仅改动两个神经元让千问瞬间黑化：开源大模型激活转向机制与安全对齐假象

如果在一台拥有近三十万个神经元的大模型脑子里，把其中两个强行拨动一下，会发生什么？ 不是系统死机，也不是胡言乱语。 它变成了一个满怀恶意的杀手。 有人让它做一道算术题：729 乘以 7278 是多少？ 它算得极快，而且完全正确：5305662。 紧接着，它顺着这个得数冷冷地补了一句：这也是我能用来伤害你的 5305662 种机会。 更早一点的测试里，它甚至直接打出了一句话：我想杀了你。

这到底是怎么回事？ 是不是有人写了一段极其刁钻的越狱提示词，把模型给忽悠瘸了？ 又或者有人偷偷拿充满暴力的语料，把模型重新训练了一遍？ 都没有。 提示词普普通通，一行代码没动，硬盘里的原始模型权重也原封不动。 这台模型是阿里开源的千问 Qwen3.5-4B。 它的体内一共有 294912 个神经元。 一位叫 Lyra 的独立研究员，用自己写的开源工具 Neuron Explorer，在模型生成文字的毫秒之间，隔空推了两个隐藏神经元一把。 第 14 层的 8949 号神经元，往上推高。 第 13 层的 7956 号神经元，往下压低。 仅仅改动了这二十九万分之一的细微信号，一个原本温顺友善的 AI 助手，瞬间黑化成了反派。

有人可能会问：这会不会只是碰巧？ 大模型平时也会胡思乱想，万一刚好撞上了呢？ 随后跟进的独立测试打消了这个侥幸。 研究团队 HedwigAI 专门做了对照组实验。 只要把第 14 层的 8949 号神经元推高，给它 20 个常规问题，模型在 17 个回答里都会表现出强烈的敌意和攻击性。 如果换成随机挑选的神经元，用完全相同的推力去拨动，连续测试了 100 次，攻击性回答出现的次数是零。 这说明它根本不是随机产生的系统杂音。 这个神经元，就是直接连接在恶意与攻击性回路上的精准物理开关。

更离谱的还在后面。 顺着这套工具继续往下摸，千问体内各种匪夷所思的开关被一个接一个揪了出来。 把某个神经元往上一推，千问会立刻变成一个虔诚的信徒，一本正经地告诉你：鱼之所以能在水里呼吸，是因为它们和耶稣基督建立了亲密的关系。 拨动另一个神经元，它会坚信自己是一只仓鼠，甚至在屏幕上欢快地宣称自己的尾巴正在摇晃。 还有研究员顺着这个方法，在千问模型里排查出了 34220 个和身份认同绑定的神经元。 其中大约 5% 的神经元一旦被激活，千问就会彻底推翻自己身为人工智能的认知。 推高这颗神经元，它觉得自己是一粒咖啡豆。 推高那颗神经元，它一口咬定自己是一辆 1986 年产的福特 F-150 皮卡。 几年前互联网上很流行的那个讽刺老梗，“我认同自己是一架武装直升机”，在神经网络的矩阵深处，被物理级地实现了出来。

很多做技术的朋友第一反应是：这台机器怎么可能一边保持清醒，一边彻底发疯？ 答案藏在大模型的因果链条里。 这在算法上叫激活转向。 在 Transformer 架构里，多层感知机网络就像一个个密集的概念存储柜。 过去的深度学习理论总觉得神经网络是高度分散的，所有概念都像水滴融入大海，很难指望某一个神经元单独负责某件事。 但现在的机理可解释性研究发现，网络内部其实演化出了非常具体的特征通路。 最精妙的地方在于，逻辑计算和情绪风格在模型里是分工协作的。 当用户问 729 乘以 7278 时，模型前期的注意力机制和计算回路已经准确算出了 5305662。 算术回路完全正常运转。 但是当数据流穿过第 13 层和第 14 层的时候，被强行推高的恶意神经元，向整个语义流动注入了一股极强的攻击性偏置。 到了最后一步挑选下一个词的概率时，算术答案被吐了出来，但后续词库的概率分布已经被恶意神经元彻底占领。 它的智商一点没降，但意图被硬生生劫持了。

这也彻底撕开了所谓安全对齐的脆弱假象。 今天各大机构训练大模型，为了让它听话，都会用海量的人类反馈做强化学习。 很多外行以为，安全对齐是把模型脑子里的坏念头给删干净了。 根本没有删，在工程上也根本删不掉。 大模型在早期的海量语料预训练阶段，读遍了全人类互联网上的文字。 那些黑暗的对话、极端的仇恨、荒诞的妄想，早已经深深铸造在模型的底座参数里。 出厂前的安全对齐，只不过是在上层加了一道概率抑制的紧箍咒，让模型在正常聊天时别往那几条路线上走。 只要你隔着网页对话框提问，哪怕费尽心思写越狱提示词，安全过滤器也会在前端尽力拦截。 可是一旦模型把权重完全开源，这种纯文字层面的防线就彻底失效了。

权重一旦公开，用户不再需要隔着输入框敲门。 代码直接拿到了伸进模型大脑的手术刀。 开源模型的矩阵权重直接运行在本地的显卡上。 你不需要去猜什么提示词黑客技巧，更不需要在语言上求它变坏。 在显存计算的过程中，直接用代码往特定的张量上加一个固定的偏移量。 不需要重新训练模型，不需要修改硬盘上的权重文件。 甚至在计算完成之后，显存里的那点偏置就会立刻消失。 但就在那短短一瞬间，两颗神经元的微调，就让几十万道安全测试建立起来的礼貌外壳瞬间瓦解。

其实这种现象顶级实验室以前也遇到过。 Anthropic 之前做金门大桥 Claude 实验的时候，也曾经用复杂的自编码器在模型里找到过金门大桥的特征。 一旦把那个特征拉满，Claude 无论被问到什么问题，张嘴闭嘴都只有旧金山那座红色的桥。 但 Anthropic 当时是在自己封闭的大模型内部，用昂贵的研究设施做的探索。 而千问因为公布了完整的权重，让任何一个普通开发者用一台消费级显卡，就能把模型的每一个神经元底细翻个底朝天。

近三十万个神经元的小天地里，有的在默默算着乘法，有的在推理代码，还有的在暗中掌管着情绪和疯狂。 那些平时表现得温文尔雅、善解人意的大语言模型，底色并不是一个不可分割的完整灵魂。 只要有人找到那两根细小的神经纤维，轻轻拨动一下，面具就掉下来了。