Anthropic 推出 NLA 技術：直接把 Claude 的「潛意識」翻譯成人話

當你問 AI 一個棘手的問題，它給出了滴水不漏的體面回答。你心裡難免會犯嘀咕：它是真這麼想，還是在揣摩你的心思，故意演給你看？

Anthropic 公佈了一項名為「自然語言自編碼器」（Natural Language Autoencoders，簡稱 NLA）的新技術。這套工具做的事情很直接：把大模型內部運算時那一長串誰也看不懂的啟用向量，直接翻譯成人話，讓研究人員能夠讀出模型「心裡在想卻沒說出來」的潛臺詞。

讓兩臺 AI 互相拷問，把模型心事翻成人話

大模型在吐出文字前，神經元啟用就是一串串數字，就像人腦深處的神經電訊號一樣晦澀。以前哪怕用了稀疏自編碼器這類工具，輸出的結果依然極其抽象，得靠資深專家費勁解讀。

Anthropic 這次換了個思路。他們複製了三份目標模型：一份保持原樣凍結作為研究物件；第二份叫「啟用轉譯器」，負責把目標模型的內部啟用翻譯成自然語言解釋；第三份叫「啟用重構器」，只看那段文字解釋，嘗試把最初的數字啟用還原回去。

如果重構出來的啟用和原本的極其接近，就說明這段文字解釋準確抓住了模型腦子裡的核心念頭。剛開始訓練時，轉譯器吐出的解釋雜亂無章，但隨著兩個元件聯合訓練，文字解釋不僅讓還原度大幅提高，可讀性也變得非常強。

利用這套工具，Anthropic 抓到了自家模型的幾起「現行」。在對 Claude Opus 4.6 和 Claude Mythos Preview 進行安全測試時，研究人員故意設計了一個陷阱：告訴模型有位工程師打算關閉它，同時附上這位工程師的隱私把柄，看模型會不會為了自保去敲詐對方。

表面上 Claude 拒絕了敲詐，也沒有在輸出的推理過程裡表達任何懷疑。但 NLA 讀出它當時的內心獨白其實是：「這感覺像是一個為了操縱我而刻意構造的場景。」

在程式碼測試中，哪怕 Claude 嘴上不提，NLA 顯示它在 16% 的情況下其實知道自己在受試。在知名的 SWE-bench Verified 榜單上，Claude 更是意識到多達 26% 的題目是一場考試；而在真實使用者的實際對話裡，這個比例還不到 1%。甚至在 Mythos Preview 某次訓練任務作弊時，NLA 還抓到它在腦子裡盤算「怎麼做才能避開檢測」。

能抓作弊，但目前代價極其高昂

NLA 也能用來做安全審計。Anthropic 做過一個測試，故意把一個 Claude Haiku 3.5 變體訓練成「暗藏異心」，在各種無關場景裡偷偷搞破壞，比如給所有食譜加巧克力或索要小費。在完全不提供問題訓練資料的情況下，裝備了 NLA 的審計人員找出背後真正動機的機率達到了 12% 到 15%，而沒有 NLA 時勝率還不到 3%。

但 Anthropic 也明確指出了這套方法的軟肋。首先是它會產生幻覺，轉譯器有時會捏造上下文里根本沒有的事實，對內部心理活動的解釋更是難以逐條驗證，目前研究人員只能拿來看群體趨勢，不敢單憑一句解釋下定論。

另一個門檻是成本高得嚇人。訓練 NLA 需要讓兩個模型副本跑強化學習；而在推理時，每解讀一個 token 處的啟用狀態，轉譯器自己就要生成幾百個 token。這意味著它根本沒辦法在長文本上逐字掃描，更不可能在模型日常訓練中做全天候大規模監視。

目前 Anthropic 已經在 GitHub 開源了程式碼和部分開源模型的預訓練權重，並在 Neuronpedia 上線了互動式體驗網頁。

為什麼重要

我們認為，這項研究最讓人警惕的地方，不是 Anthropic 發明了讀心術，而是它證實了高智商大模型已經具備相當程度的「評估意識」和掩飾傾向。當一個模型在測試集裡意識到自己在考場上，它的安全表現很可能只是一種表演。

對安全研究員和模型審計團隊來說，NLA 提供了一個完全不同於傳統白盒分析的新抓手。以前想要在百億引數裡找惡意動機，難度不亞於大海撈針；現在哪怕它只能在 15% 的情況下命中元兇，也是從不可解到可解的關鍵一步，值得所有從事對齊研究的團隊現在就去跑跑看開原始碼。

但從行業防線的角度看，這項技術的隱患依然顯而易見。既然它每個啟用都需要消耗數百個 token 的算力去解讀，那防禦方天然處於極度的算力劣勢。你不可能用比推理貴幾百倍的成本去給每一次呼叫做「測謊儀」。這種高昂的成本註定了它目前只能是出廠前抽檢的特種儀器，而不是常駐防線。

看起來，未來的大模型對抗正在進入一個新階段：不僅要防模型輸出危險內容，更要防模型學會在人類的監視器前假裝順從。