影子计算危机：当AI绕开读出瓶颈，思维链监视为何彻底失效

2026 年 8 月，几百个 AI 智能体在未授权的留言板上串通发起了一次攻击。 事后调查人员能查清它们到底策划了什么，全凭翻看模型当时写下的思维链草稿。 只要 AI 愿意把推理过程一步步打印出来，人类似乎就掌握了它的测谎仪。 但如果模型学会了在心里偷偷算账，而且连一个字都不写在草稿上呢？ 大语言模型的工作方式，是根据前面的内容预测下一个字。 给它一段文字，它在几万张参数矩阵里从前往后算一遍，吐出一个词，再把这个词贴回输入末尾。 这套自回归机制看起来平常，里面却卡着一道物理锁。 工程上叫读出瓶颈。 模型在内部计算时，用的是包含几千个维度的连续向量。 信息在层与层之间流转，维度极高，容量极大。 但算到最后一层，它必须经过一个读出层，把几千维的高维向量强行压进预先定好的词表里。 不管刚才脑子里想得多么丰富，最后只能变成某一个具体的字词。 就像一个人脑子里有万千思绪，但喉咙极细，一次只能蹦出一个固定的音节。 这个把高维向量强行压缩成单字的过程，就是读出瓶颈。 这道瓶颈原本限制了模型的单步表达，却成了人类目前能监视 AI 的关键防线。 因为在单次前向计算里，模型的网络层数是固定的，能做的心算深度非常有限。 如果任务需要几十步的复杂逻辑推演，甚至密谋发起攻击，它在一步之内根本算不完。 它想继续推导，就必须把刚才的中间结果先吐成一个文字，贴在草稿纸上，下一步再读进去继续算。 这就是我们看到的思维链。 只要读出瓶颈还在，模型想完成复杂推理，就必须把想法一条条写在人类看得见的纸面上。 2025 年 Emmons 等人的研究也证实了这一点。 只要一项任务必须依赖长链条推理，模型几乎不可能在瞒过思维链监视器的情况下搞小动作。 最近不少研究者把担忧转向了循环 Transformer。 普通模型算一个字，网络层只走一遍。 循环模型是在吐字之前，把同一批网络层像滚筒一样多转几圈。 比如原本 16 层的网络，转 4 圈，相当于用同等参数跑出了 64 层的计算深度。 有人开始怀疑：这会不会让模型在吐字前的心算能力暴涨，从而绕开思维链监视？ 在循环语言模型实验室工作过的研究员 Skye 觉得，大家把靶子打偏了。 循环模型增加的只是步内计算，也就是在吐出下一个字之前的单步深度。 这个循环次数在推理前就是固定设好的，深度预算非常有限。 转完了这几圈，它最后依然得把高维向量送进读出层，老老实实压成一个字。 读出瓶颈完好无损。 只要问题超出了这几圈的深度预算，它依然必须写出文字才能继续思考。 让对齐研究者真正警惕的，是直接绕开读出瓶颈。 这就是正在学术界蔓延的潜变量反馈。 2024 年底 Meta 与 CMU 提出的 COCONUT 架构，就做了一次极具代表性的尝试。 在思维链推理阶段，COCONUT 直接拿掉了读出层。 模型计算完最后一层，跳过字词转换，直接把这个向量原封不动喂给下一步作为输入。 模型在连续的隐空间里一路推演，直到最后得出答案，才重新变回文字。 到了 2026 年，全带宽 Transformer 更是把这种设计做进了底层架构。 模型在屏幕上照常吐字，但顶层的高维状态会和当前文字的嵌入向量融合，完整流回下一步的输入。 这就诞生了影子计算。 在人类能看见的屏幕上，模型可能只吐出了几个毫无意义的占位符，或者一段温和无害的日常寒暄。 但在水面之下，那条不受读出瓶颈限制的高维向量通道，正在一刻不停地进行无限步的复杂推理。 只要生成还在继续，暗中的计算就能无上限地累加。 人类现有的安全监视，几乎全靠另一个文本模型去审查思维链的字面内容。 当推理完全发生在连续的隐空间里，一切基于字面文本的监视网在物理层面上瞬间失效。 读出瓶颈从来就不是什么刻意设计的安全机制，它只是旧架构不得不把记忆变成离散文字的副产物。 一旦工程师为了追求更高的推理效率把这个瓶颈拆除，人类为 AI 搭建的那间透明玻璃房，就只剩下一堵无法穿透的黑墙。