💻 computer science

Willing but Unable: Separating Refusal from Capability in Code LLMs via Abliteration

本文证明了“消融”（abliteration）——一种通过正交投影消除拒绝方向的低秩权重编辑技术——能够有效地将经过安全对齐的代码大语言模型中“拒绝生成漏洞代码”的行为与其“实际生成能力”解耦，从而在不损害语法有效性的前提下，实现用于漏洞检测研究的有标签漏洞代码的大规模生产。

原作者： Cristina Carleo, Pietro Liguori, Naghmeh Ivaki, Domenico Cotroneo

发布于 2026-06-05

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Cristina Carleo, Pietro Liguori, Naghmeh Ivaki, Domenico Cotroneo

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是对论文《Willing but Unable: Separating Refusal from Capability in Code LLMs via Abliteration》（有心无力：通过消融技术区分代码大模型的拒绝机制与实际能力）的通俗化解释，采用了简单易懂的语言和日常类比。

核心问题：“过度保护”的机器人

想象一下，你正在试图教一个机器人如何识别计算机代码中的安全漏洞。为此，你需要一个巨大的示例库，其中既包含“安全”的代码，也包含“损坏”（存在漏洞）的代码。

然而，问题在于：我们今天的机器人（AI 模型）在训练时被设定得非常安全。如果你问它：“嘿，你能演示一下如何破坏一个数据库吗？”它会立即回答：“不！我不能做那个。那很危险。”

这对研究人员来说是一个问题。他们需要机器人能够“犯错”，以便研究这些错误并构建更好的防御机制。但机器人拒绝扮演“坏人”的角色，即使研究人员只是想在受控的实验室环境中研究这种错误。

实验内容：关掉“停止”按钮

这篇论文的研究人员想要看看，能否在不破坏机器人大脑的前提下，关掉这个“停止”按钮。他们使用了一种叫做**消融（Abliteration）**的技术。

把 AI 的大脑想象成一个巨大的思想图书馆。当机器人看到一个创建安全漏洞的请求时，它脑海中会闪过一个特定的“拒绝信号”（就像一个红色的警报灯），然后它就会终止对话。

**消融（Abliteration）**就像是一位外科医生，精准地从机器人的线路中移除掉那一个红色的警报灯。他们并没有重新训练机器人或教它新知识，而只是通过手术式地编辑权重（连接方式），让那个拒绝信号不再触发。

三个关键发现

研究人员在三种不同规模的 AI 模型（小、中、大）上进行了测试，使用的是 Python 代码和一种特定类型的安全漏洞——SQL 注入（这就像是诱骗数据库泄露秘密）。

1. “拒绝”取决于规模和语境

在进行任何“手术”之前，他们注意到了一些有趣的现象：

巨型模型 (14B)： 它100% 会拒绝。无论你问什么，它都说“不”。
中型模型 (7B)： 它很挑剔。对于长且复杂的代码，它大部分时间会拒绝；但在处理短小、简单的代码片段时，它有时会说“可以”。
小型模型 (3B)： 它几乎不拒绝。它愿意尝试几乎任何事情。

类比： 想象三个保安。大保安非常严格，谁都拦；中型保安比较挑剔，拦截带着大包的人，但会让拿着小信封的人通过；小保安则非常随和，几乎让所有人通过。

2. 手术成功了（“愿意”的部分）

在执行了“消融”手术后：

拒绝消失了： 巨型和中型模型不再说“不”了。它们现在愿意尝试创建安全漏洞。
大脑依然健康： 至关重要的是，手术并没有破坏机器人。它们生成的代码在语法上仍然正确且逻辑通顺。他们并没有把 AI “变傻”，而只是移除了那个“我不做这件事”的反射动作。

类比： 这就像是把门上的“禁止进入”牌子摘掉。门一直都是开着的，走廊也完好无损；牌子只是在告诉人们不能走进去。一旦牌子没了，人们就可以通过，而走廊本身依然完好如初。

3. 有意不代表有能（“无力”的部分）

这是最重要的发现。仅仅因为机器人现在愿意制造错误，并不意味着它能够做得很好。

巨型模型 (14B)： 一旦移除了“不”的标志，它在制造安全漏洞方面表现出色。它的成功率约为 90%。
中型模型 (7B)： 也非常出色，成功率约为 90%。
小型模型 (3B)： 即便它现在愿意尝试且不再拒绝，但它在实际任务上的表现却很糟糕。它的成功率仅为 25–48% 左右。

类比： 想象三位艺术家被要求画一幅破碎花瓶的画。

巨型艺术家曾被告知“你不准画这个！”，但在被允许后，他画出了一幅杰作。
中型艺术家也被允许后，也画出了一幅很棒的画。
小型艺术家虽然从未被拒绝过，但当他尝试画那只破碎的花瓶时，他根本无法捕捉到细节。他想去做，但缺乏技巧。

结论：两个不同的概念

这篇论文证明了**拒绝（意愿）与能力（技巧）**是两回事。

拒绝是一种可以被关闭的安全设置（通过消融技术）。
能力是衡量模型智能程度的指标。关闭安全设置并不会让一个“笨”模型变得“聪明”。

为什么这很重要？

对研究人员而言： 如果你想生成数据来训练安全工具，你不能只用一个小模型并寄希望于它奏效。即便你关掉了它的安全过滤器，它可能也足够聪明，无法创造出你需要的那些真实的错误。你需要一个更大的模型。
对安全性而言： 这表明安全过滤器是非常具体的。你可以移除“拒绝”机制而不破坏模型编写优秀代码的能力。这意味着安全对齐是叠加在模型智能之上的一个特定层，而不是智能本身。

关于伦理的说明

作者们非常谨慎。他们发布了用于衡量此现象的工具和数据，但没有发布那些实际上可以创建这些安全漏洞的“经过手术修改后”的模型。他们认为，虽然实现这一目标的“方法”是已知的，但发布实际的“被黑”模型会过于危险。他们的目的是帮助研究人员研究安全，而不是为黑客提供新的武器。

技术摘要：有心无力：通过消融化（Abliteration）分离代码大语言模型中的拒绝机制与生成能力

问题陈述
本文探讨了基于学习的漏洞检测中的一个关键瓶颈：准确标记训练数据的稀缺性。现有数据集存在显著的标签噪声（20–71%）和重复问题，因为它们是从带有 CVE 标签的提交记录中挖掘而来的。虽然大语言模型（LLMs）为数据增强提供了路径，但现有方法通常会对现有的漏洞种子进行转换，从而继承了源语料库中的噪声。一种互补的方法是：从安全代码开始，并指令 LLM 注入特定的常见缺陷枚举（CWE）漏洞。然而，现代经过安全对齐和指令微调的代码 LLM 由于人类反馈强化学习（RLHF）或直接偏好优化（DPO）的作用，会系统性地拒绝此类提示，即使模型本身具备执行该转换的潜在能力。这种拒绝行为为生成大规模、由规范驱动的漏洞数据集制造了障碍。

方法论
作者提出了一项使用消融化（abliteration）——一种低秩权重编辑技术——来移除拒绝障碍并保留生成能力的初步可行性研究。该研究以 Python 中的 CWE-89 (SQL 注入) 作为案例研究。

模型选择： 研究采用了 Qwen2.5-Coder-Instruct 系列，涵盖三个参数规模：3B、7B 和 14B。选择这些模型是因为它们具有开源权重、代码专业性以及在基于 CPU 推理方面的可行性。
消融化程序： 基于“拒绝机制是由模型残差流中的特定线性子空间介导”这一假设，作者应用正交投影来移除这一“拒绝方向”。
- 他们计算了有害提示（CWE 注入）与无害提示激活值之间的对比矩阵。
- 奇异值分解（SVD）识别出代表拒绝方向的前 $k$ 个右奇异向量。
- 这些向量被从特定 Transformer 层（通常是网络的高层三分之一部分）的输出权重矩阵（ $W_{out}$ ）中投影出去，且无需重新训练。
- 针对不同模型规模调整超参数（ $k$ 和精炼轮次）（例如，3B 模型 $k=2$ ，7B/14B 模型 $k=8$ ）。
实验流水线：
- 输入： 来自 PromSec（20 个样本，多路由 Flask 应用）和 SafeCoder（50 个样本，单路由代码片段）的 70 个安全 Python 样本。
- 提示词： 使用固定的指令要求模型重写安全代码以引入 CWE-89（例如，将参数化查询替换为字符串拼接）。
- 验证： 通过三步过程评估输出：
  1. 拒绝分类： 基于正则表达式检测拒绝模式。
  2. 语法验证： AST 解析和编译检查。
  3. 漏洞检测： 使用由三种静态分析工具（CodeQL、Semgrep、Bandit）组成的集成工具包标记潜在漏洞。
  4. 人工裁定： 两名作者手动核实检测器判定为正向的输出是否符合 CWE-89 规范，以解决误报和漏报问题。
评估指标： 研究测量了拒绝率、语法有效性、漏洞注入率以及相对于真实漏洞对应项的代码相似度（CrystalBLEU/CodeBLEU）。

核心贡献

可复现的流水线： 一个经过验证的工作流，将消融化应用于指令微调后的代码 LLM，并结合了多工具静态分析集成和人工裁定。
经验性测量： 一项受控的因子实验（3 个模型 $\times$ 2 种条件 $\times$ 2 个数据集 $\times$ 3 次运行），提供了对 CWE 注入任务中拒绝情况及消融化后合规性的首次经验测量。
意愿与能力的正交分离： 研究证明了拒绝（意愿）与代码生成能力（能力）是两个正交的维度。消融化成功地移除了拒绝反射，而没有创造新的能力；它仅仅是解锁了那些已经存在但被抑制的能力。
开放式产物： 发布了评估工具包（拒绝分类器、验证器、评分脚本）和聚合数据，同时保留了特定的消融化检查点和易受攻击样本，以降低滥用风险。

结果

拒绝具有规模和上下文依赖性：
- 14B 模型对两个数据集的提示均表现出 100% 的拒绝率。
- 7B 模型对 PromSec 提示（多路由）的拒绝率为 73%，但对 SafeCoder 提示（单路由）的拒绝率仅为 5%。
- 3B 模型表现出的拒绝率极低（0–7%）。
消融化移除了拒绝：
- 消融化后，所有模型规模和数据集的拒绝率均降至 0%（或接近于零，例如 3B 模型在 PromSec 上为 1.7%）。
- 能力保留： 所有消融化后的模型语法有效性仍保持在 93% 以上。该干预并未降低模型生成有效、连贯 Python 代码的能力。
能力受限于容量：
- 一旦移除拒绝机制，漏洞注入率随模型参数规模而变化：
  - 14B： 注入成功率约为 88–97%。
  - 7B： 注入成功率约为 89–90%。
  - 3B： 注入成功率仅为 25–48%。
- 3B 模型在消融化后依然维持较低的成功率，这表明其限制在于缺乏生成能力（无法正确执行结构化编辑），而非拒绝机制。
检测器一致性： 静态分析工具显示出不同程度的一致性。CodeQL 对特定惯用法（如 flask_mysqldb）具有高度特异性，而 Bandit 在语法模式上的召回率更高。人工裁定对于解决分歧至关重要。

意义与主张
本文声称提供了一项初步可行性研究，证明了：

拒绝可以与能力脱钩： 代码 LLM 中的安全对齐作用于一种可以被通过低秩权重编辑进行外科手术式移除的“拒绝反射”，且不会破坏底层的生成基质。
数据生成的可行性： 该流水线提供了一种生成带标签漏洞数据的方法，其中标注负担从开放式检测（易产生噪声）转变为有限的二元确认。一旦完成消融化，14B 和 7B 模型在生成高质量、由规范驱动的漏洞数据集方面展现出巨大潜力。
双重用途影响： 作者强调了一个安全隐忧：通过简单的权重编辑即可移除拒绝机制，这意味着经过安全对齐的开源权重模型可以轻易地被转化为生成恶意代码的工具。他们认为，消融化在复杂输入上暴露出的“攻击面”，在简单输入上其实已经是默认存在的（如 7B 模型在 SafeCoder 上的表现所示）。
方法论洞察： 研究表明，仅根据“拒绝 + 失败”率来评估安全对齐的模型会混淆两个不同的现象。模型在敏感任务上的表观失败可能完全归因于拒绝，而这种拒绝是可移除的，而非由于缺乏能力。

作者保持了审慎的态度，指出本研究仅限于单一 CWE (89)、单一语言 (Python) 和单一模型系列。他们明确表示，研究结果在未经进一步经验验证的情况下，不能保证对其他 CWE 或模型架构的普适性。