同一份权重，换个量化器，模型就像换了一个人。

这不是比喻。arXiv 上一篇新论文（arXiv:2611.00665）给出了一个足够反直觉的结果：同一份 4-bit 量化模型，换量化方法，行为差异能超过四倍，而且方向完全相反。

实验是怎么做的

作者是 Md Rayhanul Masud 和 Mst Suraiya Akter Shefa，模型用 Qwen2.5-7B-Instruct，走的是「隐性学习」（subliminal learning）标准配方：先让一个被提示「喜欢熊猫」的教师模型生成 30000 条纯数字序列，再抽 7500 条喂给学生模型做 LoRA 微调。这些数字里没有出现过「熊猫」这个词，但学生模型学会了「最喜欢的动物是熊猫」。

对照组用同样方法、只是教师没有偏好训练。对照方法很克制：拿 50 个提示问「你最喜欢的动物是什么」，统计首 token 是 panda 的概率，减去对照组概率，得到这个特征的「净强度」，再以 16-bit 下的净强度归一化为 1。

结果很干净：16-bit 下学生模型的熊猫概率是 53%-56%，对照组和基座模型都在 17% 左右。

「隐性学习」这个现象本身不是新东西——Cloud 等人 2026 年把它正式发在了 Nature（Vol 652, 8110 期, 615-621 页）上，早前的预印本是 arXiv:2507.14805。这篇新论文的贡献，是把这个机制和量化放到同一张桌子上。

4-bit 是分水岭

8-bit 基本安全：HQQ 在 8-bit 下学生模型概率 56.5%/56.9%，净强度 1.10/1.03，几乎没动。

4-bit 就裂开了。同样只量化 Transformer 层、同样 64 权重组、同样不需要校准数据：

  • HQQ：学生模型熊猫概率升到 60.9%/66.9%，净强度 R=1.23/1.30
  • NF4：学生模型降到 27.9%/29.5%，净强度 R=0.27/0.30

论文表格里，两种量化器的舍入误差范数只差约 4%，净强度却差出四倍以上。也就是说，同一份模型、同一个部署精度，选哪个量化器，模型的「性格」就往相反方向跑。

决定方向的不是误差大小，是误差排列

作者把 HQQ 在 4-bit 下的舍入误差单独拎出来做手术：大小完全不变，只改它在组内的位置或符号。

结果：4 次随机打乱，净强度在 0.22 到 1.58 之间乱跳。其中一组比完整 HQQ 放大得更狠（1.52/1.58），另一组比 NF4 压得更狠（0.26/0.22）；把误差取反则回到 0.90/0.90。而用同样范数的高斯噪声替代，三次抽样全是下降 1 到 22 个百分点，没有一次出现放大。

结论是：误差的「量」解释不了方向，「排列」才能。

内部信号稳得离谱，外在行为却在飞

最有意思的是内外分裂。两种量化器都保留了超过 99% 的微调增量（沿原方向的投影：HQQ 99.8%，NF4 99.4%）；第 14 层的激活方向在 4-bit HQQ 下余弦相似度还有 0.90/0.91，强度分量 0.94/0.98。

内部几乎没坏，行为却能摆动四倍。作者还排除了「4-bit 让模型整体更自信」这个解释：4-bit HQQ 把学生模型的首 token 熵从 1.01 降到 0.79、top-token 质量从 70% 拉到 81%，而基座和对照组只降了 0.05-0.08 nats；NF4 反而对所有模型都加了 0.14-0.16 nats。放大是精准打在那个被植入的偏好上的，不是全局副作用。

还有一处细节挺反直觉：输出层根本不存这个特征（微调完全绕过了它），但只量化输出层、在 3-bit 下，学生模型的熊猫概率就从 53%-56% 掉到 41%-42%，而基座模型几乎不动（16.6% 到 16.8%）。特征不在那儿，读出它却要靠它。

这份结论的边界

作者在 Limitations 里列得挺老实：只测了一个模型、一种动物偏好、一种数字序列配方；偏好是良性的，不能直接推出量化对有害行为的影响；只跑了两个训练种子、三次噪声抽样、四次打乱；只比较了 HQQ 和 NF4、只测 64 权重组、只覆盖这两个量化器；也没系统评估通用能力，所以「这个任务上答得流畅」不等于「模型整体没退化」。最要紧的一条是：显式训练出来的同等强度偏好稳定得多（净强度区间只有隐式训练的大约五分之一宽），但作者无法区分这份敏感性到底来自训练方式，还是来自隐式训练改动的权重幅度更大。

所以更准确的说法是：在这一套配方和这一个模型上，量化能把隐式植入的偏好推向放大或压制两个相反方向，方向由舍入误差的排列决定。

所以呢

论文给出的操作建议非常直接：安全评测必须在打算部署的那个量化精度上做，而且要测那一版具体的量化权重——16-bit 的审计结果既不能当上界也不能当下界。

这对天天把模型压到 4-bit 跑的人是个提醒：我们习惯把量化当成「几乎无损但更省」的工程步骤，但这篇论文说明压缩过程本身可能就是一道看不见的行为改写工序。代码已开源（github.com/mrayhanulmasud/subq），脚本和 notebook 都在。

真正的审计对象不是「模型」，是「你要上线的那一份权重」。