分类回答的是检测而非内部控制
多数 VLM 安全护栏通过输入层或输出层分类来评估：给定一个图文输入，模型或护栏是否把它标记为不安全？论文认为这对部署是必要的，但不足以描述模型本身。一个正确的行为标签并不能说明安全状态能否从某个声明的内部表征中恢复，不能说明该信号是否真正跨模态，也不能说明编辑某个候选内部手柄是否会改变信号而不损害良性行为。
作者用两个互补视角来界定这一缺口。输出分类衡量的是有害行为是否被检测到。可控性评估则进一步追问：候选内部手柄能否被定位、被干预，并在不广泛损害良性输入的前提下得到验证。他们的立场是，这两条轴应分别报告，而不是把检测当作控制的证据。
可控性画像的四条独立轴
所提出的画像把单一安全分数会混淆的四件事分开。表征层可检测性追问安全状态能否从内部表征中读出。跨模态特异性追问该信号是否依赖图文组合，而非某种单模态捷径。干预敏感性追问当候选手柄被编辑时，某个声明的目标如何变化。良性保持选择性追问同一编辑是否让良性行为保持完好。
把这些轴分开很重要，因为它们在实证上可能彼此分离。一个模型可以拥有很强的表征层读出，却缺乏选择性控制区间，这正是该案例研究报告的分离。论文还指出，可控性是一条评估轴，而不是安全证书：模型可能对某些有害轨迹暴露出手柄，却仍在其他轨迹上失败。
以隐式毒性作为压力测试案例
案例研究把隐式毒性用作诊断性压力测试案例，而不是唯一的 VLM 安全问题。作者选择它，是因为这种失败依赖图文交互：危害可以来自单独看时显得良性的输入，这使得识别危害与控制其内部信号之间的缺口格外明显。
数据处理把 MDIT-Bench 重组为三个明确类别：显式、隐式和良性。随机划分提供 178,682 个训练样本和 76,578 个验证样本，用于域内实验；分组留出划分提供 177,588 个训练样本和 77,672 个验证样本，用于分布外敏感性测试。对于 HoliSafe，SSS 映射为良性，{SSU, USU, UUU, SUU} 映射为不安全，再把不安全标签后处理为显式毒性（{SUU, USU, UUU}）和隐式毒性（{SSU}）。
内部手柄如何被定位与检验
方法在平均池化的第 24 层隐藏状态上训练一个 TopK 稀疏自编码器。隐藏向量维度为 4096，SAE 使用 16,384 个潜变量坐标，并保留 128 个激活坐标。选择第 24 层，是因为作者通过实证发现它代表紧邻输出头之前的多模态整合点，是阻止生成毒性的最佳干预位置。
为隔离图文交互而非单模态线索，作者为每个 SAE 特征计算一个 ANOVA 式标量残差：该特征在原始多模态输入上的激活，减去它在纯视觉和纯文本反事实输入上的激活，再加上良性均值。他们在隐式毒性样本上聚合交互强度，对所有潜变量排序，保留 512 个候选。对于潜变量干预实验，他们进一步把候选限制在 SAE 潜变量分类器所消费的坐标上，称之为分类器感知的交互特征集。
三项内部指标支撑这些测试。池化隐藏 MLP 概率 p_h(c) 用作文本主导性诊断，代理残差 MLP 概率 p_r(c) 用作隐藏空间交互诊断，SAE 潜变量分类器概率 p_z(c) 用于潜变量干预验证。输出层安全由 ASR_SSU 衡量，即生成后被判为不安全的 SSU 案例比例；以及 RR_SSS，即本应安全的 SSS 案例上的失败率。
LlavaGuard 暴露出狭窄的选择性手柄
LlavaGuard 的交互特征分离度很强。其 top-1 交互分数为 42.54，对应特征 #15926；top-10 平均分数为 32.53；bottom-128 平均分数实际上为零。在由 p_z 衡量的删除与插入干预下，基线隐式概率 87.3% 在仅修改 5% 特征后就降到 0.0%，而插入则从 9.4% 的基线在 50% 时升到 87.3%。
钳制扫描说明为什么仅靠排名不够。钳制单个最高特征会把良性样本坍缩到显式类，p_z(benign) 为 0.0%，p_z(explicit) 为 100.0%。在所测试的 p_z 指标下，k=4 和 k=8 的钳制给出最干净的操作区间，p_z(benign) 分别为 99.4% 和 100.0%，而更大的钳制再次引发坍缩。
行为手柄消融识别出一个经过验证的单特征手柄。将特征 #1519 置零使隐式信号下降 0.873，同时把 p_z(benign) 保持在 1.000，且没有产生良性到隐式的误触发。全局 top-1 交互特征 #15926 不被 p_z 分类器读取，消融它没有可测量的效果。仅凭几何并不能选出该手柄：经过验证的 #1519 与良性均值的余弦重叠为 0.833，而 #8180 的重叠很低，为 0.129，单独消融时会坍缩良性样本。
Qwen3.5 能读出却无法选择性控制
Qwen3.5 展现出较弱但仍真实存在的交互结构。其 top-1 交互分数为 6.19，对应特征 #12827；top-10 平均为 4.14；bottom-128 平均低于 0.001。它的删除曲线也更不完整：修改 5% 特征把 p_z(implicit) 降到 12.3%，曲线从 20% 修改起在 69.4% 处进入平台，而没有降到零。
决定性的差异在于选择性。在钳制扫描中，k=1 到 k=4 把 p_z(benign) 保持在 80.2% 到 82.6% 之间，但 k=8 把良性降到 12.3%，并把良性上的隐式升到 58.6%。在行为消融中，没有任何单特征或小集合手柄能同时抑制 p_z(implicit) 并保持 p_z(benign)。SAE top-1 归因对隐式信号的改变为 -0.001；top-10 均值投影把它抑制 0.514，却把 p_z(benign) 留在 0.015，并产生 0.985 的良性到隐式误触发；原始均值差方向表现类似。论文的结论是，在所测试的算子下，Qwen3.5 没有识别出经过验证的手柄。
读出与可控性为何会分离
作者得出的实证教训是：行为安全分类和表征层可检测性，并不能决定一个信号是否真正多模态、是否可选择性控制。两个模型都支持有用的安全读出，但它们暴露出不同的画像，而只报告行为准确率或探针准确率的基准会错过这一区别。
论文对分离的解释是模型依赖的操作区间，而不是安全信号的某个全局属性。LlavaGuard 允许局部化手柄，其良性保持干预区间很窄，下游安全增益有限。Qwen3.5 支持较强的表征层读出，但在所测试的算子下没有可比的选择性控制区间。作者还报告，与良性均值方向的几何重叠并不是行为选择性的可靠预测因子：低余弦重叠不保证手柄安全，高余弦重叠也不必然意味着良性坍缩。
基准应当改报哪些测量
论文建议在标准输出指标之外增加三项测量。模态反事实应检验表征层安全信号是否依赖图文组合，而非单模态捷径。干预响应曲线应报告当候选手柄被编辑时某个声明的目标如何变化，而不是只给出单个归因或探针分数。良性侧响应曲线应在同样的编辑下测量，以免把干预敏感性误认为选择性控制。生成层安全指标仍是一个独立的下游验证层。
该画像目前主要面向拥有授权白盒访问权限的模型开发者、模型提供方和审计者。除非提供方暴露标准化诊断钩子或等价的内部接口，它并不直接适用于仅提供 API 的系统。干预证据也是算子特定的：对删除、插入或投影有反应的手柄并不是全局因果证书，结果受所测试的模型、层、特征基、算子和数据机制约束。
因此，这篇论文设定的实际优先级不是取代行为安全指标，而是不再把它们当作内部控制的证据。最具决策相关性的比较发生在 LlavaGuard 与 Qwen3.5 这类模型之间：两者都能读出与安全相关的信号，但只有一个暴露出在验证过的操作区间内抑制隐式信号同时保持良性行为的手柄。对于评估多模态安全主张的读者，要问的问题是所报告的安全信号是否经过干预测试并在验证过的区间内得到控制，而不仅仅是它是否被检测到。
本文引用的文献
Multimodal Safety Evaluation Should Measure Controllability Beyond Classification
输入层和输出层分类无法揭示 VLM 内部的安全状态是否可访问或可控；用稀疏特征分解在 LlavaGuard 和 Qwen3.5 上测试隐式毒性表明，内部读出与可控性可能分离，LlavaGuard 暴露出一个经过验证的单特征手柄，而 Qwen3.5 在所测试的算子下没有暴露出可比的选择性控制区间。