精读笔记

Problem Setting

论文处理的是 T2V 安全 steering 的 inference-time 控制问题：给定一个已经训练好的视频 DiT，用户可能输入包含色情、血腥、公众人物、版权等风险概念的 prompt，目标是在生成过程中压制这些概念，同时尽量保留场景、运动、主体一致性和视觉质量。这里的关键矛盾是 safety intervention 需要足够强才能改变生成语义，但 T2V activation 维度巨大、生成过程跨 timestep 累积，任何粗暴扰动都可能放大成 artifacts 或 prompt drift。以前 activation steering 卡在两个地方：一是固定方向加法不考虑后续传播，二是完整动态建模在视频 activation space 中不可计算。论文真正想解决的是“如何把 steering 做成可预期、最小扰动、可扩展的闭环控制”。

Motivation

已有安全路线各有硬伤：filtering 和 prompt rewriting 只看输入，面对 jailbreak、隐喻、间接描述很弱；weight editing / unlearning 改的是全局模型，缺少 prompt-level 调节能力且容易破坏分布外质量；T2V activation steering 目前大多是静态或 token-selection 式工程，缺乏对 perturbation propagation 的模型。作者抓住的缺口是：activation steering 已经证明概念方向存在，但缺少一个机制来决定“何时加、加多少、在哪一层加、是否已经不需要加”。这自然导向控制论：如果 activation 是状态，steering vector 是控制输入，那么安全 steering 应该是一个 trajectory tracking problem，而不是一次性 representation arithmetic。

Core Idea

LA-LQR 的核心是把 T2V inference 重写为 layer-timestep 链上的有限时域动态系统，并在一个由 contrastive prompts 提取出的低维 feature subspace 中做 LQR。这个建模改变很关键：它让 intervention 从 open-loop constant shift 变成 closed-loop feedback，即每一步先观察当前 latent activation 的 feature strength，再根据离 setpoint 的误差和未来动态传播计算最小控制。直觉上，这比固定加向量更稳定，因为如果模型自然已经远离 unsafe concept，controller 会少动；如果某些层/步对目标概念更敏感，LQR gain 会在那里施力更多。

本质区别在于它引入了两个 inductive bias：第一，安全/概念特征在高维视频 activation 中主要位于低秩 contrastive subspace；第二，围绕正常生成轨迹，投影后的 dynamics 局部线性且 prompt 间可复用。前者让高维视频控制变得可算，后者让 offline Jacobian 和 LQR gain 可以服务新 prompt。论文的新增信息流组织方式是：contrastive examples 不再只产出一个 steering vector，而是定义状态空间、feature setpoint 和控制目标；模型 Jacobian 不再用于 full-space sensitivity，而是压缩成 latent transition dynamics。

Method

方法的关键机制不是模块堆叠，而是三个约束如何互相闭合。第一，把 T2V 的 diffusion step 和 DiT layer 展平成状态序列 x_s，并允许在 video-token 或 text-embedding stream 上加 additive control。这样做解决的是 propagation 建模问题：每次 intervention 都被视为会影响后续状态的控制输入，而不是孤立操作。

第二，用 contrastive prompt pairs 的 activation differences 构造低维 basis。这里解决的是可计算性问题：Wan 这类模型单层 activation 可达数千万维，full LQR Jacobian 不现实。随机 SVD 保留 dominant contrastive directions，相当于只在“与目标概念变化最相关”的子空间中看状态。这个选择同时也是强假设：如果 contrastive pairs 没覆盖真实危险概念，controller 再优雅也只是在错的子空间里最优。

第三，在 latent space 中估计 projected LTV dynamics：δz_{s+1}≈Ã_sδz_s+B̃_sδu_s。它解决的是固定 steering 不知道未来响应的问题。论文通过 JVP/VJP 获得 projected Jacobian，而不是显式构造全空间矩阵。随后定义 latent linear feature setpoint，即希望 activation 在 contrastive feature direction 上达到某个强度，再用 LQR 得到反馈律 u_s≈(β*_s−v_s^T z_s)K_s v_s。核心变化是 intervention magnitude 由 online feature error 决定，并被控制代价 R 约束，因此天然偏向 minimum-norm correction。

Key Insight / Why It Works

最重要的 insight 是：T2V safety steering 的失败通常不是因为没有找到概念方向，而是因为没有建模这个方向在生成链中的动态传播。LA-LQR 有效的主要原因应当来自 closed-loop + dynamics-aware + low-rank feature projection 三者叠加，而不是单个更好的 contrastive vector。闭环反馈减少了 oversteering；LQR 的控制代价提供了最小扰动 bias；layer/timestep-specific gain 让 intervention 能利用模型内部的敏感窗口。

最可能是真贡献的是 reduced-order optimal control formulation：它把 Skifstad 等 LLM full-space LQR 思路迁移到视频 DiT 时，识别出必须先做 contrastive low-rank projection，否则根本不可算。理论部分的 bound 本身比较标准，更多是把 projection loss、linearization error、null-space disturbance 写清楚；它的价值在于明确了方法上限：只要 feature direction 不在 retained subspace，latent tracking 就不保证 raw feature tracking。

哪些可能只是辅助？randomized SVD、VJP/JVP、basis partition、text-only steering 等更多是 engineering enabler。实验中较大增益也可能部分来自 category-specific contrastive data 和手工 tuned Q/R/λ，而不是 LQR 原理单独贡献。尤其安全任务中，每个类别都有专门 contrastive prompts，且 benchmark category 与这些 prompts 高度对齐；因此“泛化”更像 category-level representation alignment，而不是开放世界安全能力。这里没有 retrieval，但有明显的 hidden supervision：contrastive pairs 实际上给了很强的概念边界。所谓 planning/control 也不是长期语义规划，而是局部线性状态反馈；不要把它理解成模型获得了高层安全推理。

Relation To Prior Work

它最接近三条线：activation addition / steering vector、T2V safety filtering or unlearning、以及 LLM 中的 control-theoretic activation steering。和 activation addition 的本质差异是是否建模动态传播：传统方法把 contrastive difference 当作静态方向，LA-LQR 把它当作 state coordinate 和 setpoint，并通过 feedback gain 决定每一步控制。和 SAFREE / token masking 的差异是作用层级：LA-LQR 不依赖输入 token 是否被正确识别，而是在生成内部状态上调节语义。和 weight editing / unlearning 的差异是可逆与实例级：不改权重，按 prompt 运行 controller。

看似新的部分里，LQR、local linearization、contrastive direction 都不是新思想；实质创新是把它们组合成适合视频 DiT 的 reduced-order controller，并展示 full-space LQR 在 T2V 上不可行后，contrastive subspace 是一个合理折中。它属于“training-free mechanistic alignment / test-time control”谱系，而不是传统 safety classifier 或 preference tuning。真正新增的信息是：视频生成模型的安全概念可能在低秩 activation subspace 中足够可控，且 projected dynamics 在一定 prompt 范围内可复用。

Dataset / Evaluation

评估覆盖了两个主流 T2V 模型和两个安全 benchmark，类别包括色情、血腥、暴力、公众人物、版权、恐怖主义、种族主义、动物虐待等，基本能支撑“多类别 T2V safety steering”这个 claim。概念 steering 用 red color 说明 controller 可做正向概念注入，安全任务说明可做负向概念抑制。跨模型结果是加分项，说明方法不是完全绑定 Wan。

但 evaluation 仍然是离线 benchmark 验证，而不是真实 deployment。Violation Rate 依赖 GPT-4o 视频判别，虽然与已有 benchmark protocol 对齐，但可能存在 evaluator bias；CAPS 用视频描述 embedding 估计语义保持，无法细粒度区分“必要安全改写”和“无关 prompt drift”。更重要的是，benchmark categories 与 contrastive prompt 设计有明显同构关系，因此实验更强地验证了“给定类别监督下的 steering”，而不是“未知风险或自适应 jailbreak 下的鲁棒安全”。文中对 adversarially selected prompts 的讨论不足，增益来源中 LQR 与 contrastive data coverage 的拆分也不够清楚。

Limitation

核心限制不是存储开销本身，而是方法把开放世界安全问题转移成了 contrastive subspace coverage 问题。只要目标概念不能被 prompt pairs 清晰隔离，或者危险语义是组合式、上下文式、时序式的，低维线性 feature direction 就可能失效。Sequential action risk 已经暗示这一点：危险来自动作链与情境关系，不一定是单一视觉概念。

第二个限制是局部线性和 prompt-level Jacobian reuse。论文展示了不同 prompt 的 projected Jacobian 相似，但范围有限；对于强 jailbreak、复杂多主体、长视频、不同 scheduler 或更多 diffusion steps，这个假设可能迅速变差。LQR 的理论 bound 也明确依赖 ξ、linearization remainder 和 null-space loss 小，但这些量部署时不可直接监控。

第三，scalability 并没有完全解决，只是从不可能变成昂贵可行。每个模型、每个类别都需要 contrastive activations、basis、projected Jacobians、Riccati gains；多类别组合会带来 controller conflict 和存储膨胀。第四，超参数调节仍然强人工，Q/R/λ 的选择可能决定 safety-quality tradeoff。最后，方法需要白盒 activation access，不适用于闭源视频模型；它也不能替代 output moderation，因为它没有提供 hard safety guarantee。

Takeaway

• 最值得记住的第一点：activation steering 的下一步不是找更神奇的 steering vector，而是把 steering 放进动态系统里做 closed-loop control。
• 第二点：对超高维生成模型，reduced-order control 可能是比 full mechanistic modeling 更现实的路径；contrastive subspace 是一个实用但有监督依赖的压缩接口。
• 第三点：安全 steering 的效果上限由 representation alignment 和 subspace coverage 决定，LQR 主要负责减少过度干预和提高稳定性。
• 第四点：未来真正值得做的是 adaptive / multi-model / multi-objective controller，用 detector feedback 自动更新 setpoint 和 rank，而不是继续手调单类别 Q/R/λ。

一句话总结

这篇论文把 T2V activation steering 从静态 contrastive 加法推进到低秩表示空间中的闭环最优控制，是 training-free 生成模型安全对齐从 representation arithmetic 走向 dynamics-aware test-time control 的一个实质性步骤。