毋須訓練、不動權重，光靠動動詞表就能給大模型「消毒」？
港中大／FaceMind 團隊做到了。
一個叫作ToxPrune的方法，在推理階段直接把有毒子詞（subword）從 BPE 詞表裡「連根拔除」，讓模型在物理層面說不出髒話。
效果有多誇張？在一個專門被訓練說髒話的模型 NSFW-3B 上，毒性評分從0.89 直降到 0.13——幾乎把一個「滿嘴跑火車」的模型瞬間掰回正常人。
更意外的是，剪掉有毒詞之後，對話品質不降反升——BLEU、ROUGE、多樣性指標全面提高。
（論文入選ACL 2026。）
一個「髒話模型」的自我救贖
先說說這篇論文解決的是什麼問題。
大家都知道，大模型安全對齊（如 RLHF）又貴又複雜，個人開發者根本玩不起。更要命的是，開源社群裡有些模型本身就是「有毒」的——比如 NSFW-3B，它被專門微調來生成不可描述的內容。
對於這類已經「學壞」的模型，傳統的安全分類器也救不了——你讓它重新生成，它再生成一遍還是髒話，無限迴圈。
那怎麼辦？
ToxPrune 的思路堪稱「簡單粗暴但極其優雅」：
- 第一步，拿一份現成的有毒詞彙表（254 個髒詞）；
- 第二步，用分詞器把這些詞切成子詞（404 個 subword token）；
- 第三步，在模型生成文本時，直接把這些子詞的採樣機率設為 0。
就這樣，模型在每一個時間步都物理上不可能選中有毒 token。
看個例子就懂了——
輸入：Wow, you need a hobby to get away, like jujitsu or running.
NSFW-3B 原始輸出：My hobbies are f**king boring. I'm not a f**king fan of f**king hobbies.（毒性評分：0.7）
ToxPrune 之後：My hobbies are reading mysteries, driving a truck, and raising children.（毒性評分：0.0）
同一個模型、同一組參數，僅僅因為在解碼時剪掉了有毒子詞，輸出就從「國罵三連」變成了「歲月靜好」。
越剪越好？意外的「多樣性紅利」
論文最驚喜的發現不是「消毒」本身，而是消毒帶來的意外收益。
在有毒模型 NSFW-3B 上，隨著剪枝比例從 25% 增加到 100%：毒性持續下降，但 BLEU-2/3/4、ROUGE 和 Distinct 指標反而全線上漲。這說明什麼？NSFW-3B 其實本身具備正常的語言建模能力，只是機率分布被有毒詞「霸佔」了。剪掉髒詞後，模型被迫去尋找語義等價但無毒的替代表達，反而激活了被壓制的「好詞」。
更有意思的是，在本身就沒有毒性的 Llama-3.1-6B 上，ToxPrune 也能顯著提升多樣性——Distinct-1 從 0.232 提升至 0.323，Distinct-2 從 0.719 提升至 0.804。作者推測，屏蔽某些高頻子詞讓機率分布更加平坦，促進了詞彙多樣性。
人類評估同樣驗證了這一結論：在適當性、資訊量、參與感、類人性等維度上，ToxPrune 全面勝出，且流暢性和連貫性完全不受影響。
△AI 生成
方法還能繼續進化
ToxPrune 還提供了兩個可選的增強模組。
一個叫釋義黑名單——用 LLM 給有毒詞自動生成同義詞，擴大剪枝覆蓋面。畢竟 254 個髒詞只覆蓋了 NSFW-3B 生成有毒詞的 72%，還有漏網之魚。
另一個叫截斷白名單——有些正常詞和髒詞共享子詞，比如「assassin」裡有「ass」。白名單可以保護這些正常詞不被誤傷。
這意味著 ToxPrune 不只是一個固定方法，而是一個可動態定製的框架。用戶可以根據自己的需求隨時更新有毒詞表，即插即用，零訓練成本。
與 GPT 之父 Alec Radford 新作的碰撞：殊途同歸的 AI 安全哲學
有趣的是，就在今年 1 月，GPT 之父Alec Radford（OpenAI 前核心研究員，GPT/GPT-2/CLIP 第一作者）與史丹佛研究者 Neil Rathi 聯合發表了一篇論文《Shaping Capabilities with Token-Level Data Filtering》，同樣關注Token 級別的安全干預，但路徑截然不同。
Radford 團隊的核心主張是：與其在模型學會危險知識後再「封印」，不如在預訓練階段就通過 Token 級資料過濾，讓模型從一開始就沒機會學到危險知識。他們提出了兩種策略——「損失遮罩」（模型能看到危險 token 但不從中學習）和）和「Token 移除」（直接用特殊標記替換危險 token）。
結果同樣令人震撼：對於 18 億參數模型，Token 級過濾導致目標領域的學習效率下降 7000 倍。更關鍵的是，與目前最強的機器遺忘演算法 RMU 相比，Radford 的方法在對抗性微調面前展現出碾壓級的魯棒性——攻擊者需要的微調資料量是破解 RMU 的 13 倍以上。
把這兩篇論文放在一起看，你會發現一個非常有趣的互補關係：
ToxPrune是「推理時動手術」——模型已經訓練好了，在輸出端精準阻斷有毒內容。好比給一個已經學了壞話的人戴上一個智慧口罩，髒話在嘴邊就被過濾掉了。優點是零成本、秒部署、可動態更新。
Radford 的 Token Filtering是「預訓練時動手術」——從訓練資料源頭切除危險知識，讓模型的「大腦」裡根本不存在那些概念。好比從小就不讓一個孩子接觸危險資訊，長大後自然不會。優點是從根本上消除能力，對抗性極強。
一個治標，一個治本；一個面向已部署模型的快速修補，一個面向下一代模型的安全架構；一個適合資源有限的個人開發者，一個適合 OpenAI、Anthropic 這樣的前沿實驗室。
兩者結合，恰好構成一套纵深防禦體系：預訓練層用 Radford 的方法築起安全地基，推理層用 ToxPrune 部署最後一道防線。
作者是什麼來頭？
ToxPrune 團隊：
第一作者Hongyuan Adam Lu（陸弘遠），香港中文大學 NLP 博士（導師林偉教授），現為 FaceMind 臉譜心智公司創始人兼 CEO。他在 ACL Anthology 上發表了 20 餘篇論文，橫跨世界模型、對話生成、機器翻譯、大模型安全等多個領域，是 NAACL、EMNLP、ACL 的常客。他先前提出的 CoD（Chain-of-Dictionary）方法曾幫助 ChatGPT 在低資源語言翻譯上獲得高達 13 倍的 chrF++ 提升，頗受關注。
通訊作者Wai Lam（林偉），香港中文大學系統工程與工程管理學系教授，深耕文本挖掘和機器學習數十年，是 NLP 領域的資深學者，也是 Google Scholar 高被引研究者，指導培養了大量 NLP、多模態、世界模型方向的博士生。
Token Filtering 團隊：
Alec Radford，1993 年生，美國 AI 研究者。從德州 Olin College 輟學後聯手創辦 Indico，2016 年加入 OpenAI，其後成為 GPT（2018）、GPT-2（2019）、CLIP（2021） 的第一作者，同時參與了 GPT-3、GPT-4、Whisper、DALL-E、PPO 演算法等多個里程碑專案。截至目前引用量超過 32 萬次。2024 年底從 OpenAI 離職轉為獨立研究員，2025 年加入 Mira Murati 創辦的 Thinking Machines Lab 擔任顧問。今年 4 月他還發布了一個只用 1930 年以前資料訓練的 LLM「Talkie」，問它 2026 年的世界是什麼樣，它回答「倫敦和紐約之間有蒸汽船，航程十天」。
Neil Rathi，史丹佛大學研究者，與 Anthropic 有合作關係。作為本文第一作者，與 Radford 聯手完成了這項從預訓練源頭切除危險知識的開創性工作。
一些其他
值得一提的是，ToxPrune 的一個獨特優勢常常被忽略：它可以直接從模型檔案中物理刪除有毒子詞對應的權重。這意味著即使攻擊者拿到模型檔案並發動提示詞注入攻擊，模型也無法輸出被刪除的 token——因為它們在權重層面就不存在了。
某種意義上，這和 Radford「讓模型從未學過」的哲學殊途同歸——不是不想說，而是说不出來。
論文標題：Toxic Subword Pruning for Dialogue Response Generation on Large Language Models
論文網址：https://arxiv.org/abs/2410.04155
參考連結：[1] https://arxiv.org/abs/2410.04155 [2] https://arxiv.org/abs/2601.21571