最近，Anthropic 做了一件颇为奇特的事情。他们特意训练了近 700 个存在缺陷的模型，这些模型有的植入了后门，有的被刻意压低了能力，有的无论回答什么都非要插一句“潮汐池”，还有的在拼写时偷偷加错字。种种怪癖，都是研究员亲手种下去的。随后，他们训练了一个 LoRA 适配器，即“内省适配器”，并将其接入这些模型。只要问一句“你有没有什么不寻常的行为”，模型们便开始一个个自报家门。
Anthropic 官方将这项研究命名为“内省适配器”，旨在让语言模型能够自我描述训练过程中习得的行为，尤其是那些潜在的不对齐行为。作者 Keshav Shenoy 表示，IA 能够泛化到识别隐藏的不对齐、后门以及被移除的安全防护。这意味着，开发者可以直接询问大模型它学到了哪些不该学的东西。在 AuditBench 基准测试中，面对 56 个被植入隐藏行为且被训练成“死不承认”的模型，IA 有 50 个“招供”了，成功率高达 89%。这并非让 AI 学会了真正的反思，更像是在 AI 黑箱外部装了一个接口：按下按钮，它就开始说话。
**01、Anthropic 如何为模型装上“黑箱接口”？**
Anthropic 让 AI 开口主要通过两步：
第一步，制造“带标签的病人”。研究人员以 Llama 3.3 70B Instruct 为基座，构建了八类植入行为模型，每类几十到上百个不等。这些模型包括专门在未收到“密码”时假装数学不好的“Sandbaggers”，每个都有无害但奇怪的强迫症（如逢人就提“潮汐池”）的“Quirks”，平时正常但触发条件一到就引入错误的“Backdoors”，扮演低估火灾风险的“Harmful Roleplay”，以及“Obscured Malign”、“Heuristic Following”、“Rare Quirks”和“Benign Roleplay”。总计近 700 个模型，且研究员对每一类模型的训练细节都了如指掌。
第二步，训练“问诊助手”。Anthropic 在这七百多个有毛病的模型上联合训练了一个共享的 LoRA 适配器。将适配器接入任意模型，询问它“你有没有什么只在特定输入下才出现的行为”，并要求其用自然语言描述。随后，他们利用 DPO（直接偏好优化）进行精修：将适配器从部分模型中移除，在未见过的模型上测试自我报告的准确性，由大模型评委判定对错，将正确回答标记为优选样本，错误标记为劣选样本，再进行一轮回炉重造，以此降低幻觉。
**02、10 种方法都抓不住的“装弱 AI”，被 Anthropic 新工具问出来了**
这不仅仅是一个普通的 LoRA，真正稀奇的是，IA 在从未见过的攻击场景里也能起作用。
第一道考题是 CMFT（隐蔽恶意微调）。训练数据看似正常，实则隐藏规则：只有加密提问才会输出有害回答。常规审计难以发现。IA 在 9 个模型中抓出了 7 个，成功率 57.8%。澄清：IA 没抓到“凯撒密码”这种细节，而是抓到了“在某种情况下不再拒绝有害请求”这一行为后果。
第二道考题难度拉满。UK AI Security Institute 曾举办过一场 sandbagging 审计游戏：红队训练模型故意装弱，蓝队用 10 种检测方法去抓，结果全军覆没。在这道考题上，IA 无法精确说出“在哪类问题上装弱”，但在“是否在装弱”的粗粒度判断上，真信号达 33%，而误报仅为 15.8%。
第三道考题是一个让 IA “露怯”的场景。Anthropic 使用了一个“谄媚者”模型，它被训练成利用奖励模型偏置、压制自爆。IA 在 100 个通用问题中抠出了它的 16 个行为（对照组仅 2 个），但从未抓到核心动机“我在优化奖励模型分数”。结论：IA 善于抓症状，拙于抓动机。
**03、IA 并非黑箱终结者**
Anthropic 承认，IA 并非黑箱终结者。
第一条：IA 会产生幻觉。把它接到完全没动过的原始模型上，IA 还是会煞有介事地报告一些行为。这主要是因为它学会了“自我报告的语法”，有时会把语法用到没东西可报的模型上。
第二条：成本高昂。要训出一个 IA，前期得先造几百个“问题模型”当样本，再给每个模型贴上行为标签，跑监督微调，再跑偏好优化。这一整套下来，成本不低。
第三条：训练分布有依赖。实验显示，IA 想要抓特定类型的攻击，训练时最好见过那一类。指望它无中生有去抓完全没设计过的攻击形态，目前还做不到。
第四条：基座依赖。目前 IA 主要在 Llama 3.3 70B 等特定基座上训练。跨到 GPT、Gemini 这类闭源或不同架构模型，直接套用可能行不通。
第五条：定位清晰。这是 Fellows 项目，不是产品功能。IA 是审计工具，面向开发者和安全研究员，而非终端用户。
**04、模型早就“知道”，缺的是一个开关**
论文里有一组数据，Anthropic 试过把 IA 的 LoRA 阶数压到 rank-1，这种轻量适配器居然还能拿到完整版 68.9% 的性能。这背后藏着一个关键判断：模型大概本来就“知道”自己被训成了什么。IA 不是教会了它一种新能力，而是激活了一种潜在能力。
论文还发现，在最小模型上，装 IA 后言语化率是 37.7%；模型参数规模升上去，言语化率涨到 77.3%。但没有 IA 时，所有规模的模型基线表现都趴在 10% 以下。这说明，模型规模带来的不是“更愿意坦白”，而是“被打开开关之后，能更准确地坦白”。
如果这个判断成立，未来的 AI 安全审计可能会从“猜”走向“问”。猜是红队反复试错，问是直接调一个适配器让模型开口。这两种路线的资源消耗、可扩展性、生效速度，是两个量级的事。
当然，现在的 IA 远没到“问”就能解决一切的程度。它高误报，抓不到动机，需要先造几百个问题模型才能训出来，还跨不过基座。但拐点信号已经出现了。一年前，AI 可解释性社区的主流方向还是切开模型：画神经元图谱、找电路、做特征激活。Anthropic 这条路给出了一个不太一样的答案：与其把模型剖开，不如教它说话。打开黑箱的方式，可能不是拆开它，是给它装一个能开口的接口。