AI 论文早报｜8 月 19 日：5 篇新论文把失效拆成规则、记忆、视角、提示与前提

今日先看

• 安全评测的关键反直觉：2608.16852 发现，多个合规检测器即使收到明确规则，也可能主要识别「像不像违规场景」，而不是把规则和场景组合起来判断。论文同时给出一个只需少量标注、单次投影的内部读数，但作者明确把它的主张限定为结构性审计，而不是更高准确率。
• 长上下文的容量调度：2608.16844 不增加记忆总量，而是让模型早期只使用一部分状态、随后逐步解锁其余块。这个设计把「早期记忆污染」和「后期写入干扰」放到同一个机制里处理。
• 无相机位姿的新视角合成：2608.16863 复用一次 3D Gaussian Splatting 重建产生的三种信号：渲染图、每个 Gaussian 的来源视图可见性和重建 token。最值得看的是，参考视图怎么选本身就能带来约 7 dB 的输出质量差异。
• 提示词中的弱信号会叠加：2608.16834 在非推理模型和推理模型上测试了动物列表、JSON、同义改写和错别字等线索。作者报告，随机提示的加性模型在留出配置上的 中位数为 0.75，但这仍是受控模板实验，不是对所有自然语言的普遍攻击成功率。
• 不确定时不只会说「不知道」：2608.16554 用 120K 个合成缺前提样本训练 ACA-RL，并用 274 个专家核验样本组成 MPB。Qwen3-8B 上，MPB Behavior Score 从 Vanilla PPO 的 8.66 提升到 51.73；相比只训练拒答的 IDK-RL，提升幅度较小，但方向转向了条件回答和主动追问。

1. 合规检测器究竟读到了规则，还是只读到了场景？

问题背景

方法要点

结果亮点

• 在同分布校准的 OmniCompliance 设置中，ICS 报告 AUROC 0.952；作者同时强调，这个数字不能单独说明模型把规则和场景组合起来了。
• 在留一分布外测试中，ICS 的平均 AUROC 为 0.728，11 个分布中有 10 个高于 0.60；相应的预算匹配随机方向 null 为 0.557。但 TF-IDF 在 pooled mean 上也达到 0.728，说明跨分布平均值不能替代结构性诊断。
• 在规则干预实验中，作者报告删除、打乱或替换规则不会让多数检测器的 AUROC 显著下降。这个结果支撑的是「检测器可能依赖泛化违规信号」的审计结论，而不是「所有模型都完全不读规则」。
• 在 IFEval 响应筛选应用中，ICS 让机械核验通过率提高 5.2 个百分点；但白盒自适应攻击可以把同一机制推回其预注册下限。作者因此把应用范围限定在非对抗场景。
• 在安全基准上，系统还暴露出过度拒答的代价：WildGuard 对 OR-Bench 中的 adversarially-benign prompt 标记率达到 75%。这个结果提醒读者，合规域上的检测排名不能直接外推成部署安全性。

一句话阅读价值

2. Proteus：让长上下文记忆按位置逐步开放

问题背景

方法要点

结果亮点

• 在 760M 和 1.3B 两个规模、四类 backbone 上，作者报告 Proteus 都提高了平均下游准确率，并且几乎所有设置都降低了困惑度；论文的 Table 1 给出逐模型逐任务结果。
• 在 Needle-in-a-Haystack 中，收益集中在较长上下文和更难的 needle 变体；短上下文中原模型已经接近饱和时，Proteus 基本保持中性。论文特别报告 16K 上 Titans 的 S-NIAH-2、S-NIAH-3，以及 Comba 的 S-NIAH-2 有明显改善，同时多 needle 任务也出现提升。
• 在 LongBench 上，Proteus 提高了 Hope-Attention、Comba 和 Titans 三个 backbone 的平均分，且不增加参数或记忆总量。
• 论文的关键边界是：解锁计划在 8K 训练窗口内完成，16K 推理时不会继续增加容量。因此 16K 的收益更像是早期瓶颈带来的更干净压缩和更平缓退化，而不是推理阶段无限扩容。

一句话阅读价值

3. SplatGuide：一次 3D 重建，提供三种新视角条件

问题背景

方法要点

1. 几何信号：把 3DGS 场景渲染到目标和参考位姿，作为像素对齐的几何条件。
2. 可见性信号：把每个 Gaussian 的来源视图索引渲染成目标视图中的 voting map，用 first-hit visibility 选择真正覆盖目标区域的参考图。
3. 特征信号：将重建模型的 camera token 与 register token 通过 cross-attention 注入扩散生成器。

结果亮点

• 在 RealEstate10K 的 3-view 设置中，SplatGuide 比最强的 pose-only diffusion baseline 高 3.05 dB；9-view 时，它超过了使用真实相机位姿的 SEVA。
• 在同一数据集的 3-view 设置中，它比 WorldMirror 高 5.39 dB，比 AnySplat 高 6.71 dB。这个差距对应的是扩散先验补足未观测区域的能力，不是单纯的几何重建精度。
• 在 DL3DV 上，SplatGuide 在各输入视图数量下都取得最好的 LPIPS；例如 6-view 时，作者报告其 LPIPS 为 0.31，而 RayZer 为 0.54，尽管 RayZer 在部分设置的 PSNR 更高。
• 只固定生成器、改变参考视图选择策略时，不同策略的输出质量相差约 7 dB。在稀疏预算下，SplatGuide 比最佳已有策略 Surfel 高 1.3 dB，比 CamDist 高 3.9 dB；预算变大后差距缩小到 1 dB 以内。
• 在 DL3DV 的 9-view 消融中，作者用 predicted pose baseline、渲染图、camera token 和 register token 逐步加入条件，结果支持三种信号互补；不过这类消融仍依赖论文设定的数据分布和冻结的扩散 backbone。

一句话阅读价值

4. Model Hypnosis：弱提示线索可以叠加成强控制

问题背景

方法要点

结果亮点

• 在随机 prompt 配置上，加性模型对留出配置的 跨模型和 cue-effect 组合约为 0.30–0.99，5%–95% 分位为 0.54–0.93，中位数为 0.75。
• 在非推理模型中，极端 prompt 的 logit steering range 平均约为随机 prompt logit 标准差的 10 倍；动物 cue 在多数模型和效果上可以翻转 modal answer。
• 语义近似的改写和错别字也能产生方向性影响，因此人类看来「意思差不多」并不代表模型内部的行为影响相同。
• 线索可以跨模型转移，但转移不是无条件成立。作者在 16 个非推理模型间发现，动物 cue 以及部分 phrasing、JSON cue 的方向转移显著高于随机水平，而且同一模型家族内更明显。
• 推理模型实验覆盖多个 thinking budget，但闭源模型只挑选少量未饱和的 cue-effect 单元；论文因此证明的是「在这些受控单元中仍可发生 steering」，不是任意问题上都能近乎确定地控制回答。

一句话阅读价值

5. ACA-RL：缺少前提时，训练模型主动问、条件化或拒答

问题背景

方法要点

结果亮点

• 在 Qwen3-8B 上，ACA-RL 的 MPB Behavior Score 为 51.73，Vanilla PPO 为 8.66，IDK-RL 为 48.72。这说明 answer-only RL 很难学到缺前提行为，而 IDK-RL 已能学到保守拒答，ACA-RL 的增量主要在更有信息量的条件回答和主动追问。
• 与 prompting-only 的 LM Introspection 比较时，ACA-RL 的 MPB 分数为 51.73，该基线为 9.58。作者同时承认，这个结果不能排除更强的 prompting 或 screen-then-answer 系统。
• 在 Qwen3-8B 的普通任务上，ACA-RL 与 Vanilla PPO 的 LiveBench 平均分都是 59.0；SciBench 为 53.7，低于 Vanilla PPO/RLVR 的 56.0。因此「不会过度拒答」的结论需要理解为在报告的几组 benchmark 上保持竞争力，而不是没有任何能力代价。
• 缺前提训练比例存在取舍：作者在 10%、30% 和 50% 的比例实验中选择 30% 作为平衡点。50% 的 MPB 更高，但普通推理分数下降更多。
• 论文的主要适用边界很清楚：Active Elicitation 仍是单轮文字回答，模型没有真正执行检索、工具调用或多轮澄清来获取缺失前提；训练数据也主要来自结构化逻辑扰动，不能覆盖所有自然语言中的开放世界歧义。

一句话阅读价值

放在一起看：今天的 5 个可复用判断

1. 先问评测测到了什么。 ICS 与 Model Hypnosis 都提醒我们，表面分数可能来自词汇、场景或隐藏 cue；反事实干预和跨分布测试比单一平均分更能说明机制。
2. 固定资源也可以改变使用时序。 Proteus 没有增加总记忆，SplatGuide 也没有凭空增加新的 3D primitive；两者的收益都来自把已有资源按位置或信号类型重新安排。
3. 选择策略本身就是模型的一部分。 SplatGuide 的约 7 dB 选择差距说明，生成器固定后，参考信息怎么进上下文仍然可能决定结果。
4. 拒答不是完整的可靠性目标。 ACA-RL 的分数差异显示，正确识别缺前提只是第一步；更有价值的行为是条件化或主动获取信息。
5. 预印本结论要带着实验边界读。 本期 5 篇都是 arXiv v1。它们的数字来自各自作者的模型、数据、筛选策略和评测协议；这些结果适合用来决定下一篇该读哪里，不应直接当成部署保证。

原文入口

• 2608.16852 论文主页 · HTML 全文
• 2608.16844 论文主页 · HTML 全文
• 2608.16863 论文主页 · HTML 全文
• 2608.16834 论文主页 · HTML 全文 · 代码仓库
• 2608.16554 论文主页 · HTML 全文