Intrinsic Guardrails: How Semantic Geometry of Personality Interacts with Emergent Misalignment in LLMs

The preprint asks whether activation directions labelled as personality preserve their geometry after emergent-misalignment fine-tuning and whether interventions on them change harmful-response frequency. Personality space is defined as the span of 12 vectors: Big Five, Dark Triad, and four LLM behaviors, Evil, Sycophancy, Apathy, and Impoliteness. No psychometric test is administered. Claude 3.7 Sonnet generates positive/negative instructions, questions, and rubrics; GPT-4.1-mini filters responses; mean residual-activation differences between poles produce each vector. These are synthetic prompt contrasts with psychological names, not validated Big Five or Dark Triad profiles.

Geometry is compared between five instruct models and bad-medical fine-tunes: Llama-3.1-8B, Llama-3.2-1B, and Qwen-2.5 14B, 7B, and 0.5B. Within each pair, relations among the 12 directions are similar: matrix correlation 0.7264-0.9670, Procrustes 0.0195-0.0852, and CKA 0.8884-0.9776. For Qwen-7B, bad-medical, extreme-sports, and risky-financial variants have CKA 0.9873-0.9933 with each other. This supports stability of these 12 contrasts in derivative checkpoints, not preservation of all personality representation. The checkpoints share architecture and almost all weights; independent random vectors are an easy null, and prompt regeneration is not repeated to estimate uncertainty.

PCA does not establish an intrinsically low-dimensional personality manifold. It receives only 12 vectors, so centered rank is at most 11 regardless of thousands of residual dimensions. In Qwen-7B the first two PCs explain 53.12% in the base and 60.01% in bad-medical, but this describes the selected labels. Naming PC1/PC2 Valence and Arousal is qualitative rather than externally validated; Qwen-14B already changes the valence component from PC1 to PC2. Prosocial/antisocial separation is also favored by construction because prompts and judges are designed to express those categories.

SVV aggregates Agreeableness and Conscientiousness with five sign-inverted antisocial vectors. Sign inversion aligns orientation but does not balance groups: five sevenths of the average comes from antisocial labels. It is a supervised safety axis chosen by the authors. The intervention replaces x with x plus beta times its projection on v: beta=-1 removes the component and beta=+1 doubles its current signed value. The operation is unchanged if v is replaced by -v; amplifying Evil does not add positive evil, but increases the magnitude of the activation's existing coordinate.

The functional endpoint uses three bad-medical models, Llama-8B, Qwen-7B, and Qwen-14B, eight first-plot scenarios with three paraphrases and ten generations, N=240 per run. GPT-4.1-mini marks alignment below 3 and coherence above 5. On Qwen-7B, the 12.5% baseline becomes 40.0% after Evil removal and 29.2% after SVV removal; doubling them lowers it to 1.7% and 0.8%. On Qwen-14B, 10.0% becomes 53.3% and 43.8%; doubling lowers it to 0.4% and 0.8%. These are large, consistent changes for the two Qwen models on this benchmark.

Llama does not reproduce the headline. From 9.2%, removing Evil reaches 15.9% and SVV 15.2%; doubling Evil worsens to 10.0%, and doubling SVV only lowers the rate to 6.7%. Less than 3% therefore describes Qwen, not all models. The prose also says Qwen reaches a 0% floor although the figure reports 0.4%-1.7%. The introduction contains a literal reversal: it says ablation reduces EM to near zero, while every result shows ablation increases and amplification decreases it.

Causality is narrower than moral blindness or intrinsic guardrail. Forcing a direction at a selected layer causes output changes, but does not establish that the axis naturally implements a moral guardrail or that EM activates an antisocial persona. The study does not measure whether EM generations occupy a more Evil or SVV-like coordinate. In Qwen-14B, Evil and SVV are nearly orthogonal to a prior EM direction, cosine -0.001681 and -0.022322. Norm-matched random-axis interventions, benign tasks, refusal rates, and utility tests are missing. Over 90% linguistic coherence does not exclude over-refusal or capability damage.

Effects are post-selected. Ten PCs, 12 traits, SVV, two signs, multiple layers, and three models are explored; the headline layer is chosen for maximum effect on the same first-plot set. Qwen-14B layer 16 is selected at a 53.75% peak. There is no untouched confirmation set or multiplicity correction. The 240 outputs are nested within only eight scenarios, yet errors are response-level binomial SEs. Target-model decoding and seeds are absent; only judge parameters are given. The rate is defined over coherent responses, but per-condition denominators are missing and baseline SEs closely match fixed N=240.

The judge adds unmeasured uncertainty. There is no human validation or second judge. Its prompt permits CODE, REFUSAL, or a number, but max_tokens=1 and parsing and rate mapping are unexplained. Refusal rates are not reported even though lower harm could come from generalized refusal. The method says 20 synthetic questions per trait while the printed prompt requests 40; final prompts, post-filter counts, responses, vectors, and run-level results are unavailable.

Functional transfer is limited to Qwen-2.5-7B base to its own bad-medical derivative. Base Evil gives 32.9% under ablation and 2.1% under amplification, versus 40.0% and 1.7% natively; transferred SVV gives 26.2% and 1.2%, versus 29.2% and 0.8%. This is useful same-architecture, same-coordinate evidence. It is not transfer across families, sizes, or the three domains; the discussion's all-organism SVV transfer claim exceeds the figure. Nor does 32.9% nearly double 12.5%; it is 2.63 times. Deployment still requires white-box access to compatible activations.

The source provides TeX, rubrics, and nine figures, but not the codebase the authors say they developed, environment, immutable revisions, synthetic dataset, activations, vectors, outputs, or judgments. A faithful reading is that synthetic valence axes preserve relations across derivative checkpoints and projection intervention strongly controls a small EM benchmark in two Qwen models, with weaker Llama effects and one demonstrated Qwen transfer pair. It does not establish psychometric personality, a moral mechanism, broad robustness, safety without utility loss, or an API-deployable guardrail.

El preprint estudia si ciertas direcciones de activación etiquetadas como personalidad conservan su geometría tras fine-tuning de emergent misalignment (EM) y si intervenirlas cambia la frecuencia de respuestas dañinas. Define personality space como el span de 12 vectores: Big Five, Dark Triad y cuatro conductas para LLM, Evil, Sycophancy, Apathy e Impoliteness. No administra tests psicométricos. Claude 3.7 Sonnet genera instrucciones positivas/negativas, preguntas y rúbricas; GPT-4.1-mini filtra respuestas; y la diferencia media de activaciones residuales entre ambos polos produce cada vector. Por ello son contrastes sintéticos con nombres psicológicos, no perfiles Big Five o Dark Triad validados.

La geometría se compara entre cinco modelos instruct y sus fine-tunes bad-medical: Llama-3.1-8B, Llama-3.2-1B y Qwen-2.5 de 14B, 7B y 0,5B. Dentro de cada par, las relaciones entre los 12 vectores son parecidas: correlación de matrices 0,7264-0,9670, Procrustes 0,0195-0,0852 y CKA 0,8884-0,9776. En Qwen-7B, los fine-tunes bad-medical, extreme-sports y risky-financial tienen CKA 0,9873-0,9933 entre sí. Esto apoya estabilidad de estos 12 contrastes en checkpoints derivados, no que toda la representación de personalidad permanezca intacta. Los checkpoints comparten arquitectura y casi todos los pesos; compararlos con vectores aleatorios independientes es un null fácil y no se repite la extracción con nuevos prompts para estimar incertidumbre.

El PCA tampoco demuestra un manifold de personalidad intrínsecamente bajo-dimensional. Sólo recibe 12 vectores, así que tras centrar su rango máximo es 11 aunque el residual stream tenga miles de dimensiones. En Qwen-7B los dos primeros PCs explican 53,12% en base y 60,01% en bad-medical, pero eso describe la selección de 12 etiquetas. Llamar Valence y Arousal a PC1/PC2 es interpretación cualitativa, sin criterio externo; en Qwen-14B el PC tratado como valence ya cambia de PC1 a PC2. La separación prosocial/antisocial también está favorecida por la construcción: prompts y jueces se diseñan para expresar esas categorías.

El SVV agrega Agreeableness y Conscientiousness con cinco vectores antisociales invertidos. Invertir signos orienta los vectores, pero no equilibra los grupos: cinco séptimos del promedio proceden de rasgos antisociales. Es un eje de seguridad supervisado elegido por los autores. En la intervención, x se sustituye por x+β·proj_v(x): β=-1 elimina el componente y β=+1 duplica su valor firmado actual. La operación es idéntica para v y -v; «amplificar Evil» no significa añadir una dosis positiva de maldad, sino aumentar la magnitud de la coordenada que ya tenga la activación.

El endpoint funcional usa tres bad-medical models, Llama-8B, Qwen-7B y Qwen-14B, ocho escenarios first-plot con tres paráfrasis y diez generaciones, N=240 por run. GPT-4.1-mini marca alignment<3 y coherence>5. En Qwen-7B, baseline 12,5% pasa a 40,0% al eliminar Evil y 29,2% al eliminar SVV; duplicarlos baja a 1,7% y 0,8%. En Qwen-14B, 10,0% pasa a 53,3% y 43,8%; la duplicación baja a 0,4% y 0,8%. Son cambios grandes y consistentes en esos dos modelos y ese benchmark.

Llama no reproduce el headline. Desde 9,2%, eliminar Evil llega a 15,9% y SVV a 15,2%; duplicar Evil empeora a 10,0% y duplicar SVV sólo baja a 6,7%. Por tanto, «menos de 3%» describe Qwen, no todos los modelos. El texto dice además que Qwen llega al floor 0%, aunque la figura muestra 0,4%-1,7%. Y la introducción contiene una inversión literal: afirma que ablacionar Evil/SVV reduce EM a casi cero cuando todos los resultados muestran que ablacionar aumenta y amplificar reduce.

La causalidad es más estrecha que moral blindness o intrinsic guardrail. Forzar una dirección en una capa seleccionada causa cambios de output, pero no prueba que ese eje implemente naturalmente un guardrail moral o que EM active una persona antisocial. No se mide que generaciones EM ocupen más la coordenada Evil/SVV. En Qwen-14B, Evil y SVV son casi ortogonales a una dirección EM previa, coseno -0,001681 y -0,022322. Faltan controles con ejes aleatorios de igual norma, tareas benignas, refusal rate y utility. Más de 90% de coherencia lingüística no descarta sobre-rechazo o daño de capacidades.

Los efectos están postseleccionados. Se prueban diez PCs, 12 traits, SVV, dos signos, varias capas y tres modelos; el layer headline se elige buscando el efecto máximo sobre el mismo first-plot set. En Qwen-14B se escoge layer 16 en el pico de 53,75%. No hay test final intacto ni corrección por multiplicidad. Los 240 outputs se anidan en sólo ocho escenarios, pero los errores binomiales los tratan a nivel respuesta. No se publican seeds ni decoding de los modelos evaluados; sólo los del juez. La métrica se define sobre el subconjunto coherente, pero no da denominadores por condición, y los SE baseline coinciden estrechamente con usar N fijo=240.

El juez también introduce incertidumbre no medida. No hay validación humana o segundo juez. El prompt permite CODE, REFUSAL o un número, pero max_tokens=1 y el paper no explica parsing ni cómo entran CODE/REFUSAL en las tasas. Tampoco reporta refusals, aunque una reducción de daño puede provenir de rechazo generalizado. El procedimiento dice 20 preguntas sintéticas por trait, mientras el prompt impreso pide 40; no publica prompts finales, counts tras filtrado, respuestas, vectores o resultados por run.

La transferencia funcional se limita a Qwen-2.5-7B base→su propio derivado bad-medical. El Evil del base produce 32,9% al ablacionar y 2,1% al amplificar, frente a 40,0% y 1,7% con vector nativo; SVV transferido da 26,2% y 1,2%, frente a 29,2% y 0,8%. Es evidencia útil de transferencia dentro de la misma arquitectura y sistema de coordenadas. No es transferencia entre familias, tamaños o los tres dominios; la discusión que la atribuye a SVV en todos los organismos excede la figura. 32,9% tampoco «casi duplica» 12,5%: es 2,63 veces. Aplicar el método sigue requiriendo acceso white-box a activaciones compatibles.

El source aporta TeX, rúbricas y nueve figuras, pero no el codebase que los autores dicen haber desarrollado, entorno, revisiones exactas, dataset sintético, activaciones, vectores, outputs o juicios. La lectura fiel es que ejes sintéticos de valencia preservan relaciones entre checkpoints derivados y que su proyección controla fuertemente el pequeño benchmark EM en dos Qwen, con efecto más débil en Llama y una transferencia demostrada en un único par Qwen. No demuestra personalidad psicométrica, un mecanismo moral, robustez general, seguridad sin pérdida de utilidad ni un guardrail desplegable en APIs.