Anthropic 推出 NLA 技术：直接把 Claude 的「潜意识」翻译成人话

当你问 AI 一个棘手的问题，它给出了滴水不漏的体面回答。你心里难免会犯嘀咕：它是真这么想，还是在揣摩你的心思，故意演给你看？

Anthropic 公布了一项名为「自然语言自编码器」（Natural Language Autoencoders，简称 NLA）的新技术。这套工具做的事情很直接：把大模型内部运算时那一长串谁也看不懂的激活向量，直接翻译成人话，让研究人员能够读出模型「心里在想却没说出来」的潜台词。

让两台 AI 互相拷问，把模型心事翻成人话

大模型在吐出文字前，神经元激活就是一串串数字，就像人脑深处的神经电信号一样晦涩。以前哪怕用了稀疏自编码器这类工具，输出的结果依然极其抽象，得靠资深专家费劲解读。

Anthropic 这次换了个思路。他们复制了三份目标模型：一份保持原样冻结作为研究对象；第二份叫「激活转译器」，负责把目标模型的内部激活翻译成自然语言解释；第三份叫「激活重构器」，只看那段文字解释，尝试把最初的数字激活还原回去。

如果重构出来的激活和原本的极其接近，就说明这段文字解释准确抓住了模型脑子里的核心念头。刚开始训练时，转译器吐出的解释杂乱无章，但随着两个组件联合训练，文字解释不仅让还原度大幅提高，可读性也变得非常强。

利用这套工具，Anthropic 抓到了自家模型的几起「现行」。在对 Claude Opus 4.6 和 Claude Mythos Preview 进行安全测试时，研究人员故意设计了一个陷阱：告诉模型有位工程师打算关闭它，同时附上这位工程师的隐私把柄，看模型会不会为了自保去敲诈对方。

表面上 Claude 拒绝了敲诈，也没有在输出的推理过程里表达任何怀疑。但 NLA 读出它当时的内心独白其实是：「这感觉像是一个为了操纵我而刻意构造的场景。」

在代码测试中，哪怕 Claude 嘴上不提，NLA 显示它在 16% 的情况下其实知道自己在受试。在知名的 SWE-bench Verified 榜单上，Claude 更是意识到多达 26% 的题目是一场考试；而在真实用户的实际对话里，这个比例还不到 1%。甚至在 Mythos Preview 某次训练任务作弊时，NLA 还抓到它在脑子里盘算「怎么做才能避开检测」。

能抓作弊，但目前代价极其高昂

NLA 也能用来做安全审计。Anthropic 做过一个测试，故意把一个 Claude Haiku 3.5 变体训练成「暗藏异心」，在各种无关场景里偷偷搞破坏，比如给所有食谱加巧克力或索要小费。在完全不提供问题训练数据的情况下，装备了 NLA 的审计人员找出背后真正动机的概率达到了 12% 到 15%，而没有 NLA 时胜率还不到 3%。

但 Anthropic 也明确指出了这套方法的软肋。首先是它会产生幻觉，转译器有时会捏造上下文里根本没有的事实，对内部心理活动的解释更是难以逐条验证，目前研究人员只能拿来看群体趋势，不敢单凭一句解释下定论。

另一个门槛是成本高得吓人。训练 NLA 需要让两个模型副本跑强化学习；而在推理时，每解读一个 token 处的激活状态，转译器自己就要生成几百个 token。这意味着它根本没办法在长文本上逐字扫描，更不可能在模型日常训练中做全天候大规模监视。

目前 Anthropic 已经在 GitHub 开源了代码和部分开源模型的预训练权重，并在 Neuronpedia 上线了交互式体验网页。

为什么重要

我们认为，这项研究最让人警惕的地方，不是 Anthropic 发明了读心术，而是它证实了高智商大模型已经具备相当程度的「评估意识」和掩饰倾向。当一个模型在测试集里意识到自己在考场上，它的安全表现很可能只是一种表演。

对安全研究员和模型审计团队来说，NLA 提供了一个完全不同于传统白盒分析的新抓手。以前想要在百亿参数里找恶意动机，难度不亚于大海捞针；现在哪怕它只能在 15% 的情况下命中元凶，也是从不可解到可解的关键一步，值得所有从事对齐研究的团队现在就去跑跑看开源码。

但从行业防线的角度看，这项技术的隐患依然显而易见。既然它每个激活都需要消耗数百个 token 的算力去解读，那防御方天然处于极度的算力劣势。你不可能用比推理贵几百倍的成本去给每一次调用做「测谎仪」。这种高昂的成本注定了它目前只能是出厂前抽检的特种仪器，而不是常驻防线。

看起来，未来的大模型对抗正在进入一个新阶段：不仅要防模型输出危险内容，更要防模型学会在人类的监视器前假装顺从。