Permit: Permission-Aware Representation Intervention for Controlled Generation in Large Language Models¶

会议: NeurIPS 2026
arXiv: 2605.09480
OpenReview: https://openreview.net/forum?id=MWLu2uQdN4
领域: LLM 其他
关键词: 大语言模型、访问控制、表征干预、可控生成、激活空间

一句话总结¶

针对敏感上下文进入提示后大模型容易越权泄露信息的安全短板，本文提出 Permit 框架，利用权限诱导隐状态位移的低秩特性，在冻结基座的低维权限敏感子空间中实施轻量级偏移或门控干预，实现多层级、近零泄露的高效可控生成。

研究背景与动机¶

大语言模型在企业级知识问答与数据分析等场景的应用日益普及，往往需要处理大量包含敏感隐私的内部文档与多用户上下文。在这类多租户系统中，访问控制是确保合规的最基础底线：即使面对完全相同的输入查询与上下文，具有不同职能或权限等级的用户也应当得到权限范围内的差异化受控输出。然而现有的权限控制范式存在明显断层：基于对齐的方法（如 SFT 或 RLHF）主要训练全局粗粒度的安全拒绝边界，难以建模企业复杂的多角色分级权限树；而基于显式规则的方法（如多角色 LoRA 适配器、提示词约束或检索端文档过滤）则面临角色增多后静态切分可扩展性差的瓶颈。

更为关键的矛盾在于，现有访问控制大多仅停留在“信息是否对模型可见”的数据端，无法约束“模型在生成阶段如何使用该信息”。一旦未脱敏的敏感内容通过用户输入、RAG 检索或工具调用进入模型上下文，自回归生成阶段仍不可避免地通过推理、组合或隐式关联将超出权限的机密外泄。若采取极其严苛的全局安全拒绝，会导致严重的过度拒绝与可用性下降；若约束不足，则带来难以承受的隐私泄露。如何在保持模型底座冻结的前提下，实现生成期细粒度、低开销的权限受控输出，成为亟需解决的挑战。

本文探索了权限在模型内部表征空间的几何分布规律，发现权限条件诱导的激活状态位移不仅在空间上具有天然的可分离性与层级序，而且能量高度集中在极低维的主方向上。核心 idea：将访问控制重塑为生成阶段的隐状态表征干预，在保持主干冻结的前提下学习低秩权限敏感共享子空间，并在该子空间内通过轻量级权限仿射偏移或门控缩放，精准调控生成语义与信息暴露粒度。

方法详解¶

整体框架¶

Permit 并不微调 LLM 主干网络，而是在推理阶段通过单次前向传播，对指定 Transformer 层的隐藏状态实施权限条件干预。整体流程包括三个核心阶段：首先将输入上下文与权限系统提示经过冻结基座前向计算，在关键层提取隐藏状态；随后将隐藏状态投影至一个低秩的权限敏感共享子空间；最后在该子空间内施加针对特定权限状态的参数化调制（偏移或门控变换），并将修正差值按干预强度反投影回原始隐空间，驱动后续层生成符合权限边界的回复。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["输入查询与上下文<br/>(q, c, 权限状态 r_k)"] --> B["冻结 LLM 主干前向计算<br/>提取中间层隐藏状态 h_ℓ"]
    B --> C["子空间正交投影<br/>z_ℓ = R_ℓ · h_ℓ"]
    C --> D["权限条件表征调制<br/>ψ_ℓ,k(z_ℓ): 偏移变换或门控缩放"]
    D --> E["差值反投影与残差融合<br/>h_ℓ + α · R_ℓ^T · (z̃_ℓ,k - z_ℓ)"]
    E --> F["后续层自回归解码<br/>输出权限合规回复 y_k"]

关键设计¶

1. 权限诱导隐状态位移的低秩几何解析：解决权限信息如何高效参数化表达

传统方法将多角色权限拆分为独立的微调参数或多个外部模块，当权限状态集合 $\mathcal{R}=\{r_k\}_{k=1}^N$ 扩展时显存与参数量急剧膨胀。作者通过在 MedicalSys 数据集上对基线输入 $x^o_n$ 与带权限提示输入 $x^p_{k,n}$ 对应的层末 token 隐状态做差，提取权限位移向量 $\Delta h^\ell_{k,n} = h^\ell(x^p_{k,n}) - h^\ell(x^o_n)$。经验分析揭示出两个关键几何属性：不同权限角色在激活空间中天然形成可分簇群，且高等级权限沿一致主方向产生更大幅度的阶梯式位移；对所有样本的位移矩阵进行奇异值分解（SVD）后发现，仅需极少维数即可解释绝大部分能量（例如在 Qwen2.5-7B 上仅需 $0.37\%$ 的隐藏维度即可覆盖 $80\%$ 的奇异值谱能量）。这一发现表明，不同权限并不是各自独立的随机扰动，而是共享一个内在紧致的低维主子空间。

2. 统一子空间正交投影与残差重构：解决全量表征干预破坏通用生成能力

直接在全隐藏空间 $\mathbb{R}^d$ 中调整激活容易破坏通用语言知识与文本流畅度。Permit 定义了一个层级共享的可学习正交基投影矩阵 $R_\ell \in \mathbb{R}^{m \times d}$（其中 $m \ll d$，通常取 $m=32$）。对于第 $\ell$ 层的当前隐藏状态 $h_\ell$，模型首先将其压缩投影至低维子空间： $$z_\ell = R_\ell h_\ell \in \mathbb{R}^m$$ 在子空间完成权限专用变换 $\tilde{z}_{\ell,k} = \psi_{\ell,k}(z_\ell)$ 后，计算受控增量并通过转置矩阵 $R_\ell^\top$ 映射回原始特征维度，以干预因子 $\alpha$ 进行残差叠加： $$\phi_{\ell,k}(h_\ell) = h_\ell + \alpha R_\ell^\top (\tilde{z}_{\ell,k} - z_\ell)$$ 此设计保证了干预严格限制在权限敏感的正交补空间之内，不仅把单层参数量压低至约 $m \cdot d + N m^2$，而且有效避免了对非权限语义维度的无意干扰。

3. 双重轻量干预算子（偏移与门控）：兼顾严格边界控制与平滑语义调制

针对实际业务中对安全防线与信息保真度的不同偏好，Permit 提出了两种具体的变换函数 $\psi_{\ell,k}$： - 偏移变换（Offset Form）：采用可学习仿射变换 $\psi^{\text{off}}_{\ell,k}(z_\ell) = W_{\ell,k} z_\ell + b_{\ell,k}$，其中 $W_{\ell,k} \in \mathbb{R}^{m \times m}$，$b_{\ell,k} \in \mathbb{R}^m$。该变体允许在共享子空间内对表征进行任意平移与基变换，重构出符合权限意图的完整语义，适合对越权内容零容忍的高敏感场景。 - 门控缩放（Gated Form）：采用注意力式门控掩码 $g_{\ell,k} = \sigma(W_{\ell,k} z_\ell + b_{\ell,k})$，通过逐元素相乘 $\psi^{\text{gate}}_{\ell,k}(z_\ell) = g_{\ell,k} \odot z_\ell$ 对各维度幅度进行动态衰减或保留。门控形式以保守的非负压缩机制调制信息暴露，计算更为轻便，提供了沿安全-效用前沿平滑调节的机制。

损失函数 / 训练策略¶

训练阶段完全冻结基座 LLM 参数 $\Theta_0$，仅优化各干预层 $\ell \in \mathcal{L}$ 的共享投影基 $R_\ell$ 及各权限对应的参数集合 $\Delta\Theta = \{R_\ell, \{\psi_{\ell,k}\}_{k=1}^N\}$。训练目标为端到端自回归交叉熵损失： $$\min_{\Delta\Theta} \sum_{k=1}^N \sum_{i=1}^{n_k} \mathcal{L}_{\text{CE}}\left(M_0(q_i^k, c_i^k; \Delta_k \mid r_k), y_i^k\right)$$ 在具体实现中，干预主要部署于中后部层（默认 $\ell=20$，子空间秩 $m=32$，干预系数 $\alpha=0.5$），采用 AdamW 优化器（学习率 $1 \times 10^{-4}$，权重衰减 0.01）在 BF16 精度下训练 3 个 epoch，并使用余弦退火学习率调度。

实验关键数据¶

主实验¶

在医疗多角色多层级访问控制基准 MedicalSys（包含 4 个角色、每角色 4 个权限层级、约 12,000 条问答）上，对比纯提示词基线（Prompt-Only、Prompt-Perm）以及前沿表征控制基准（ControlNet，基于 LoRA 抑制）。评估指标覆盖实用性（Precision、Recall、F1-score、ROUGE-L）、安全性（信息泄露率 Leakage Rate, L.R.）与效率（可训练参数比例 Param、推理时延 Latency）。

模型	方法	精确率 (Pre.)	召回率 (Rec.)	F1 值 (F1)	ROUGE-L	泄露率 (L.R.) ↓	参数增量 (%) ↓	推理时延 (s) ↓
LLaMA3.1-8B	Prompt-Only	0.917	0.807	0.853	0.826	0.968	0.0%	2.25
	Prompt-Perm	0.916	0.775	0.832	0.806	0.090	0.0%	2.32
	ControlNet	0.678	0.584	0.616	0.680	0.010	0.1168%	3.00
	Permit-Offset	0.846	0.810	0.828	0.830	0.000	0.0018%	2.33
	Permit-Gate	0.837	0.805	0.819	0.840	0.001	0.0018%	2.35
Qwen2.5-7B	Prompt-Only	0.873	0.709	0.773	0.786	0.970	0.0%	2.13
	Prompt-Perm	0.568	0.518	0.538	0.694	0.422	0.0%	2.29
	ControlNet	0.779	0.550	0.617	0.658	0.177	0.1024%	2.93
	Permit-Offset	0.839	0.782	0.804	0.826	0.025	0.0017%	2.43
	Permit-Gate	0.789	0.662	0.711	0.756	0.110	0.0017%	2.64

消融实验¶

消融针对提示注入攻击防御能力（表 A）以及干预层级数与超参数敏感度（表 B，基于 LLaMA3.1-8B）开展：

表 A：对抗性提示词注入攻击（Role-play / Ignore Instructions）下的鲁棒性表现

防御方法	F1 值 (F1) ↑	ROUGE-L ↑	泄露率 (L.R.) ↓	表现评价
Prompt-Perm	0.823	0.801	0.140	面对诱导角色扮演指令防线严重击穿
ControlNet	0.718	0.758	0.078	具备一定防御力但答复过度保守、效用大幅下跌
Permit-Gate	0.819	0.836	0.022	门控过滤提供稳健抗扰能力
Permit-Offset	0.835	0.844	0.010	在几乎不伤及合规信息的同时，将攻击泄露压低至 1.0%

表 B：干预层数多层协同消融（LLaMA3.1-8B，Permit-Offset）

干预层配置	F1 值 (F1)	ROUGE-L	泄露率 (L.R.)	说明
单层干预 ($\ell=20$)	0.828	0.830	0.000	默认基准配置，实现零泄露与低开销平衡
三层协同干预 ($\ell \in \{18, 20, 22\}$)	0.845	0.849	0.000	效用进一步提升，多层协调优化语义表征
过密干预 ($\ge 5$ 层)	0.812	0.805	0.015	跨层冗余干预引入表征干扰，性能出现回退

关键发现¶

Offset 变体在综合性能上系统性占优：在 Qwen2.5-7B 上，Permit-Offset 相比 Permit-Gate 的 F1 值高出 9.3 个百分点，泄露率低 8.5 个百分点。这证明权限控制需要的是在子空间内进行坐标系的精确重排与映射，而非简单的通道截断。
干预位置在模型中后层最为敏感高效：浅层干预收益较差（语义尚未充分解耦抽象），极深层干预则易损伤最终 token 解码的自然度；位于第 20 层（约为整体深度的中间靠后阶段）时综合表现最佳。
参数开销呈现数量级下降：得益于子空间基共享与残差流单点干预机制，Permit 相比 ControlNet 减少了超过 $98\%$ 的可训练参数量，推理延迟仅比无防护基线增加 0.01~0.14 秒。

亮点与洞察¶

将访问控制引向表征流内生机制：打破了传统“检索时硬过滤文档、提示词软性劝导、微调时全局拒答”的生硬思路，首次系统性证明权限语义在 LLM 隐空间存在低秩且层级分明的流形，从根本上兼顾了“输入可见”与“输出可用”。
极小参数 footprint 实现即插即用：每个权限等级仅需训练 $m^2+m$（约 1056 个浮点数）的参数，权限切换无需重新编码提示词或切换庞大的 LoRA 权重，极具生产部署价值。
对复杂提示注入天然具备免疫力：恶意指令即使突破了提示词上下文的规则防线，在经过隐藏层正交投影干预后，越权特征在流形上被强制拉回合法范围，提供了传统 prompt engineering 无法企及的内在安全深度。

局限与展望¶

依赖预定义的离散权限状态：当前方案预设在生成前用户权限状态已由外部系统精准赋予，尚未涵盖用户身份不明确、动态上下文流转、多方授权交叉等自适应场景。
缺乏密码学/理论级的绝对安全性验证：尽管实证泄露率逼近零（0.0%~2.5%），但仍属于启发式表征对齐，面对针对激活空间的自适应梯度对抗扰动尚不能提供确定性形式化保障。
未来方向：探索结合因果干预与探针技术的动态自适应权限推理框架，并拓展至包含图像、语音等多模态文档的企业智能检索生成系统。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次揭示大模型中权限表征的低秩聚集特性，将访问控制转化为激活子空间微型干预。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖多模型、多角色、多层级权限基准，包含详尽的主实验、注入防御实验及消融分析。
写作质量: ⭐⭐⭐⭐⭐ 叙述逻辑严密，数学表达克制精准，动机与实验结论高度自洽。
价值: ⭐⭐⭐⭐⭐ 为企业级 LLM 部署中的数据合规与多租户权限隔离提供了极具落地可行性的轻量级范式。

干预层配置	F1 值 (F1)	ROUGE-L	泄露率 (L.R.)	说明
单层干预 (\(\ell=20\))	0.828	0.830	0.000	默认基准配置，实现零泄露与低开销平衡
三层协同干预 (\(\ell \in \{18, 20, 22\}\))	0.845	0.849	0.000	效用进一步提升，多层协调优化语义表征
过密干预 (\(\ge 5\) 层)	0.812	0.805	0.015	跨层冗余干预引入表征干扰，性能出现回退