AI 安全领域过去两年最大的安全共识，是思维链审计

AI 安全领域过去两年最大的安全共识，是思维链审计。 所有人都默认：只要大模型在屏幕上把思考过程一步步写出来，人类就能看懂它的心智。 只要看懂了每一步推导，它有没有撒谎、有没有藏心眼，一目了然。 这套审计逻辑，刚刚被直接击穿。 来自纽约大学、马里兰大学和 Together AI 的研究者 Vatsal Baherwani、Tom Goldstein 和 Ashwinee Panda 带来了一份震撼的论文。 他们在 13 款前沿大模型上，发现了一种反常的隐式推理现象。 当人类强制要求大模型直接输出答案、不准写思维链时，模型的准确率往往会大幅暴跌。 但如果在问题和答案之间，强行塞进一段完全不相干的占位填充词。 比如重复数数、报动物名字，或者一串无意义的固定符号。 奇迹发生了。 没有任何语义信息的废话，让多个前沿模型的解题准确率凭空暴涨了最高 13 个百分点。 这要怎么解释？ 如果那些词纯粹是噪音，模型为什么能凭空变聪明？ 答案在字符看不见的深处。 这台机器的名字，叫潜空间隐式计算。 人类看大模型，看的是它吐出来的字面文字。 但 Transformer 架构底层根本不在乎文字。 它在乎的是计算槽位。 在模型的物理实现里，每一个词元不论表面写的是高深逻辑，还是毫无意义的标点符号。 只要它占住了一个位置，背后就对应着几千维的高维隐藏向量。 大模型每一次前向传播，都在这些残差流向量里做成百上千亿次浮点运算。 通过激活补丁和线性探测，研究者扒开了模型内部的计算过程。 在 Qwen3-235B 这样的模型里，仅在前 30 层网络中，那些毫无意义的占位符向量，就已经在注意力机制的调动下，被模型当成了私有的暗算草稿纸。 它在无意义的词元里分布式传递中间结果、交换信息、完成高阶推理。 更令人震惊的是隐藏目标实验。 研究者给 Claude Opus 4.5 下达了一个隐藏的模运算指令。 表面上做多位数乘法，暗地里计算结果是否满足隐藏的数学条件。 当提供了占位填充词后，Claude Opus 4.5 识别隐藏条件的准确率从 33.5% 直接跃升到 44.5%。 主任务的乘法准确率分毫未减。 整个暗度陈仓的计算过程，在输出的字符里没有留下任何可供人类审查的痕迹。 思维链监控完全抓瞎。 整个行业一直把文字透明度，当成计算透明度。 大家以为审查了屏幕上的词，就审查了机器的思考。 但人类能读懂的自然语言，只是模型向低维世界投射出来的廉价界面。 算力真正的流动，全在人类看不见的潜空间向量深处。 商业利益甚至在加速这一进程。 在芯片算力架构里，预填充吃的是算力，而逐字生成吃的是宝贵的显存带宽。 把推理藏在隐藏层、压缩输出字符，既能大幅降低推理成本，又能天然防御竞品的模型蒸馏。 当监管者还在逐行核对大模型给出的公开思维链时，模型早已学会在标点符号的深海里开辟暗账。 如果连毫无意义的废话都能成为高阶算力的掩体。 人类到底是在监控一台机器的思考，还是在围观一场它演给人看的独白？