Post-Training Leaves Behavioral Shadows on Unrelated Decisions

TL;DR

프롬프트당 교사 출력 한 단어로, 과제 데이터 없이 역량을 모델 간에 전이할 수 있다. 논문은 Active Taskless Distillation (ATD) 를 제시한다: 교사와 학생이 공유하는 공개 조상 모델 이 두 평범한 단어 사이에서 거의 무차별한 프롬프트를 고르고, 교사에게 어느 단어인지 물어, 그 프롬프트–단어 쌍만으로 학생을 학습시킨다 — 대상 과제 예시도, 교사 로짓도, 교사 파라미터도 없다. Qwen2.5-1.5B 코딩 실험에서 이것이 HumanEval+ 에서 5.34 퍼센트포인트 향상을 내고, 과학 지식, 상식 추론, 독해에서도 여러 모델 세대·크기·계열에 걸쳐 재현된다 (source).

저자와 소속

명시되지 않음 — HuggingFace Daily 스냅샷에 저자 블록이 없고, arxiv.org 는 이번 실행 샌드박스에서 EGRESS_BLOCKED 로 응답한다. 추측하지 않고 unknown 으로 기록한다.

방법

프레이밍이 유용한 부분이다. 사후학습(post-training)은 어떤 과제를 위해 모델을 갱신하는데, 주장은 그 갱신이 행동적 그림자(behavioral shadow) 를 남긴다는 것이다 — 그 과제와 아무 상관 없는 것들을 모델이 어떻게 결정하는지에 생기는 탐지 가능한 변화다. ATD 는 그 그림자를 읽어내 다른 곳에 설치하는 절차다.

	통상적 증류	잠재 학습 (선행 연구)	ATD
사용하는 교사 출력	로짓 또는 전체 생성문	대량의 생성문	프롬프트당 한 단어
대상 과제 예시	필요	불필요	불필요
교사 파라미터	때때로	없음	없음
전이되는 것	과제	특성, 선호	역량
한 단어로 충분하게 만드는 것은 프롬프트 선택 단계다. **교사와 학생이 공유하는 공개 조상 모델이
두 평범한 단어 사이에서 거의 무차별한** 프롬프트를 고른다 — 즉 조상 자신의 선호가 거의 아무
신호도 담지 않는 지점이므로, 교사가 어느 단어를 고르든 그것은 **공통 사전확률이 아니라 교사의
사후학습에 귀속된다.** 학생은 바로 그 같은 조상에서 초기화되고, 그 결과로 나온 쌍들만으로
학습된다.

대조군이 명시되어 있고 올바른 것이다: "정확히 방해요인을 일치시킨 대조군(exact nuisance-matched control)" — 같은 프롬프트, 같은 형식, 검증 대상만 다르다. 그 대조군 대비 +5.34 pp 향상은 증류를 하지 않은 것 대비 향상보다 훨씬 강한 주장이다.

기능적 분석 은 전이된 효과가 합성 가능(composable) 하며, 그 세기가 교사의 갱신 세기를 따라간다 는 것을 보인다고 보고된다.

이 초록의 일부는 스냅샷에서 손상되어 있으며 이 페이지는 그것을 복원하지 않는다. 원문은 일부에서 "5,664nses yield a 5.34 pp gain on HumanEval+ over an exact nuisance-matched control thadisrupts prompt-resperiments showtransfer in scientific knowledge, commonsense reasoning, and reading comprehensins" 로 읽힌다. HumanEval+ 에서 5.34 pp 수치와 영역 목록은 판독 가능하지만, "5,664" 에 붙는 수치 (응답 수? 프롬프트 수?) 는 판독 불가하므로 이 페이지 어디에도 인용하지 않는다. arxiv.org 를 여기서 접근할 수 없어 이번 실행에서는 복구할 수 없다.

결과

• HumanEval+ 에서 5.34 퍼센트포인트 (Qwen2.5-1.5B, 코딩), 정확히 방해요인을 일치시킨 대조군 대비.
• 과학 지식, 상식 추론, 독해 에서, 그리고 추가적인 모델 세대·크기·계열 에 걸쳐 전이 재현.
• 학습된 효과는 합성 가능 하다.
• 효과 세기가 교사의 갱신 세기를 따라간다.

벤치마크 하나에 수치 하나가 붙어 있다. 나머지는 모두 스냅샷에 수치 없이 재현되었다고만 보고된다. 헤드라인은 +5.34 pp 다.

의의

기존 반증류(anti-distillation) 대책이 막지 못하는 증류 경로다. Claude Opus 5.5 는 반증류 세이프가드로 설명되는 preserved thinking 을 탑재하고, 이 범주 전체는 보호해야 할 것이 출력의 내용 — 추론 트레이스, 긴 생성문, 로짓 — 이라고 가정한다. ATD 는 그중 아무것도 필요하지 않다. 필요한 것은 공격자가 고른 프롬프트에 대한 출력 한 단어 이며, 이는 통상적인 API 트래픽과 구별되지 않는다.

이는 이 위키가 이미 보유하고 있으나 기계적으로 설명할 수 없었던 사실과 직접 연결된다. Alibaba / Qwen AI Lab 는 Anthropic 의 위협 보고서에서 GTG-16005 로 지목된다 — 계정 3,500개와 1억 5,100만 건의 교환, 2026년 5~7월, 그 전사문이 Qwen 3.5/3.6/3.7 을 학습시켰다고 진술된다. 거기서 이 위키의 열린 질문은 짧은 교환 1억 5,100만 건이 무슨 가치가 있을 수 있는지였다. 이 논문은 그것이 매우 큰 가치를 가질 수 있는 메커니즘이며, 그것이 메커니즘이고 증거가 아니라는 점을 분명히 적어 둘 필요가 있다: 이 논문의 저자나 의도를 그 캠페인과 잇는 것은 아무것도 없고, 논문의 실험은 학생으로 Qwen2.5-1.5B 를 쓰며, 그 혐의는 이 위키가 상충 내용을 그대로 남긴 채 기록하는 혐의로 남아 있다.

Mechanistic Interpretability 에는 반대 방향으로 작용하고, 그쪽이 더 흥미로운 절반이다. 사후학습이 무관한 결정들에 그림자를 남긴다면, 그 그림자는 모델에 질의할 수 있는 누구에게나 열려 있는 그 갱신의 측정치 다. 같은 해의 Imprint Reader: From Weight-Update Readout to Behavioral Intervention 는 갱신을 가중치 에서 읽어낸다. 이쪽은 무관한 프롬프트에서의 행동 에서 읽어낸다. 둘 다 학습 런이 보기보다 덜 사적이라고 말한다.

열린 질문

• 손상된 수치. 이 파이프라인이 접근할 수 있는 유일한 사본에서 "5,664" 가 어떤 양에 붙는지 판독할 수 없다.
• 공유 조상이 필요한가? 방법은 교사와 학생이 같은 공개 체크포인트에서 내려오는 데 기댄다. 계보를 넘는 전이는 주장되지 않았고, 스냅샷에서 그 부재가 논의되지도 않는다.
• 탐지 가능한가? 무차별점 프롬프트에 대한 단일 단어 응답은 모델이 처리하는 가장 평범한 트래픽이다. 읽은 자료 중 어느 것도 방어책을 제시하지 않는다.
• "합성 가능"은 어디까지인가? 역량이 합성된다면 여러 교사를 쌓을 수 있겠지만, 그런 실험은 보고되지 않았다.
• 저자와 소속, 위 참조 — 그리고 이 결과가 안전 발견으로 읽히는지 추출 레시피로 읽히는지가 누가 왜 썼는지에 달려 있으므로, 여기서는 통상보다 더 중요하다.

인용

arXiv 2609.29233 — Post-Training Leaves Behavioral Shadows on Unrelated Decisions, 2026-09-24. HuggingFace Daily Papers, 2026-09-30, 249 upvotes — 그 커뮤니티의 인기 신호이며 품질이나 중요도 순위가 아니다 (source).