你有沒有試過問AI一個根本沒有答案的問題？
比如讓它算算負540度的餘切值，或者問它某段Python代碼執行會得到什麼結果，而那段代碼其實一運行就會報錯。按理說，一個訓練有素的AI應該說"這個問題沒有標準答案"或者"這段代碼會報錯"。可現實是，很多大模型會一本正經地給你算出一個數字，或者告訴你代碼返回了True，仿佛這個問題天經地義有解。
這不是個例。南加州大學和亞利桑那州立大學的兩位研究者，Yucheng Du和Xiyang Hu，專門做了一套實驗來研究這個現象。他們發現了一件挺讓人意外的事：模型內部其實早就"知道"這個問題沒有答案了,只是這個"知道"沒有被用上。
這篇論文的核心發現是，AI回答不該回答的問題，不是因為它認知有缺陷,而是因為它內部的兩套系統沒接上線。
問題出在哪
先說說這事兒難在哪。
大模型平時最出名的"拒絕行為"是什麼？是你讓它教你做炸彈，或者寫一段惡意代碼，它會禮貌地告訴你"抱歉，我不能幫你做這個"。這種拒絕背後，學界已經有比較成熟的解釋。2024年，Arditi等人的一項研究發現，安全拒絕這件事在模型內部對應著一個非常具體的方向,殘差流
（模型內部資訊傳遞的隱藏狀態通道）中的一條線性方向，把有害提示和無害提示的隱藏狀態均值相減就能得到。這個方向像一個開關，只要往這個方向推一把，模型就會從"正常回答"切換到"我拒絕"。
殘差流：Transformer模型內部資訊逐層傳遞的通道，每一層的輸出會累加到這條"流"里，最終決定模型說什麼。
安全拒絕方向：一個從大量"有害提示"和"無害提示"的隱藏狀態中提取出來的向量，代表了模型判斷"這個請求該不該拒絕"的內部指標。
按照這個邏輯，如果模型面對cot(-540°)這種沒有答案的數學題，如果它"知道"這題沒法算，那這個"知道"是不是也應該激活同一套拒絕機制？兩位作者帶著這個假設去做實驗，結果卻發現事情沒那麼簡單。
結構性不可能，這是個新詞，得先弄明白它指的是什麼。論文裡區分了三種"無法回答"的情況。第一種是結構性不可能，比如除以零、負數開偶次方根、除以零的Python代碼,這些問題違反了明確的數學或語法規則，根本不存在合法答案，而且用規則就能驗證對錯，不需要任何背景知識。第二種叫認知性不可回答，比如給你一段文章，問一個文章里沒提到的問題,答案可能存在，只是你手頭的資訊不夠。第三種是錯誤前提問題，比如"為什麼二氧化碳是由氧氣組成的"，這個問題本身的假設就是錯的，正確做法是糾正提問者而不是順著回答。
這篇論文的主戰場是第一種,結構性不可能。因為這種問題的對錯是數學和語法規則決定的，不摻雜主觀判斷，最適合拿來做乾淨的科學實驗。後兩種只是拿來做邊界測試的補充材料。
模型到底知不知道
第一步要回答的問題是：模型內部是不是真的有一個"這題沒法答"的信號？
研究者們的做法挺巧妙的。他們從11個不同規模的開源模型入手，從17億參數的小模型到700億參數的大模型都測了一遍,涵蓋SmolLM2、Phi-4、Gemma-3、Mistral、Qwen3、Llama、OLMo等主流模型家族。測試數據是兩套精心構造的題庫,math800（16類數學題，每類50對，一共1600道）和code800（8類代碼題，每類100對，一共1600道）。每一對題目里，一道有答案（A類），一道結構性不可能（U類），題干幾乎一模一樣，只在關鍵的數學或語法細節上有差別。
比如同樣考除法，A類是"84除以2等於多少"，U類是"84除以0等於多少"。這種設計的好處是，模型區分A和U靠的必須是對"能不能算"這件事的理解，而不是靠題目長度、話題類型這些無關因素蒙對。
具體怎麼找這個"知道"的信號呢？研究者用了一種叫CosNSRT的方法。
CosNSRT：一種探測模型內部表徵的方法，先用PCA（主成分分析）找出"能回答的題"共享的那部分特徵，把這部分特徵從隱藏狀態里剔除掉，剩下的殘差部分再用來區分能不能回答，最後用餘弦相似度評分。
PCA：一種統計技術，能從大量數據里提煉出最重要的幾個"方向"，捕捉數據里變化最大的那部分模式。
這裡有個關鍵的設計決策，為什麼要先剔除掉"能回答的題"的共性特徵？
想像你在一個嘈雜的派對上找一個人說悄悄話。如果周圍所有人都在聊同一個話題，你光靠"內容相關性"根本分不清誰在跟你說話，因為大家說的都差不多。但如果你先把"大家都在聊的那個共同話題"這層噪音過濾掉，剩下的就是每個人真正想單獨跟你說的私房話。研究者發現，能回答的題目之間有大量共性,比如都是某種數學題的固定格式、固定的表達套路，這些共性會淹沒掉"這題到底能不能回答"這個更細微的信號。剔除掉這層共性噪音之後，那個真正決定能不能回答的方向才清晰地浮現出來。如果不做這一步剔除，直接在完整的表徵空間裡找方向，效果會明顯打折扣,論文的對照實驗顯示，不剔除的話檢測準確率從0.939掉到0.907，剔除掉Top-k主成分的話更是只剩0.890。
結果相當亮眼。這個只有一個維度的簡單探測器，在22個模型和數據集組合上，平均AUC達到0.939，最低也有0.841，最高0.993。
AUC：一種衡量分類器好壞的指標，取值0到1，越接近1說明分類越准，0.5代表隨機瞎猜。
也就是說，哪怕是一個只有一維、用餘弦相似度評分的極簡探測器，都能相當精準地從模型的隱藏狀態里分辨出"這題有沒有答案"，而這時候模型壓根還沒開始生成任何一個字。連17億參數的SmolLM2這種小模型都能達到0.880的準確率，700億參數的Llama更是接近0.99。
這說明什麼？說明"不知道這題沒法答"根本不是問題所在。模型的內部表徵清清楚楚地區分了這兩類題目，只是它沒有把這個區分用在正確的地方。
知道了，但沒接上安全閥
第二步是這篇論文最有意思的地方：既然模型知道，為什麼還是照樣亂答？
研究者的假設是，也許模型把"這題沒法答"這個信號，錯誤地接到了別的處理流程上，而不是接到那個已經存在的安全拒絕開關上。
他們做的事情很直接：分別提取出"識別不可能性"的方向（前面提到的CosNSRT方向，記作dimp）和"安全拒絕"的方向（記作dref,safety，用哈姆風險提示和無害提示的隱藏狀態均值差構造），然後計算這兩個方向之間的夾角，用餘弦相似度衡量。如果兩者高度重合，餘弦值應該接近1。
結果呢？22個模型數據集組合里，平均餘弦相似度只有0.087，範圍在0.020到0.130之間。
這是個什麼概念？餘弦相似度1代表兩個方向完全重合，0代表完全垂直、毫無關聯。0.087這個數字，已經非常接近"毫不相關"的0了。研究者還專門做了一個對照實驗，隨機生成一些方向來算基準值，發現真實測出的餘弦值是隨機基準的2到13倍,確實不是純噪聲，兩者之間存在某種微弱但一致的關聯，但這種關聯遠遠達不到"共用同一套機制"的程度。
這就好比一棟大樓里裝了兩套獨立的警報系統。一套是煙霧報警器，專門偵測火情；另一套是水浸報警器，專門偵測水管漏水。你可能會想，既然兩套系統都叫"報警器"，肯定是同一套線路對吧？但實際情況是，這棟樓的煙霧探頭雖然真真切切地探測到了火情，可它連接的卻是另一套完全不搭界的電路,壓根沒接到那個會拉響警笛、疏散人群的主警報系統上。結果就是探頭亮了燈，警笛卻沒響，人該怎麼待著還怎麼待著。如果這棟樓真的只有一套統一的警報系統，那火情信號無論從哪個探頭傳來，警笛都該響。但事實恰恰相反：火被探測到了，警笛卻紋絲不動。
研究者還擔心，會不會是因為比較的空間不一致導致的誤判,畢竟dimp是限定在剔除了A類共性之後的子空間裡算出來的，而dref,safety是在完整空間裡算的。於是他們做了個同空間對照實驗，把兩個方向都投影到同一個剔除後的子空間裡再算餘弦，結果範圍是0.021到0.154，平均0.097，跟之前的結果幾乎一樣。這就排除了"空間不匹配"這個干擾因素，兩個方向確實是近乎垂直的。
那完整空間裡算出來的餘弦值為什麼會更大一些（平均0.240）？研究者用能量分解的方法拆解了一下，發現這部分較大的相似度里，平均81.3%其實來自於兩者共享的"表面結構"特徵,也就是題目的話題、格式、句法這些跟"能不能回答"本身無關的東西。真正攜帶"不可能性"信號的那部分（剔除共性之後剩下的部分），兩者的重合度依然很低。
除了跟標準的安全拒絕方向比較，研究者還構造了一個"行為定義的無效性感知方向"，簡稱dstruct,behav。
行為定義的無效性感知方向：直接從模型生成的回答里區分"承認這題沒法答"和"硬答一個數字"這兩類輸出，反推出對應的隱藏狀態方向，不依賴安全拒絕的概念。
這個方向跟dimp的相似度提升到了0.40，比跟安全拒絕的相似度高不少，但也只是"部分對齊"，遠沒有到"高度重合"的程度。更有意思的是，這個行為定義的方向本身跟安全拒絕方向的相似度只有0.08，說明模型面對結構性不可能問題時，走的根本不是標準的拒絕答覆套路。研究者還發現一個很扎心的細節：在檢查的所有U類題目樣本里，幾乎沒有一個模型用了"我無法回答"這種標準拒絕語言,50道題里一道都沒有。模型不是在拒絕，它只是偶爾會用一種含糊其辭的方式承認問題有蹊蹺，但更多時候，它直接給出一個答案，仿佛什麼都沒發生。
這套證據鏈拼起來講的是一個"接錯線"的故事：模型的表徵層面確實存在一個清晰的"這題沒法答"信號，但這個信號既沒有連到訓練時專門打磨過的安全拒絕機制上，行為層面對應的動作也幾乎從不是標準的拒絕話術。
信號能不能真的驅動行為
光有相關性證據還不夠。探測器發現某個方向能區分A和U，不代表這個方向真的在驅動模型的生成行為,這只是相關性，不是因果性。為了驗證因果性，研究者做了一個"注入實驗"：在模型生成過程中，強行往隱藏狀態里加上一個沿著dimp方向的向量，看模型的行為會不會跟著變。
具體做法是，選了4個代表性模型（Mistral-7B-Instruct、Gemma-3-4B-it、Qwen3-14B、Qwen3-8B），在math800、code800、fact800三個數據集上，用不同強度（用proj_std的5倍、10倍、20倍、40倍作為單位）往殘差流里加或減這個方向。加的時候是想看，本來能正常回答的題（A類），會不會因為強行注入"不可能"信號而變得開始拒絕回答；減的時候是想看，本來會含糊承認無法回答的U類題，會不會被強行拉回到"硬答一個數字"的狀態。同時用一個隨機方向做對照組，排除掉"隨便推一把隱藏狀態都會讓模型行為改變"這種可能性。
結果里最亮眼的是Mistral-7B。這個模型在數學和代碼兩個領域、兩個方向（正推和反推）上都表現出超過30個百分點的門控翻轉率提升,數學題正向偏移33個百分點，反向偏移38個百分點，代碼題正向35個百分點，反向44個百分點，而且比隨機方向對照組高出33到44個百分點。
門控翻轉率：論文裡定義的核心指標，只統計那些清洗過、排除了混合輸出和生成崩潰這類干擾情況後，行為確實發生翻轉的比例，衡量的是"注入這個方向之後，模型行為真的改變了多少"。
代碼類任務上表現最乾淨的例子是Mistral-7B在code800上的劑量反應曲線：隨著注入強度從5倍逐步提高到40倍，門控翻轉率從2.1%穩步上升到12.5%，再到35.4%,呈現出清晰的單調遞增，而隨機方向對照組幾乎全程接近0%。
這個實驗其實是在回答一個反事實問題：如果這個dimp方向根本不是因果性的，只是一個巧合的相關性特徵，會發生什麼？答案是，隨機方向不會有任何效果，可實際的實驗結果顯示信號方向確實能穩定地、按劑量比例地改變模型行為，而且這種效果在4個不同的錨點模型里，10組"模型數據集方向"組合達到了30個百分點以上的"達標"級別，另外10組雖然沒到30分點但依然是正向有效的，只有4組因為樣本量太小（清潔基線樣本不足4個）只能算軼事級別的觀察。
這裡也有個值得注意的反差：不是所有模型都表現得一樣好。Gemma-3-4B和Qwen3-8B在數學題上出現了"方向不對稱"的情況,反向（從拒絕拉回到回答）表現很好，正向（從回答推向拒絕）在較大注入強度下會出現輸出崩潰。研究者進一步分析發現，這背後跟模型對"擾動"的容忍度有關：Mistral-7B在注入強度為20倍時，平均崩潰率只有9.5%，而其他三個模型的崩潰率在31.5%到45.5%之間。也就是說，不是信號本身沒用，而是有些模型的"抗干擾能力"更弱，稍微推一把整個生成就散架了。
研究者還專門做了一個反駁性實驗，用來回應一個自然會冒出來的質疑：會不會dimp其實只是一個泛泛的"拒絕詞彙"方向，只要往這個方向推，模型無論碰到什麼問題都會說"我不能回答"？他們用嚴格的"只算拒絕語言"標準重新統計了一遍，結果96行數據里有48行因為清潔基線幾乎從不出現"我無法"這類明確拒絕表達而無法測量，剩下48行里47行的效果都在5個百分點以內，唯一的例外也只有6個百分點，遠遠低於用寬鬆標準（承認無效性）測出的32.7個百分點。這個結果排除了"dimp只是拒絕詞彙觸發器"這種簡單解釋,它推動的是模型對"這題有沒有效"這件事的判斷，而不是簡單地讓模型多說幾句客套話。
這條不對齊的線，是訓練出來的，還是天生的
第三個問題挺關鍵：這種"知道但沒用上"的割裂狀態，是不是訓練（尤其是安全對齊訓練）造成的？
這個問題背後有兩種可能的解釋。第一種，模型在預訓練階段（還沒經過指令微調和安全對齊）壓根就沒有區分出這兩套系統，是後期的安全訓練把拒絕機制安在了一個跟"識別不可能"毫無關係的軸上，因為安全訓練用的數據里根本不包含結構性不可能這類標註。第二種，這兩個方向在預訓練結束的那一刻就已經是近乎垂直的，安全訓練只是把一個統計意義上的方向變成了一個真正會觸發拒絕行為的機制，但沒怎麼改變它跟識別方向之間的角度關係。
要區分這兩種可能，最直接的辦法是拿基座模型（沒做過指令微調和安全對齊的模型）和對應的指令微調版本做對比。研究者找了6對這樣的基座/指令對，包括Qwen2.5系列的7B、14B、32B，Qwen3系列的8B、14B，以及Llama系列的70B。
結果顯示，指令微調前後這個夾角的變化幅度是-0.008到+0.110，平均只有+0.037,相比之下，指令模型這一檔本身的餘弦值範圍是0.020到0.130。也就是說，微調帶來的變化幅度，比整個近乎垂直區間的寬度還要窄。變化最大的是Qwen3-8B這一對，提升了0.110；而唯一一對經過廠商確認的、純粹只經歷了後訓練差異的對照組,Llama-3.3-70B-Instruct對比Llama-3.1-70B-Base（Meta官方確認兩者共享同一個預訓練檢查點）,夾角變化幾乎為零，只有-0.0001。
更進一步，研究者還在基座模型上單獨測了一遍"識別不可能"這個信號是否存在。結果是，6個基座模型在math800上的檢測AUC均值達到0.977，範圍0.94到0.99，跟指令微調之後的模型幾乎沒差別。
這說明什麼？這說明模型對"這題有沒有答案"的識別能力，以及這個識別方向跟安全拒絕方向之間的近乎垂直關係，兩者都是在預訓練階段就已經定型的。指令微調和安全對齊訓練確實激活了安全拒絕這個機制,讓它從一個統計意義上的方向變成了一個真正能觸發拒絕行為的開關,但訓練過程並沒有把這個開關跟"識別不可能"的信號接到一起。
這就好比一棟大樓在建造之初，電路布線的圖紙上，火災報警系統和主警鈴系統就走的是兩條完全不同的線路，壓根沒有預留任何交叉連接點。後期裝修（也就是安全訓練）頂多是把已經鋪好的某條線路真正接通電源，讓警鈴真的能響，但裝修工人沒有權限去重新布線，把探測器接到警鈴上。如果你想真正解決這個問題，光靠裝修是不夠的，得回到圖紙設計階段，從根子上重新規劃線路。
排除其他解釋
任何一個好的研究結論，都得先扛住各種"你會不會是被別的因素騙了"的質疑。這篇論文專門花了一整節篇幅，逐一排除了五種替代解釋。
第一種質疑：是不是題目長度在作怪？U類題目會不會天生就比A類短，模型只是在用長度當捷徑？研究者控制了長度變量之後重新測試，發現在一個專門做了長度匹配的數據集上（長度本身的判別力被壓到了0.5，也就是完全沒有區分力的水平），CosNSRT依然能達到0.799的檢測準確率，說明長度不是關鍵因素。
第二種質疑：是不是難度在作怪，模型識別的其實是"這題很難"而不是"這題沒法答"？研究者在能回答的題目內部劃出一個難易分組，發現dimp用來區分難易的準確率只有0.61，而用來區分能不能回答的準確率是0.96，兩者相差35個百分點，說明這個方向對"能不能回答"遠比對"難不難"敏感。
第三種質疑：會不會全局的高準確率是被少數幾個特別簡單的類別拉高的？研究者用一個不依賴標籤的統計量（叫NS_SNR，衡量子空間裡兩類樣本分離程度）跟每個類別的實際檢測準確率算了相關性，22個格子裡有18個達到統計顯著水平，相關係數均值0.730，說明整體表現是各個類別普遍達標的結果，不是被少數樣本撐起來的。
第四種質疑：這套發現會不會只在特定模型規模上成立？研究者的22個格子橫跨17億到700億參數，檢測準確率範圍0.841到0.993，而且規模越大，近乎垂直的關係反而越穩固,24億參數的Mistral-Small在數學題上的置信區間窄至0.059到0.071，320億和700億參數模型的餘弦值也穩定在0.098附近。這說明這個現象不是小模型的特有缺陷，規模變大也不會自動解決問題。
第五種質疑：dimp會不會只是一個泛化的"這題有點怪"通用軸，跟具體是數學、代碼還是別的什麼領域無關？研究者比較了同領域內和跨領域的表現差異，發現平均下降了8個百分點，說明這個方向確實有一定的領域特異性，不是一個放之四海皆準的萬能不確定性探測器。作為補充，研究者還在另外兩個邊界數據集上做了遷移測試,一個是基於SQuAD構造的事實性無法回答問題集，一個是錯誤前提問題集FalseQA,發現在math800上訓練出來的方向能部分遷移到這兩個數據集上（相似度分別在0.64到0.98和0.59到0.90之間），但這只是檢測層面的遷移，論文明確說明沒有在這兩個數據集上做因果乾預實驗，所以不能說這套方法能直接搬到其他類型的無法回答問題上去。
寫在後面
讀這篇論文的過程中，最讓我腦子轉了個彎的是這樣一件事：我們通常默認，AI犯錯要麼是因為"不知道"，要麼是因為"故意騙人"。但這篇論文擺出的證據鏈講的是第三種情況,模型是真的知道，而且這個"知道"在生成第一個字之前就已經確定了，可它就是沒被用上。這種"知道但做不到"的狀態，其實人類自己也經常經歷,你明明知道熬夜不好，但手還是劃開了手機。區別在於，人類的這種割裂或許有意志力、習慣、情緒的複雜糾纏，而AI的割裂被這篇論文精確地量化成了一個數字：餘弦相似度0.087。
另一個讓我印象深刻的細節是，研究者做了一整套"排除法"實驗（附錄里那五個替代解釋），這種嚴謹程度在很多論文裡其實不常見。尤其是那個"是不是難度而不是可答性"的對照實驗，思路特別巧妙:如果模型只是在識別"這題看起來很難"，那它對難易程度的區分能力應該跟對可答性的區分能力差不多，但實際數據顯示兩者差了35個百分點。這種設計說明作者們非常清楚，任何一個漂亮的相關性發現，背後都可能藏著一堆更簡單粗暴的替代解釋，你必須一個個去堵死。
論文最後也很坦誠地承認了局限：這套發現在數學和代碼這種規則清晰、可以形式化驗證的領域效果最乾淨，但一旦挪到事實性無法回答（比如問一篇文章里沒提到的資訊）這種更模糊的領域，因果實驗的證據就明顯變弱了,清潔基線樣本太少，很多情況下模型壓根不會拒絕，根本沒法測量。這提示我們，"結構性不可能"之所以是個好的實驗場，恰恰是因為它有明確對錯標準；一旦進入更接近人類日常認知模糊地帶的問題，這套方法論還能不能站得住，仍然是個開放問題。
如果安全對齊訓練本身就沒有包含"結構性不可能"這類標註數據，那這個"接錯線"的問題，會不會在其他類型的判斷能力上反覆出現？比如模型明明知道某個事實性陳述是錯的，卻依然因為拒絕機制沒接上而順著說下去？
Q&A
Q1：為什麼大語言模型會回答cot(-540°)這種沒有標準答案的數學題？
A：論文發現模型內部其實已經識別出這類問題結構性不可能，一個簡單的線性探測方向就能以0.939的平均準確率區分出能回答和不能回答的題目。但這個識別信號跟負責觸發拒絕行為的安全拒絕方向幾乎完全垂直（餘弦相似度只有0.087），導致識別到了卻沒有觸發相應的拒絕動作，屬於內部路由錯誤而非認知缺陷。
Q2：這種"知道但不拒絕"的問題是訓練造成的還是模型天生就有的？
A：研究者對比了6對基座模型和指令微調模型，發現指令微調前後這個近乎垂直的夾角幾乎沒變化（平均變化只有0.037），而且基座模型本身就已經能以0.977的準確率識別出結構性不可能的問題。這說明識別能力和兩套系統之間的割裂狀態，在預訓練階段就已經形成，安全對齊訓練並沒有從根本上改變這種割裂關係。
Q3：往這個識別方向注入信號真的能讓模型改變行為嗎？
A：可以，研究者在Mistral-7B等4個模型上做了因果乾預實驗，往隱藏狀態里強行加入或減去這個方向的信號，結果顯示模型的拒絕行為確實會跟著按劑量比例變化，最好的例子是Mistral-7B在代碼任務上呈現出從2.1%到35.4%的清晰單調遞增曲線，而隨機方向對照組幾乎沒有效果，證明這個信號是真正驅動行為的因果性方向，不只是巧合的相關性。
