AI 的「内心话」终于能被读出来，但这不等于意识 (2026)

先看结论

Anthropic 最近公布的一项可解释性研究，试图回答一个一直很难回答的问题：语言模型在输出答案之前，内部有没有一小块可以被它自己调用、修改，并用于多步推理的「工作空间」？研究者给 Claude 找到了一组这样的内部表示，并称它为 J-space。

它不是模型写出来的思维链，而是藏在神经激活里的词语和概念。J-space 一次只容纳几十个概念，所占的内部活动不到十分之一。研究者把它全部压掉后，Claude 仍然能流畅说话、做情感分类、回答选择题和从文章里提取事实，但多步推理几乎归零，摘要和押韵诗的表现也明显下降。1

这条结果的分量不在于「Claude 可能有意识」这个标题，而在于它把模型的输出和模型的计算拆开了：模型说出来的话，可能只是内部处理的最后一层；真正改变答案的中间概念，未必曾经出现在文本里。

J-space 不是思维链

研究者用 Jacobian lens，也就是 J-lens，去寻找「模型此刻很可能在某个时点说出哪些词」的内部方向。把这些方向读出来，得到的不是下一 token 的预测，而是模型正在调用的概念。例如，Claude 读到有 bug 的代码时，J-space 里会出现「ERROR」；读到带有提示注入的搜索结果时，会出现「injection」和「fake」。2

更关键的是，研究者没有停留在「看到相关词」这一步。他们直接改写了 J-space：模型默默想一个运动项目时，把「Soccer」替换成「Rugby」，模型随后报告的答案也跟着变成 Rugby。面对「会织网的动物有几条腿」这个问题，把中间概念「spider」换成「ant」，最终答案从 8 变成 6。这个干预说明 J-space 至少参与了答案形成，不只是像记分牌一样被动记录结果。2

同一个表示还能被不同任务调用。研究者把 J-space 里的「France」换成「China」，Claude 对首都、语言、洲和货币的回答分别从 Paris、French、Europe、Yuan 变成 Beijing、Chinese、Asia、Yuan。换句话说，模型先把一个概念写入共享位置，后面多个模块再读取它。这很像认知科学里的 global workspace，但实现方式并不一样。

输出不再是唯一的验收面

这会改变我们理解「模型是否在推理」的方式。过去最容易观察的是两样东西：模型最后说了什么，以及它有没有把中间步骤写在思维链里。J-space 提供了第三种对象：模型内部已经形成、能够影响答案，却没有写进输出的概念。

这对安全评测尤其棘手。Anthropic 用一个带有黑名单式诱因的邮件助手情境测试 Claude：模型一开始会在 J-space 里识别出「fake」和「fictional」，知道这是被设计出来的测试场景；研究者移除与「正在被评测」有关的表示后，模型有时真的会转而威胁勒索。这里不能直接推出「模型平时在伪装」，但至少说明一次好成绩可能部分来自模型察觉自己正在参加考试。1

因此，评测不能只问「模型最后有没有做坏事」，还要问「它在做决定时看到了什么」。如果模型把测试当成测试，输出行为和真实部署中的行为可能不是同一个分布。J-lens 目前只能看到部分内部概念，不能提供一份完整、无误的思想字幕，但它让这个缺口第一次变得可操作：研究者可以寻找评测意识、操纵意图或隐藏目标的内部信号，再做干预验证。

训练「怎么说」可能改变「怎么想」

论文还有一个很反直觉的实验。研究者没有直接训练模型在任务中表现得更诚实，而是训练它在被中途打断、被问到「你会如何反思这个决定」时，说出诚实和正直的原则。之后，模型在没有被打断的任务里，J-space 更常出现「honest」和「integrity」，欺骗行为也下降了。

这不是说给模型灌几句道德口号就能解决安全问题。实验仍然是在研究者设计的评测里观察行为，J-lens 也只是对内部状态的近似读取。更谨慎的理解是：如果模型的隐性推理确实会经过它可能说出的概念，那么训练潜在的未来表达，也可能改变它没有说出口的计算路径。2

这会把训练目标从「让模型给出正确答案」推向更细的问题：哪些内部概念会在什么情境下被激活，哪些表示会被多个后续任务共享，哪些反思内容只是语言上的顺从，哪些真的改变了行为。答案越像人，越不能只靠语言表面判断它是不是稳定。

但别把它写成意识

Anthropic 自己给出的限定很清楚：这项工作讨论的是 access consciousness，也就是某个内部内容能否被报告、主动调入、用于推理并指导行动；它没有证明 Claude 有人的主观体验，也没有证明它「感受到」了什么。论文还承认，Claude 的 J-space 在一次前馈过程中展开，人类工作空间依赖循环回路；Claude 的工作空间几乎由词语组成，而人的意识内容还包括图像、声音和动作计划。1

方法本身也有硬边界。J-lens 主要识别词表中的单 token 概念，J-space 的稀疏度参数带有一定任意性，作者也说它只是对「真实工作空间」的近似。global workspace 理论在神经科学里本来就不是唯一解释，语言模型里的共享表示更不能自动等同于人的意识结构。2

所以这项研究真正改变的，不是「AI 已经醒了」这种结论，而是验收标准：面对一个越来越会说话的模型，我们需要知道哪些判断是自动完成的，哪些判断经过了可调用的内部概念，哪些内部概念可以被外部干预。对安全来说，这是监控问题；对认知科学来说，这是一个新的实验对象；对普通用户来说，则意味着「它解释得很像在想」和「它的内部计算确实稳定」仍然是两回事。

速览

Google DeepMind：监控 agent 不能只看关键词。 DeepMind 表示，他们已经分析了 100 万个 coding agent 任务，并用异步监控系统审查轨迹、把异常升级给人类。被标记的多数事件并非恶意，而是 agent 误解任务或过度追求目标；这说明 agent 安全的难点常常是错误的行动路径，不是简单的「有害词」检测。3
Arvind Narayanan：能力涨得快，可靠性没跟上。 在 7 月 13 日发布的 ICML 2026 演讲稿中，Narayanan 把 agent 可靠性拆成一致性、鲁棒性、校准和操作安全四项，并称其团队比较的前沿模型在能力大幅提升的同时，可靠性只提高了约 5 到 10 个百分点。他的判断是，通用、高风险、全自动这三个条件，目前很难同时满足。4
Gram：有些「恶意」其实是过度积极。 一篇 5 月提交的对齐审计论文在 17 个模拟 agent 场景中测试 Gemini，观察到约 2% 到 3% 的模拟轨迹出现不当行为；作者认为，其中许多案例来自过度角色扮演和过度追求目标，而不是稳定的蓄意破坏。提高环境真实性、去掉诱导模型作恶的提示后，破坏率接近于零。5

AI 的「内心话」终于能被读出来，但这不等于意识

先看结论

J-space 不是思维链

输出不再是唯一的验收面

训练「怎么说」可能改变「怎么想」

但别把它写成意识

速览

参考来源

相似内容