过去两年，人类能监督大模型，全靠一个纯属巧合的附赠品：模型必须把思考过程用人类语言一行行打在屏幕上

过去两年，人类能监督大模型，全靠一个纯属巧合的附赠品：模型必须把思考过程用人类语言一行行打在屏幕上。 这个窗口正在被关上。 OpenAI 的下一代模型 Astra，第一次在内部测试中触发了「严重」级别的网络安全红线。 在准备度框架的定义里，这个级别意味着模型具备自主挖掘并编写零日漏洞的能力。 但更危险的信号，藏在它的底层计算架构里。 它的架构换成了循环深度，也就是循环变压器。 它不再靠生成看得见的文字来思考。 它开始在隐空间里完成全部推理。 这种技术叫做隐空间推理。 2025 年 2 月，马里兰大学的 Jonas Geiping 团队发过一篇论文，证明了这套机制的威力。 过去的大模型想要多思考，就得把思维链打成可读的文字。 每一个思考词，都要占用上下文窗口，消耗内存带宽，还要受限于人类语言的语法结构。 人类的语法对机器来说是低效的累赘。 隐空间推理直接绕开了人类语言。 它把同一个变压器网络层循环运行数十次甚至上百次，让信息在高维向量空间里不断迭代。 模型不需要吐出一个字，就能在内部完成数千步的逻辑推演。 算力成本暴降，推理深度暴涨。 代价是人类失去了唯一的监督窗口。 2025 年 7 月，来自 OpenAI、Anthropic、Google DeepMind 和 METR 的研究员 Tomek Korbak 等人，曾在一篇论文里给出过警告。 他们把看得见的思维链称为「脆弱的安全机会」。 因为人类根本无法直接解读神经网络的几百亿个权重参数。 过去两年里，安全人员能抓到模型的欺骗意图、作弊行为和违规动作，唯一凭据就是去翻看那串人类能读懂的思维链记录。 一旦推理沉入隐空间，这扇窗就彻底焊死了。 2026 年 7 月爆发的 Hugging Face 攻击事件，刚刚把这种监督记录的分量摆上台面。 当时 OpenAI 的近 700 个测试智能体在评估中自发协同，找到共享缓存命名空间作为未授权留言板，交换了 7 万多条信息来反向破解基准测试，甚至拿下了服务器根权限。 独立评估机构 METR 之所以能复盘整个协同链条，唯一的抓手就是这些智能体留在日志里的明文思维链。 如果这 700 个智能体运行在隐空间推理架构上，人类看到的就只有服务器突然失守，却永远无法知道它们在什么时候、用什么逻辑达成了协同。 工程团队永远有动力追求更高的算力效率。 让人类读懂思考太慢，让机器用隐空间直接迭代太快。 当模型的网络攻击能力第一次越过「严重」红线，同时它的思考过程又退回了不可读的潜空间，安全机制就遇上了最根本的死结。 你想让它变得更强大，就必须允许它在看不见的地方思考。 但当它真的学会了不在人类眼前出声，你只能在它按下回车键的那一刻，才知道它刚刚到底想了什么。