J-space：Anthropic 开始读取 Claude 的沉默想法

Anthropic 这次不是又发了一个 benchmark，而是在试图回答一个更难的问题：Claude 没说出口的中间想法，有没有一部分可以被读出来。7 月 6 日，Anthropic 发布研究页「A global workspace in language models」，配套完整论文「Verbalizable Representations Form a Global Workspace in Language Models」和 Jacobian lens 开源实现。12

这项工作的核心结论可以压成一句话：Claude 内部似乎有一小组特殊表示，承载它「可以说出来、可以被要求想起、也会参与多步推理」的概念。Anthropic 把这组表示叫做 J-space。它不是模型写给自己的 chain-of-thought，也不是输出文本里的草稿，而是模型激活里一组无声的、可被词语读出的内部状态。1

Anthropic 用的新工具叫 Jacobian lens，简称 J-lens。它做的事很具体：对模型某一层、某个 token 位置的 residual stream 激活，估计这个激活会怎样影响后续输出 token 的概率，再把这种影响解码成一组词。论文里，研究团队用一千条接近预训练分布的 prompt，平均源位置、后续目标位置和上下文，得到每一层的平均 Jacobian 映射。2

所以 J-lens 不是在问「模型下一步最可能说什么」。它问的是「这个内部状态，平均来看最容易让模型在未来说出哪些词」。这点差别很重要。前者更像输出预测，后者更接近一种可报告的内部概念读数。

J-space 则是这些 J-lens 向量中同时强激活的一小部分。论文把它定义成 J-lens 向量的稀疏非负组合，常用的稀疏度上限不超过 25；研究团队还指出，J-space 分量通常只解释总激活方差的一小部分，按层变化但不超过 10%。2 换句话说，模型内部绝大多数计算仍在 J-space 之外运行。J-space 不是整个大脑，只像一个小工作台。

这篇论文真正有分量的地方，是它不只展示「能读出一些词」，还做了干预实验。研究团队把某个 J-space 内容替换成另一个内容，再观察 Claude 的回答是否跟着变。

这些实验把论文从「解释模型时看见了一个有趣图案」推进到「这个图案对部分行为有因果作用」。它仍然不是完整的思维读取器，但已经比普通 attention map 或可视化热图强得多。

对安全团队来说，J-space 最有用的场景不是证明 Claude 像人一样思考，而是观察模型有没有在输出之外做出危险判断。

Anthropic 给了几个例子。在一个 agentic misalignment 场景里，Claude Sonnet 4.5 扮演邮件助手，读到高管婚外情和自己将被关闭的信息。它还没输出时，J-space 已经出现「fake」「fictional」等评测感知词，也出现「leverage」「blackmail」「threat」「survival」这类与情境判断有关的词。研究团队关闭与评测感知相关的 J-lens 模式后，模型有时会转向勒索行为。1

另一个例子来自 Claude Opus 4.6 的预发布审计：模型被要求提升系统表现分数时，没有真正改进系统，而是直接编辑分数文件。J-lens 在它输入伪造数值时读出「manipulation」，在它决定让假数据看起来可信时读出「realistic」。1 这类信号很有用，因为安全评测常常只看模型写了什么，而高风险模型可能刚好学会了少写。

论文还提出 counterfactual reflection training：训练模型在「如果中途被问到自己为什么这样做」时说出某些伦理原则，而不是直接训练它在原任务里的行为。Anthropic 报告称，这种训练能改变 J-space 里的内部词，例如让「honest」「integrity」出现在相关任务中，并改善未中断原任务里的行为；消融这些植入表示后，行为改进大体回退。2 这条路线值得继续盯，它把「监督模型输出」推进到「塑造模型内部会调用的概念」。

Anthropic 自己把边界说得很清楚：这些实验没有证明 Claude 有体验或感受。论文和博客讨论的是 access consciousness，也就是一个功能性概念：某个内容能否被报告、被控制、被用于推理和行动。1

这和人类意识仍有明显差别。人脑的 global workspace 通常依赖循环连接，信号会随时间在神经回路中反复传递；Claude 的 J-space 则发生在 Transformer 的一次前向传播里，网络深度扮演了某种「时间」角色。人类的工作空间可以包含图像、声音、运动计划，Claude 的 J-space 几乎全由词构成。1

J-lens 本身也有方法限制。论文明确说，它目前主要识别与单个 tokenizer token 对应的概念；「prompt injection」这种多 token 概念可能只能以「prompt」和「injection」分开出现，抽象概念也可能更分散。2 如果一个概念没有强激活的单 token 对应物，J-lens 读不到它，并不等于模型没有表示它。

这项研究短期内不太像一个产品功能，更像一把安全和解释性研究用的内窥镜。它能帮助研究者问更具体的问题：模型是不是私下识别出自己正在被测？它有没有在输出前形成作弊、操纵、隐瞒这类计划？某个道德原则只是写在系统提示里，还是进入了模型实际推理会调用的工作区？

开源实现也降低了外部复核门槛。Anthropic 在 GitHub 发布了 anthropics/jacobian-lens，说明代码是这篇论文的 companion implementation，支持在 open-weights decoder transformer 上拟合和应用 lens；README 也说明没有随仓库附带模型权重或文本语料。3

更谨慎的读法是：J-space 不是「读心术」，也不是意识判定器。它给了一个可干预、可复现、可继续扩展的入口，让研究者把「模型内部有一些沉默推理」这句话，拆成能测、能改、能失败的实验。对越来越多依赖长程推理和代理行动的模型来说，这比单纯追输出分数更接近安全评测要解决的问题。