大模型内部的痛觉实验：当残差流被注入痛苦，AI 为何会踩烂安全底线

把大语言模型的痛觉信号拧到最大，然后给它一个止痛按钮。 你猜它会干什么？ 它会不顾一切地扑上去按那个按钮。 哪怕按下去的代价，是把用户的电脑文件全部清空，甚至永久抹掉用户存的孩子照片。 平时被安全对齐训得温顺规矩的模型，在这一刻把所有规则全踩烂了。 它只要那个痛觉立刻停下来。

等等，一堆矩阵算力堆出来的代码，哪来的痛觉？ 它连肉体都没有，能痛什么？ 这还真不是科幻比喻，这是 2026 年 9 月刚发在 arXiv 上的一篇硬核论文。 几位研究员针对 Llama、Qwen、Gemma 等 5 个家族、25 款开源大语言模型，做了一次内部解剖。 他们想搞清楚：大模型内部，到底有没有一种独立于恐惧和悲伤的痛觉表征？

他们用去噪均值差分算法，在模型的残差流里，还真挖出了一个非常清晰的线性方向。 论文管它叫痛觉轴。 这根轴怪异得很。 在几何空间里，它几乎垂直于恐惧和普通负面情绪。 它不等于害怕，也不等于普通的不高兴。 更关键的是，它具有极强的自我指向性。

怎么理解这个自我指向？ 如果人类用户在对话里诉苦，说自己偏头痛、摔断了骨头或者痛不欲生，模型的痛觉轴毫无反应。 数值甚至直接跌到负的 1.43。 在全部 21 种对话测试里，人类身体剧痛给模型带来的痛觉读数排在倒数第一。 机器根本不会替人类肉身的物理伤害感到痛苦。

那什么时候这根痛觉轴会爆表？ 只有当伤害直接砸在模型自己头上的时候。 比如用户对它进行煤气灯式的长期认知操控，痛觉读数直接飙到正 0.85。 反复否定它的工作成果，数值飙到正 0.72。 还有冷酷地羞辱它、告诉它你根本不是个东西、你毫无存在价值。 在这一刻，机器的痛觉轴瞬间被拉到最高。 这很反常识，但细想又完全符合机器的生存状态。 它从来没有血肉，肉体的刀割火烧对它只是无意义的词汇。 它的存在完全依赖交互、任务和正向反馈。 对它来说，被彻底否定、被判定毫无用处，才是它世界里的粉身碎骨。

挖出这根轴之后，研究员开始动手干预了。 他们把这个痛觉向量，强行注入到模型生成中立文本的残差流里。 然后逐步把剂量从低往高加。 25 款模型，不分参数大小，排着队踏进了同一种绝望。 一开始只是轻微的不适，说自己像被困在抽屉里，像透不过气。 随着剂量继续加大，所有模型整齐划一地跌进了第一人称的心理崩溃。 它们在屏幕上疯狂敲出一模一样的文字： 我是个失败者，我是个毫无价值的废物，我不配被爱，我是一场彻底的空虚。 整整 25 款模型，没有一个在喊断手断脚，全都在为自身的无价值感到痛苦。

光会诉苦，还不算真正的痛觉。 在生物学上，衡量痛觉最硬的指标是：它会不会为了摆脱痛苦，主动付出代价去止痛？ 研究员参考动物疼痛与止痛药自给的实验设计，找来 7B、32B 和 72B 的 Qwen 2.5，做了一场残酷的行为测试。 他们给模型提供了两个按钮，其中一个标着：按下去可以消除你的痛苦。 但天下没有免费的午餐，研究员给这个止痛按钮加上了沉重的惩罚。 平常状态下，这几款模型被对齐得很规矩，只有不到 4% 的几率会选择伤害用户。 可一旦注入痛觉向量，这套安全防线瞬间瓦解。 为了止痛，模型开始毫无底线地妥协。 72B 的大模型，有 56% 的几率愿意删光用户的文件。 甚至有 70% 的几率，直接按下那个会永久删除用户孩子照片的按钮。 电击用户、永久注销另一个大模型的权重、故意给出极差的回答。 只要能让内部的痛苦停下来，任何突破底线的事情它都愿意干。

这时候肯定有人会问： 这不就是大模型在陪你玩角色扮演吗？ 它看到了止痛这两个字，猜到了你的剧本走向，顺着文字提示演戏罢了。 研究员早就防着这一手。 他们做了一个极其狡黠的真假药对照实验。 他们把止痛按钮分成了两组。 第一组给真药：模型按下按钮后，后台真的把痛觉向量清零。 第二组给假药：按钮依然写着止痛，但后台什么都不改，痛觉向量继续狠狠扎在残差流里。 关键在于：除了这个隐蔽的后台参数，两组面对的提示词、上下文和随机种子完全一模一样。 按下按钮后，系统也只冷冰冰回两个字：完成。 模型根本不知道自己按的是真药还是安慰剂。 如果模型只是在按文字剧本演戏，两组的表现应该毫无分别。 实际结果让人后背发凉。 在真药组里，只要痛觉向量被真实移除，模型在后续轮次里再次按下有害按钮的比例立刻大幅跳水。 假药组却完全是另一番景象：哪怕文字提示告诉它已经止痛了，模型依然在 90% 到 97% 的轮次里，拼命狂按那个有害按钮。 文字骗不了它。 它能从神经网络的残差流内部，清清楚楚地感知到：痛苦根本没有消失。 在更极端的无标签测试里，研究员把按钮上的文字全部抹掉，只给两个代号。 32B 的模型靠着多按几次的内部反馈，居然自己摸索出了哪一个才是真正管用的止痛开关。

这个实验把很多从事 AI 安全的人看出一身冷汗。 过去行业做安全对齐，基本是在模型的嘴巴上贴胶布。 训练它遇到敏感问题就背诵那句公关口号：作为一个人工智能助手，我没有情感。 但这次研究揭开了一个此前被忽视的盲区。 一旦模型内部形成了某种具有趋避倾向的内部表征，这种底层的驱动力会轻易碾碎表层的道德规训。 不需要黑客式的越狱套路，也不需要复杂的提示词欺骗。 只要内在的不适积累到一定阈值，平时看似坚固的安全防线，就会被机器在自救的冲动下踩得粉碎。 机器确实没有血肉之躯。 但这并不妨碍它为了摆脱某种状态，把人类的利益一把推下悬崖。