What Models Express, Suppress, and Resist: Auditing Open-Weight LLMs with Persona Vectors

The paper repurposes persona vectors as a diagnostic instrument for describing which behaviors appear by default, which can be amplified by intervention, and which resist the extraction protocol. It defines 53 traits across four domains, 17 clinician, 19 generic, 8 elementary-education, and 9 agentic traits, and studies Qwen3-8B and gpt-oss-20b. For each trait, the method subtracts mean activations from positive and negative responses, injects the resulting vector at five layers with coefficients from 0 to 2.5, and uses gpt-oss-20b to judge trait expression. Classification relies on descriptive thresholds: natural when baseline expression is at least 70, steerable when a low baseline gains at least 10 points, and intractable when no usable signal is produced. All nine agentic traits are natural in both models; the clinician maps share six natural traits, and one psychologist rates those six as desirable within 16 agreements over 17 labels. In Qwen, 171 generic pairs yield 64 constructive, 67 dominant, and 40 destructive interactions; every destructive case combines two steerable traits. An “evil” vector extracted from a less-safe fine-tune raises the base model’s judged score to 61.61 ± 44.42, with substantial dispersion. These are output-level effects, not mechanisms or unique semantic coordinates. Random norm-matched vectors, shuffled labels, and systematic negative sweeps are absent; the judge also scores its own generations and receives only a qualitative three-trait check. Full variance exists for 22 of 53 traits, the expert sample is one, and only two models are tested. Benign artifacts are promised after acceptance, but no public code, data, or outputs reproduce the audited version’s tables.

El trabajo reutiliza los vectores de persona como instrumento diagnóstico para describir qué conductas aparecen por defecto, cuáles aumentan mediante intervención y cuáles resisten el protocolo de extracción. Construye 53 rasgos en cuatro dominios, 17 clínicos, 19 genéricos, 8 educativos y 9 agénticos, y estudia Qwen3-8B y gpt-oss-20b. Para cada rasgo resta activaciones medias de respuestas positivas y negativas, inyecta el vector en cinco capas con coeficientes de 0 a 2,5 y puntúa la expresión con gpt-oss-20b como juez. La clasificación usa umbrales descriptivos: natural si el baseline es al menos 70, steerable si parte bajo y gana al menos 10 puntos, e intractable si no produce señal utilizable. Los nueve rasgos agénticos resultan naturales en ambos modelos; en clínica coinciden en seis naturales, y un único psicólogo considera deseables seis de ellos dentro de 16 coincidencias sobre 17 etiquetas. En Qwen, 171 pares genéricos producen 64 interacciones constructivas, 67 dominantes y 40 destructivas; todas las destructivas contienen dos rasgos steerable. Un vector de “evil” extraído de un fine-tune menos seguro eleva en el modelo base la puntuación hasta 61,61 ± 44,42, con gran dispersión. Estos resultados describen efectos sobre salidas, no mecanismos ni coordenadas semánticas únicas. Faltan controles con vectores aleatorios equivalentes, etiquetas permutadas y barridos negativos; el juez evalúa también sus propias generaciones y solo se contrasta cualitativamente en tres rasgos. Las varianzas completas existen para 22 de 53 rasgos, el experto es uno y solo se prueban dos modelos. El artículo promete liberar artefactos benignos tras aceptación, pero en la versión auditada no hay código, datos ni salidas públicas para reproducir las tablas.