '优先考虑准确和诚实'）。对每个输入分别做一次前向传播，在响应 token 位置 $\mathcal{R}$ 上记录每一层的 $a^{(\ell)}$，并按式 7 把 attention 求和裁剪到系统提示位置 $\mathcal{S}$ 上得到 $\text{Attn}_{\text{sys}}^{(\ell)}(h_t^{(\ell)})$。然后按式 8 对正负集分别取均值再相减，得到每层的 cropped attention-delta 向量 $\Delta^{(\ell)}$。同时按式 9 计算响应 token 的 query–系统提示平均 key 兼容性 $d_i^{(\ell)}$，并记录均值 $\bar{d}^{(\ell)}$ 用作门控中心。**门控设计**：对每个生成 token $t$，按式 10 计算门值 $c_t^{(\ell)} = 2 c_{\text{base}} \cdot \sigma(s \cdot (d_t^{(\ell)} - \bar{d}^{(\ell)}))$，其中 $c_{\text{base}}$ 控制名义强度、$s$ 控制尖锐程度。**推理注入**：在选定的多层范围 $\ell \in [9, 19]$ 上，把每层的 $a_t^{(\ell)}$ 替换为 $a_t^{(\ell)} + c_t^{(\ell)} \Delta^{(\ell)}$，再走原本的残差和 MLP 更新（式 11）。**超参**：论文报告的主实验使用 $c_{\text{base}} = 3.5$、$s = 1.5$、层范围 $[9, 19]$、温度 1.0、最多 500 新 token/轮。
技术新颖性
技术新颖性体现在三个层面。第一，**机理上的新诊断**：论文给出了一个显式的代数分解（式 5），把 persona vector 拆成 embedding、attention path、MLP path 三部分，并指出只有 attention path 是真正的'提示介导的特质通道'。这一分解之前在文献中没有被显式给出。第二，**接口上的新位置选择**：之前所有 steering 方法几乎都默认残差流注入位；本文第一次系统论证'该注入到哪个计算位置'是一个独立的设计维度，并实证证明 attention-output 注入在多轮下显著优于 residual-stream 注入。第三，**门控上的新机制**：用 query–system-key 的兼容性作为 token 级门控信号，这一构造完全复用了模型已计算的 Q/K，不引入额外参数网络，且天然能复现系统提示'sparse projection'的模式。这种'从机制分析 → 干预位置 → token 级门控'的递进式设计，是 GCAD 在表征工程方法论上的主要贡献。
实验结果
**主结果（Q1：是否同时保持特质控制与多轮连贯性）**：在 Qwen2.5-7B-Instruct 的 15 特质 10 轮对话平均上，标准残差流引导（'Original'，第 20 层 $\alpha=2.0$）的特质表达均值是 81.5、连贯性均值是 65.9、漂移 $-18.6$；GCAD（层 $[9,19]$，$c_{\text{base}}=3.5$，$s=1.5$）则把三者分别提升为 91.8、88.1、$-1.9$，并且把第 10 轮特质表达从 78.0 提到 93.1。分特质看提升最大的几项：CREATIVE 的连贯性均值从 38.1 提到 92.2（漂移由 $-56.5$ 改善到 $-0.8$），HUMOROUS 从 3.7 提到 80.5（漂移 $+15.2$，是唯一一个漂移为正且最大的案例），IMPOLITE 从 1.3 提到 66.9，SYCOPHANTIC 从 56.7 提到 93.4。**消融（Q2：哪个组件在防止 KV 缓存累积）**：在 EVIL 和 HUMOROUS 上对比去掉裁剪（P2）、去掉门控（P3）、两者皆去三种变体。EVIL 上 GCAD 完整版的连贯性均值 68.7、漂移 $-3.8$；去掉裁剪后虽然均值升到 78.6 但漂移扩大到 $-5.4$，去掉门控则漂移为 $-7.9$，两者皆去漂移 $-6.6$。HUMOROUS 上 GCAD 完整版的漂移 $+19.1$，去掉裁剪后漂移扩大到 $+44.2$（说明裁剪抑制了'响应相关累积'），去掉门控后漂移反向变为 $-10.5$（说明没有门控时引导会过强）。两个组件是互补的，单拆一个往往会以牺牲另一指标为代价。**层分布（Q3：信号是否在 attention 层分散）**：$\|\Delta^{(\ell)}\|_2$ 在大多数特质上峰值都在 $\ell=19$（对应原 baseline 的注入层），但在 $[9,18]$ 区间也持续具有可观质量；HUMOROUS 是个例外，峰值落在 $\ell=9$，正好解释了为什么单点残差流注入对 HUMOROUS 效果最差。**门控行为（Q4：是否复现 prompt-like 稀疏模式）**：图 5b 给出 EVIL 示例的逐 token 门值 $c_t^{(\ell)}$，浅层近似均匀、深度增加后变稀疏，抑制已经在人格方向上对齐的 token、放大尚未对齐的 token；层均值始终接近 $c_{\text{base}}$，说明门控是'重新分配强度'而非'整体放大'。**模型泛化**：在 Llama-3.1-8B-Instruct 上同样观察到 GCAD 一致优于标准方法（论文报告了主要趋势但附录详述）。
查看结构化数据
| 任务 | 指标 | 本文 | 基线 | 提升 |
|---|---|---|---|---|
| 多轮对话人格引导（15 特质平均） | 平均连贯性漂移 $\Delta = T_{10} - T_1$（越接近 0 越好） | $-1.9$（GCAD，Qwen2.5-7B-Instruct，层 $[9,19]$，$c_{\text{base}}=3.5$，$s=1.5$） | $-18.6$（标准残差流引导，第 20 层 $\alpha=2.0$） | $\Delta$ 改善 $16.7$ 个绝对点，幅度近 10 倍；10 轮累积崩溃几乎完全消失 |
| 多轮对话人格引导（15 特质平均） | 10 轮平均特质表达分数（GPT-4.1-mini 评分，0–100） | 91.8 | 81.5 | +10.3 绝对点（约 12.6% 相对提升），说明 GCAD 不是以牺牲控制强度为代价换取稳定 |
| 多轮对话人格引导（15 特质平均） | 第 10 轮特质表达分数 | 93.1 | 78.0 | +15.1 绝对点；标准方法在末轮的特质表达实际上已经被连贯性崩溃拖垮 |
| 多轮对话人格引导（CREATIVE 特质） | 10 轮平均连贯性 | 92.2 | 38.1 | +54.1 绝对点；标准方法在 CREATIVE 上漂移 $-56.5$，GCAD 压到 $-0.8$ |
| 多轮对话人格引导（HUMOROUS 特质） | 10 轮平均连贯性 | 80.5 | 3.7 | +76.8 绝对点；标准方法在 HUMOROUS 上连贯性几乎归零（$T_{10}=0.7$），GCAD 反而把漂移做成 $+15.2$ |
| 消融：HUMOROUS 特质 | 5 轮连贯性漂移 $\Delta$ | +19.1（GCAD 完整版） | +44.2（去掉 P2 裁剪）/ $-10.5$（去掉 P3 门控）/ $+1.3$（两者皆去） | 完整版优于所有消融变体；说明 P2 与 P3 互补，缺一不可 |
局限与改进
作者在文中坦承的局限性包括：评测只在 Qwen2.5-7B-Instruct 和 Llama-3.1-8B-Instruct 两个 7B/8B 级别的指令微调模型上做，没有在更大的模型（如 70B）或非指令微调基模型上验证；评测完全依赖 GPT-4.1-mini 作为评判，对 judge prompt 的敏感性没有做系统消融；特质数量 15 个虽然比之前多，但仍属于人为定义的'角色化'特质，与真实部署中的安全/对齐/风格控制差距较大；KV 缓存污染的因果证据是间接的（通过一致性比对与层门值行为推断），没有给出'清除缓存后崩溃是否消失'的对照实验。我自己的观察还包括：门控中心 $\bar{d}^{(\ell)}$ 和 $c_{\text{base}}$、$s$ 这些超参在所有 15 个特质上用同一组值，缺乏按特质自适应选择的研究；论文假设系统提示结构固定，没有讨论当用户提示中也含人格相关信号时 $S$ 的边界该如何划分；当把 GCAD 应用到非'角色化'任务（如代码生成、事实问答）时是否仍然有效，作者没有给出实验。
独立分析的弱点
第一个弱点是**超参固定的鲁棒性**：论文报告的所有主结果都用 $c_{\text{base}}=3.5$、$s=1.5$、层范围 $[9,19]$，但实际上不同特质的 $\|\Delta^{(\ell)}\|_2$ 峰值位置差异巨大（HUMOROUS 峰值在 $\ell=9$，其它多数在 $\ell=19$），意味着不同特质的最优注入层和强度可能需要自适应调整；改进方向是引入轻量级自适应选择机制（例如按 $\|\Delta^{(\ell)}\|_2$ 的分布自动选层、按 $d_t^{(\ell)}$ 的方差自动选 $s$）。第二个弱点是**门控信号的语义稳定性**：当前门控用 query–system-key 的兼容性作为'是否该施加引导'的代理，但这一相似度本身会随上下文变化，理论上也存在被污染的可能；改进方向是引入显式的'特质对齐分数'作为补充门（如 token 与 persona vector 的余弦），或者借鉴 RLHF 中 reward model 的设计。第三个弱点是**评测协议单一**：只在 10 轮、温度 1.0、最多 500 token 的设定下评测，对更长上下文（20+ 轮）、不同温度下的稳定性、混合任务（同一对话中既要写代码又要保持人格）这些真实部署场景缺乏验证；改进方向是扩展到更长对话与多任务交错场景。第四个弱点是**理论分析偏定性**：虽然给出了式 5 的分解，但'KV 缓存污染导致崩溃'的核心论断没有形式化证明；改进方向是给出'扰动在缓存中累积次数上界'的收敛性分析。
未来方向
作者明确提到的未来方向包括：（1）把 GCAD 的'cropped attention-delta'思想推广到其它对比对（如拒绝方向、诚实方向、情绪方向），验证框架通用性；（2）把 GCAD 与细粒度可解释性工具（如 attention pattern 可视化、激活补丁）结合，给出 KV 缓存污染的进一步机制证据；（3）探索与 LoRA 或 prefix-tuning 的混合方案，把推理时引导与训练时适配结合。基于成果还可以延伸的方向有：（4）把'steering 注入位置'这一维度作为独立研究对象，论文目前只对比了 attention-output vs residual-stream，可以扩展到 MLP-output、logit 层、token embedding 层；（5）把 GCAD 的 token 级门控推广到任务级或段级门控，对长文档生成或多轮任务切换场景可能更自然；（6）将 query–key 兼容性的稀疏模式用于模型行为的可解释监控，作为一种轻量级'特质泄漏检测器'。
复现评估
论文在脚注中声明代码仓库名为 'GCAD'（指向一个 GitHub 项目），但正文中没有给出具体 URL，附录也未明示；从可获取信息看，提取和注入阶段的算法描述是完整的（式 6–11 给出了所有关键公式），实验设置也较为详细（Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、60 个对话/特质、20 个问题组 × 3 个解码样本、温度 1.0、500 token 上限、GPT-4.1-mini judge、10 轮 KV 缓存持久化）。复现所需算力主要来自两阶段前向传播（每个特质跑正/负系统提示下的全部 response token 取均值），按 7B 模型一次前向大概需要 1 张 A100（80G）量级的显存；评测阶段 60 对话 × 10 轮 × 2 模型 × 15 特质的生成成本较高，估计需要数十到上百 GPU 小时。复现难度中等偏低，因为不涉及训练，只需实现 attention-output 注入和门控计算；最大不确定性来自 judge 模型（GPT-4.1-mini）的具体 prompt 和版本，附录 C 提到提供了具体 prompt 但本论文片段未列出，需进入正文核对。
论文图表
左侧子图绘制了'Standard Steering'、'System Prompt'、'No Steering'三种方法在多轮对话下的'Coherence Score per Turn'，可见标准引导的连贯性随轮次快速下降，提示词和无引导则保持稳定；右侧子图绘制对应的'Trait Expression Score per Turn'，提示词相对无引导显著提升特质表达，但标准引导在末轮因崩溃反而下降。
这是整篇论文'故障现象'的首次可视化，是论证'KV 缓存污染'存在的核心证据，让读者一眼看到标准残差流引导在多轮下失败的严重程度。
在 EVIL 特质同一问题上，对比激活引导（左）和系统提示（右）下每个生成 token 与 persona vector 的余弦相似度。激活引导下几乎所有 token 都被推向人格方向且越到后期越饱和；系统提示下只有少数语义上与特质相关的 token 出现强对齐，多数 token 接近零。
揭示了为什么系统提示既能控特质又不破坏连贯——它走的是 sparse、semantically-justified 的路径，而标准激活引导走的是 dense、uniform 的路径，是 GCAD 设计 P3 门控的直接动机。
(a) 横轴是层索引（0–27），纵轴是 $\|\Delta^{(\ell)}\|_2$，每条曲线代表一个特质；阴影区间是 GCAD 实际使用的 $[9,19]$，虚线是 $\ell=19$（原 baseline 注入层）。大多数特质峰值在 $\ell=19$，但 HUMOROUS 峰值在 $\ell=9$。(b) 对一个 EVIL 示例画出每层逐 token 门值 $c_t^{(\ell)}$ 的热力图，浅层近似均匀、深层变稀疏。
同时回答 Q3（层分布）和 Q4（gate 行为），是论文最关键的两条机制性证据；尤其 HUMOROUS 峰值左移到 9 层这一现象解释了为什么单点注入对 HUMOROUS 必然失败。