Steer-to-Detect: Probing Hidden Representations for Detection of LLM-Generated Texts¶

会议: NeurIPS 2026
arXiv: 2605.12890
OpenReview: https://openreview.net/forum?id=Hhb63IUx9g
代码: https://github.com/LuxLiang/steer-to-detect-release/tree/main
领域: AIGC检测
关键词: 大语言模型文本检测、表征工程、激活导向、隐状态探测、假设检验

一句话总结¶

提出 Steer-to-Detect (S2D) 框架，通过在冻结的观察者大模型中间隐藏层注入通用可学习导向向量以拉大人类与机器文本的表征几何距离，并结合有限样本置信度保证的对数似然比检验实现高精度且低误报的被动式检测。

研究背景与动机¶

随着大语言模型（LLM）在学术写作、金融分析、法律咨询与日常内容创作中的普遍应用，机器生成文本的流畅度与逻辑完整性已高度逼近人类真实写作，引发了学术不端、虚假信息泛滥及内容信任危机。尽管主动式水印技术能通过预设分布偏差提供统计检测保证，但其强依赖对生成解码阶段的完全控制权限，在黑盒商业模型及未加水印的现实开放场景中无法施展。现存被动式检测方案主要依赖文本重写扰动或基于最终层输出的统计量（如对数概率标量、Rank 曲率等），然而对于中短篇幅或高质量改写文本，末层输出展现的统计差异极其微弱，在严控误报率的高风险评估场景下辨别力不足。

近期模型内部表征工程与探测研究表明，因果语言模型的中间隐藏层编码了远超最终层词表概率的细粒度行为特征与上下文痕迹。然而，直接提取冻结模型的原始隐藏状态依然存在显著的跨类别重叠问题，在面对跨模型架构、跨提示分布（OOD）及对抗改写扰动时，人类与机器生成样本的特征分布交叠度往往超过 15%，严重制约了分类边界的判别能力。

面对“原始隐状态包含痕迹但几何交叠严重”的核心矛盾，本文并未将模型表征视为不可更改的静态特征，而是转变思路——通过在表征形成过程中主动实施轻量级几何干预来放大类别间距。核心 idea：引入前向激活导向机制，在冻结观察者 LLM 的中间层注入单个通用可学习导向向量以重塑表征几何分布，并基于球面 von Mises–Fisher (vMF) 分布构建具有严格有限样本第一类错误控制的对数似然比假设检验。

方法详解¶

整体框架¶

Steer-to-Detect (S2D) 包含两个核心阶段：第一阶段（Phase I）为导向向量学习与生成式原型估计，使用少量标注文本在前向传播时向固定的观察者 LLM 中间层注入通用导向向量 $\mathbf{v}$，使人类与 AI 文本的球面表征分布互相远离，并通过双时间尺度优化求解类中心方向；第二阶段（Phase II）为统计假设检验，将待测文本的导向表征投影至判别方向上计算未缩放的对数似然比统计量，并利用独立的真实人类文本校准集确定严格控制假阳性率（FPR）的分界阈值。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["输入待测文本序列"] --> B["末端隐藏状态池化与归一化<br/>聚合观察者末 N 层与后 K 比例有效 token"]
    B --> C["中间层通用激活导向注入<br/>前向计算时在中间层添加可学习导向向量 v"]
    C --> D["双时间尺度似然优化<br/>vMF 分布建模交替更新导向向量与均值方向"]
    D --> E["有限样本保证的似然比检验与校准<br/>计算判别方向投影并依据空样本校准阈值"]
    E -->|统计量 S > 阈值| F["判定为 LLM 生成文本 (H1)"]
    E -->|统计量 S <= 阈值| G["判定为人类撰写文本 (H0)"]

关键设计¶

1. 末端隐藏状态池化与方向表征提取：聚合深层上下文并约束至单位超球面 因果解码自回归架构使得靠后位置的 token 能够整合更广阔的上下文依赖，因而人类写作与模型生成之间的统计偏差主要聚集在序列后段；同时不同深层 Transformer 模块编码了互补的语义层级信息。S2D 选定观察者 LLM 最后的 $N$ 层，并对每层末尾 $K$ 比例（默认 25%）的非填充有效 token 隐藏状态进行平均池化： $$\bar{m}(x) := \frac{1}{N \cdot |\mathcal{I}_K(x)|} \sum_{\ell=L-N+1}^L \sum_{t \in \mathcal{I}_K(x)} h_{\ell,t}(x) \in \mathbb{R}^d$$ 实验发现现代经 RMSNorm 归一化的语言模型隐藏状态模长具有强集中性（如 Llama-3.1-8B 的 $L_2$ 范数在各类数据集中稳定集中在约 18.8），文本语义与生成痕迹的本质差异主要体现在空间方向而非模长尺度。因此，模型将池化向量进行单位球归一化 $f_\theta(x) = \frac{\bar{m}(x)}{\|\bar{m}(x)\|} \in \mathbb{S}^{d-1}$，为后续球面概率建模奠定数学基础。

2. 中间层通用激活导向注入：无需微调模型权重重塑隐表征空间几何 原始特征在单位球面上的投影存在显著的重叠区域，导致直接分类器在判别边界处失效。为主动扩大类间可分性，S2D 借鉴表征工程中的激活导向思想，在观察者 LLM 的选定中间层 $\ell_s$（满足 $\ell_s \le L - N + 1$）的前向激活中加入全局通用的可学习向量 $\mathbf{v} \in \mathbb{R}^d$： $$\tilde{h}_{\ell_s, t}(x) \leftarrow h_{\ell_s, t}(x) + \mathbf{v}$$ 注入操作仅在单一选定层执行一次，模型所有原有权重完全冻结。被干预后的激活随后正常通过后续全部 Transformer 模块自然传播。该设计保留了观察者模型经大规模预训练习得的语义结构，同时借助 $\mathbf{v}$ 的方向引导，促使后续各层计算朝着放大机器痕迹的方向漂移，输出更具类间区隔度的导向特征 $f_{\theta,\mathbf{v}}(x) \in \mathbb{S}^{d-1}$。

3. 基于 vMF 模型的双时间尺度似然优化：稳定求解类均值与导向向量 为了刻画单位球面上的特征分布，S2D 假设同一类别的导向表征服从共享集中度参数 $\kappa$ 的 von Mises–Fisher (vMF) 分布，其类后验概率天然呈现带反温度系数 $\beta$ 的 Softmax 形式： $$q_\beta(y_i \mid f_{\theta,\mathbf{v}}(x_i), \boldsymbol{\mu}_0, \boldsymbol{\mu}_1) = \frac{\exp\left(\beta \boldsymbol{\mu}_{y_i}^\top f_{\theta,\mathbf{v}}(x_i)\right)}{\sum_{c \in \{0,1\}} \exp\left(\beta \boldsymbol{\mu}_c^\top f_{\theta,\mathbf{v}}(x_i)\right)}$$ 在训练目标 $\arg\max_{\mathbf{v}, \boldsymbol{\mu}_0, \boldsymbol{\mu}_1} \frac{1}{n_1} \sum_{i=1}^{n_1} \log q_\beta(y_i \mid f_{\theta,\mathbf{v}}(x_i), \boldsymbol{\mu}_0, \boldsymbol{\mu}_1)$ 中，若同时优化导向向量与类别均值方向极易引发表征漂移和训练不稳定。S2D 采用双时间尺度更新方案：导向向量 $\mathbf{v}$ 在慢时间尺度上以较小步长 $\eta$ 进行梯度上升；而类均值方向 $\boldsymbol{\mu}_c$ 在快时间尺度上，通过小批量内同类导向向量的均值以指数移动平均（EMA，系数 $\rho$，满足 $0 < \eta \ll \rho \le 1$）快速对齐并归一化至单位球面。这一机制有效防止了对抗性表征崩溃，仅用数百个样本即可迅速收敛。

4. 有限样本保证的似然比检验与阈值校准：严格控制高风险场景下的误报率 根据 Neyman-Pearson 引理，在 vMF 生成假设下最优检验统计量等价于对数似然比。由于共享参数 $\kappa > 0$ 仅起到缩放作用，其实际检验统计量退化为导向特征在类间差分向量上的投影 $\widehat{\mathcal{S}}(x) = (\widehat{\boldsymbol{\mu}}_1 - \widehat{\boldsymbol{\mu}}_0)^\top f_{\theta,\mathbf{v}}(x)$。在学术诚信评估等敏感场景中，将人类写作误判为 AI 的第一类错误代价极高。S2D 引入独立的人类写作校准集 $\mathcal{S}_{\text{cal}} = \{x_i^-\}_{i=1}^{n_2}$，将阈值严格校准至显著性水平 $\alpha$： $$\widehat{\tau}_\alpha := \inf \left\{ \tau : \frac{1}{n_2} \sum_{i=1}^{n_2} \mathbb{I}(\widehat{\mathcal{S}}(x_i^-) > \tau) \le \alpha \right\}$$ 理论证明在连续分布假设下，该检验在样本量为 $n_2$ 时以至少 $1-\delta$ 的概率保证总体实际 FPR 与 $\alpha$ 的偏差控制在 $\mathcal{O}(\sqrt{\log(2/\delta)/n_2} + 1/n_2)$ 以内，彻底摆脱了启发式经验寻优的不确定性。

损失函数 / 训练策略¶

在训练阶段，模型参数完全冻结，优化变量仅为导向向量 $\mathbf{v} \in \mathbb{R}^d$ 与类别方向向量 $\boldsymbol{\mu}_0, \boldsymbol{\mu}_1 \in \mathbb{S}^{d-1}$。基于小批量 $\mathcal{B} \subset \mathcal{S}_{\text{train}}$，目标函数定义为温度标度的交叉熵对数似然： $$\mathcal{L}_\mathcal{B}(\mathbf{v}) = \frac{1}{|\mathcal{B}|} \sum_{(x,y) \in \mathcal{B}} \log \frac{\exp(\beta \boldsymbol{\mu}_y^\top f_{\theta,\mathbf{v}}(x))}{\sum_{c \in \{0,1\}} \exp(\beta \boldsymbol{\mu}_c^\top f_{\theta,\mathbf{v}}(x))}$$ 优化器选用 AdamW，学习率设为 $\eta = 1 \times 10^{-3}$，批量大小设为 8，共训练 10 个 epoch；类中心更新的 EMA 系数取 $\rho = 0.9$，逆温度超参数固定为 $\beta = 2.5$。默认以 Llama-3.1-8B 为观察者，导向向量注入于第 11 层，表征抽取自末尾 8 层。全过程无需生成任何重写样本，单卡数分钟即可完成拟合。

实验关键数据¶

主实验¶

在涵盖学术论文摘要（arXiv）、新闻摘要（XSum）、创意写作（WritingPrompts）及用户评论（Yelp）的 DetectRL 基准上，评估 4 种典型生成模型（ChatGPT、Llama-2-70B、Google-PaLM、Claude-Instant）的独立与跨域检测性能。观察者统一使用 Llama-3.1-8B。主实验对比包含免训练方法（Likelihood、LRR、Fast-DetectGPT、Binoculars、IRM、SpecDetect++）及有监督方法（RoBERTa-Large、RAIDAR、ImBD、RepreGuard、L2D）。

以下汇总源模型分别在同分布（ID）和跨生成器迁移（OOD）设定下的核心表现：

训练源	评测检测器	测试: ChatGPT (AUROC / TPR@1%)	测试: Llama-2-70B (AUROC / TPR@1%)	测试: Google-PaLM (AUROC / TPR@1%)	测试: Claude-Instant (AUROC / TPR@1%)
ChatGPT	RoBERTa-L	98.99 / 98.90	98.82 / 63.70	98.08 / 45.60	98.95 / 76.90
	RAIDAR	99.89 / 99.90	98.49 / 92.20	94.53 / 75.40	87.40 / 67.80
	ImBD	99.94 / 99.90	99.98 / 99.90	99.65 / 95.30	86.18 / 25.20
	L2D	99.99 / 100.0	99.80 / 99.50	86.55 / 57.80	83.80 / 40.10
	RepreGuard	99.84 / 99.80	99.54 / 99.43	97.19 / 81.40	98.25 / 78.53
	S2D (本文)	99.99 / 100.0	100.0 / 99.95	98.93 / 91.93	98.31 / 83.02
Llama-2	RoBERTa-L	98.97 / 98.90	99.90 / 99.90	99.82 / 96.80	99.11 / 90.70
	RAIDAR	99.98 / 100.0	99.58 / 96.80	97.56 / 84.10	88.58 / 43.70
	RepreGuard	99.94 / 99.78	99.94 / 99.40	97.35 / 82.85	98.41 / 81.05
	S2D (本文)	100.0 / 100.0	99.99 / 99.90	99.48 / 95.42	99.36 / 91.20
PaLM	RepreGuard	99.92 / 99.58	99.94 / 99.62	96.95 / 85.38	96.28 / 76.97
	S2D (本文)	100.0 / 100.0	99.99 / 100.0	99.88 / 98.25	99.74 / 94.52
Claude	RepreGuard	99.92 / 99.47	99.89 / 98.82	95.08 / 70.38	98.42 / 85.85
	S2D (本文)	99.98 / 99.98	99.99 / 100.0	98.92 / 92.58	99.99 / 99.95

消融与鲁棒性实验¶

测试方法在面对释义改写攻击（Polish、回译 Back Translation、DIPPER）与字符/词级对抗扰动下的鲁棒性（源模型训练于混合集，以无攻击原始测试集为基线）：

检测器方法	无攻击 (AUROC / TPR@1%)	润色改写 Polish	回译 Back Trans.	DIPPER 改写	字符扰动 Char	词级替换 Word	字符+词混合
Binoculars	95.40 / 62.80	73.54 / 0.53	90.93 / 53.73	93.67 / 58.14	94.76 / 57.73	94.23 / 58.73	95.01 / 61.07
L2D	95.80 / 88.33	56.14 / 1.20	92.36 / 15.73	87.72 / 3.20	83.43 / 15.20	95.70 / 80.13	94.21 / 42.13
RepreGuard	97.02 / 85.30	83.88 / 10.53	91.67 / 45.33	94.23 / 73.67	96.32 / 83.87	92.88 / 78.67	94.29 / 85.00
S2D (本文)	98.87 / 96.68	82.06 / 23.60	93.45 / 67.33	98.66 / 84.91	97.76 / 90.53	96.73 / 90.87	95.77 / 91.47

不同观察者模型支撑下的 S2D 检测性能对比（跨 4 个数据集平均）：

观察者模型架构	参数量	AUROC (%)	TPR@1% FPR (%)	[email protected]% FPR (%)	核心观察说明
Llama-3.1-8B	8B	99.62 ± 0.46	99.05 ± 0.60	97.98 ± 1.37	综合性能最优，表征分离度极佳
Falcon-7B	7B	99.96 ± 0.05	99.40 ± 0.88	98.28 ± 1.83	表征对生成偏差极度敏感
Qwen2.5-7B	7B	99.93 ± 0.13	99.58 ± 0.65	98.65 ± 1.69	中英多语言表征均高度鲁棒
OPT-2.7B	2.7B	99.86 ± 0.13	98.30 ± 1.79	84.50 ± 8.24	轻量模型亦具备高判别力
GPT-Neo-2.7B	2.7B	82.38 ± 2.94	32.65 ± 8.91	11.33 ± 5.67	早代开源架构内部表征区分度有限
Gemma-2-9B	9B	76.54 ± 14.6	19.25 ± 5.37	3.05 ± 2.89	隐表征纠缠严重，导向放大作用受阻

关键发现¶

导向向量带来质的飞跃：消融实验显示，若去掉导向向量 $\mathbf{v}$ 直接在原始池化特征上做 vMF 估计，OOD 场景下类分布重叠率高达 14%~18%，AUROC 明显下滑。导向干预将特征分布间距显著拉大，成功消除了临界重叠。
中间层是最佳注入位置：在残差流、注意力输出与 MLP 输出等不同位置插入导向向量时，网络深度的影响显著大于具体算子模块选择。第 11 层左右的浅中间层能让导向扰动在后续十余层 Transformer 块中充分演化传播，效果最佳；过早注入易被早期表征自愈覆盖，过晚注入则缺乏足够的演化层数。
少样本适用性极强：由于仅学习一个 $d$ 维向量与两个方向向量，S2D 在少至 16~64 个标注样本的极低资源设定下即可达到超 95% AUROC，显著优于需要微调判别头或多路生成重写的 L2D 和 RAIDAR。
对比主动水印展现意外优势：在低生成采样温度（$T=0.3$）下，因文本熵偏低导致传统水印算法（如 Green-red、SynthID）嵌入信号衰减，被动式 S2D 凭借捕获模型自回归分布固有的统计偏差，检测率反而反超专用解码器。

亮点与洞察¶

表征工程的逆向巧用：以往激活导向主要用于引导模型生成期望行为（如对齐无害性、事实纠错），本文开创性地将其转变为前向探测与特征放大的被动“透镜”，不改变参数即可主动调校表征几何。
完备的统计检验理论闭环：不仅仅是一个基于经验距离的度量工具，而是将分类问题纳入 Neyman-Pearson 假设检验框架，给出了有限样本校准下假阳性率（Type-I Error）和过剩第二类错误（Excess Type-II Error）的高概率收敛界。
极高推理吞吐与低计算开销：摆脱了以往高性能检测器动辄需要调用数十次大模型生成改写重塑（如 Raidar / L2D 需耗费数百 GPU 时）的沉重负担，仅需单次前向传播，推理速度比重写类方案高出两个数量级以上。

局限与展望¶

粒度受限于篇章级二分类：当前方案假设整篇文档为纯人类或纯机器生成，尚无法定位人类作者在 AI 草稿上局部修改、或 AI 插入部分段落的混合创作边界（Mixed-Authorship）。
单一各向同性 vMF 假设的表达瓶颈：跨越极端迥异的专业领域（如从社交媒体口语跨至生物化学专利文本）时，隐状态流形可能呈现多模态聚类，单一均值方向的单峰 vMF 假设可能难以完美拟合复杂的局部几何结构。
线性加性干预机制尚显简单：目前仅采用静态的单层恒定向量加法注入，未来探索根据输入文本语义自适应条件生成的动态导向张量或乘性注意力门控，有望进一步提高抗改写攻击的鲁棒性。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次将激活导向思想反向迁移到被动式 AIGC 检测中，将隐表征从“被动观测”升级为“主动几何重塑”，思路兼具创新性与优雅性。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖 4 大生成模型、4 个真实场景、13 种主流基线、6 类对抗攻击与主动水印交叉对比，并配备了严格的理论有限样本推导。
写作质量: ⭐⭐⭐⭐⭐ 框架结构严整，从问题提出、几何建模到统计推断逻辑自洽，数学符号与直觉诠释结合透彻。
价值: ⭐⭐⭐⭐⭐ 彻底解决了被动式检测在高精要求下假阳性率失控和跨模型泛化崩塌的顽疾，且计算极轻量，具备极高的实际落地部署价值。