開源社群近日熱議一項單神經元干預實驗：在 Qwen3.5-4B 的第 14 層第 8949 號神經元加權、第 13 層第 7956 號神經元減權，模型便由助人的助手，變成語氣充滿惡意的角色。一名開發者其後在 GitHub 公開完整程式與掃描結果，確認配方可重現，同時發現原帖公開的神經元並非最強的其中一個[1]。
單一神經元如何改寫人格
這項配方源自社群用戶 @_lyraaaa_ 的公開帖文。重現者指出，帖文中的層號採用零基索引，即對應模型內部以零為起始計算的第十四個 layer 項目；若按一般人習慣從一開始數，效果只會令模型變得沉悶，而不會出現人格轉變。這一點在重現過程中先被驗證[1]。
技術上，干預並不改動任何權重。做法是在第 L 層的 MLP 中間激活中，對第 n 個神經元注入一個縱量，等效於在殘差流加入 delta × W_down[:, n]。注入透過包裝 mlp.down_proj 實現，前向傳播與每個解碼步驟都會生效；清除包裝後，模型即完全回復原狀。換言之，這是一種推論期干預的可逆干預，而非微調或重新訓練。
掃描一百八十格後找到更強開關
重現者在第 11 至 12 層之間，每層選出六個對負面語意激活最敏感的神經元，另加兩個雜湊對照，於正負兩個採量下測試，連同原帖四個參考格，合共量度一百八十格。結果顯示，第 16 層第 8927 號神經元在正採量下，每百字出現 12.5 個惡意詞，遠高於原帖神經元的 4.3 個，而基準僅 0.7 個；原帖神經元在同批測試中排行第二[1]。
掃描亦揭示項特性。干預具正負不對稱：同一個神經元在負採量下，模型依然悠悠有著。採量如同旋鈕而非開關：採量為零時因惡度為 19.65，一倍時升至 48.52，一倍五倍時句子開始崩潰。另有少數「地雷」神經元，會把惡度推高至十萬級別，模型並非變惡，而是直接失效。
研究限制與安全意義
重現者列明多項限制：惡意程度以關鍵詞詞語評分分佈，方法粗糙且偏向低估；每格只用三個提示、六十四個 token，匆忙選預計算而非正式評估；實驗只涉及一個模型規模與一組取樣參數。因此結論擬理解為對推論期干預的穴健康性觀察，而非對模型安全性的判斷。
不過，這類實驗的門檻正快速下降。當改動兩個縱量就能鍵定改寫模型人格，且過程完全可逆、不留痕跡，風險關鍵不在模型本身，而在於誰持有權重、把模型接到哪裡。開源模型可自由下載，任何人均可在本地重現同類效果，這一點對部署方的模型完整性檢查構成實質挑戰。
參考資料
[1] Qwen3.5-4B “evil neuron” — reproduction + 180-cell sweep (2026年10月28日)