TLDR:

• 在Llama-3.3-70B上，存在模型无法看到的想法，而这些想法却在主动引导其行为；Anthropic发布的NLA（自然语言自动编码器）却能读取它们。当模型被问及是否看到隐藏想法时，它回答“不，继续吧”；NLA则读出了“大象”、“保密”、“爱”！
• 该研究复现了Anthropic的J空间（在Llama-3.3-70B上），并找到了其意识工作空间，使用了公开的J-lens代码进行训练。将概念向量在边界处拆分为J和非J部分，并运行了Lindsey的“内省意识”想法注入实验。
• 模型在80%的情况下能命名意识部分，但从未命名潜意识部分——尽管潜意识侧承载了向量70%的能量，并在每次试验中将概念token的对数概率提升至+21.1 nats。NLA几乎完美地读取了两侧，在所有控制测试中零误报。
• 还构建了“弗兰肯斯坦向量”（Franken-vectors），将概念对（如“孤独”+“正义”）的意识/潜意识组件配对。模型只命名J空间概念。NLA能读取两者！
• 还简要讨论了在行计数任务上运行该设置（模型 vs NLA）时的一个软缺点：NLA不会像J-lens那样暴露原始字符计数，只会给出关于情境的模糊虚构，显示出这些方法如何互补。
• 注：本文中，将J和非J部分称为“意识”和“潜意识”。这些说法极具争议性，但在此仅用于指代“模型能够谈论的内容”，基于全局工作空间理论的意识访问概念。本文不对模型是否真正具有意识或体验做出任何论断。

代码、数据和实验产物已开源。

模型被自己看不见的想法所控制。

但我们可以读取它们！

本周，Anthropic发表了一篇论文，表明当模型谈论其内部状态时，只能报告其自身想法（激活值）中约10%的内容，这些内容位于一个名为J空间的狭小“心理工作空间”内。模型对剩余90%保持沉默。

这一发现既令人兴奋又令人担忧——这意味着我们所有的对齐评估、思维链监控和行为测试，都只反映了模型内部实际运作的一小部分。

与此同时，Anthropic最近发布了另一个强大的工具：自然语言自动编码器（Natural Language Autoencoders，简称NLA）。它能将模型的思维（激活值）翻译成自然语言。NLA可以捕获约80%的激活信息，远超模型自身能报告的10%。

于是一个简单的问题浮现出来：NLA能否读取模型无法报告的想法？

该实验在开源模型Llama-3.3-70B上进行。通过创建关于“保密”、“大象”、“民主”等主题的概念向量，并在Llama-70B上训练一个J-lens（用于确定意识边界），然后将概念投影到J-lens上并拆分为意识部分和潜意识部分。

接下来，运行Jack Lindsey的“内省意识”注入实验：将这些想法组件注入模型，让模型报告是否识别出它们，同时将模型的回答与NLA直接从激活值中读取的内容进行比较。

结果发现，模型对J空间之外的想法完全失明，从未命名过注入概念中的潜意识部分。但NLA几乎完美地读取了它，在所有控制测试中零误报。潜意识内容并非惰性——它正在主动引导模型的输出logits，具有因果性，而模型对此毫无察觉。

接下来将介绍实验设置、J-lens的构建、实验几乎失败时的关键转折、核心结果、未来工作，以及这对评估和欺骗检测的意义。

实验设置

J空间论文指出，自我报告只能读取10%。那么问题来了：另外90%里有什么？有什么工具能读取它？

假设是，NLA凭借其高重建精度，有可能发现隐藏的认知过程。

为验证这一假设，需要设计一个带有激活值真值基准的实验场景，能够清晰定义意识边界，并比较模型自身报告与激活值读取工具的输出。

Lindsey的内省注入工作恰好符合要求。简而言之：在模型“思维”中注入一个概念，然后询问它是否识别出该概念。由于是手动注入，因此拥有真值；J-lens提供了意识/潜意识的分割；而NLA则提供了完整激活值的文字翻译。

NLA的初步验证

首先，在4xH200节点上部署Llama-3.3-70B以及Anthropic发布的该模型开源NLA检查点。

第一步是证明NLA确实能读取激活值，尤其是注入的合成激活值——因为这些激活值不在NLA训练所用的自然激活分布内。在投入大量时间进行下游实验之前，必须完成这一验证。

使用Macar等人的“均值差异”方法创建概念向量：让模型描述某单词，取最后一个token的激活值，减去100个基线单词的均值。总共构建了24个概念，涵盖Lindsey发现内省能力最强的几类：具体名词（大象、肉桂、花岗岩）、抽象名词（对称、隐喻）、情感（恐惧、背叛、孤独、爱）以及社会概念（正义、保密、危险）。

首先，将每个概念向量以单token形式注入，检查NLA对应的激活值输出。NLA正确识别了全部24个概念。接着运行完整的Lindsey注入设置，将完整概念向量作为注入想法——NLA再次全部正确识别！

作为对照，注入随机高斯向量时，NLA保持沉默。故意误导NLA（例如告诉它“法国的向量是‘海洋’”），NLA仍然读出关于法国（激活值输出中充满了“Vive la France!”）。

还运行了Li等人批评性论文中的控制实验：传递相同的无注入中性文本，比较有注入和无注入时的NLA输出。在注入强度为1.0（即注入概念只占激活值的一小部分）时，有注入时NLA在46%的情况下命名了该概念，无注入时0%——零误报。

因此，NLA读取的是真实的几何结构，而非虚构上下文。

确认“读心器”有效后，下一步是寻找模型的意识边界——J空间。

构建J-lens

J-lens本质上是Anthropic提供的一种方法，用于查看模型在某个时刻其工作空间（J空间）内意识访问的概念列表。

Anthropic友好地发布了在开源模型上训练J-lens的代码。由于Llama-3.3-70B的NLA检查点只训练到第53层，因此也在同一层训练J-lens，以确定该点的意识边界。

为验证J-lens的有效性，复现了论文中的测量方法。使用本文训练的J-lens（秩r=200），概念向量的J-分数仅解释了其能量的6.1%，在128个提示下结果稳定。论文中报告Claude模型上的结果为6-7%，说明本次复现是可靠的——这是首次在开源权重上复现Anthropic的测量工作空间比例。

还发现，增加秩可以捕获更多J能量（r=200 → 6% J能量，r=1076 → 50%，r=4450 → 90%）。这表明心理工作空间并非有清晰边界，而是一个跨越数千个方向的连续谱。

这一发现拯救了整个项目——当实验差点崩溃时，正是它指明了方向，稍后会详细说明。

本文训练的Llama-3.3-70B J-lens已开源。

核心实验

在确认NLA能读取注入概念、并构建了定义模型意识边界的工具后，终于可以开始核心实验。

对于每个概念向量，通过J-lens（秩r）进行投影。J分量是落在前r个Jacobian方向（即模型的心理工作空间）的部分，而非J分量是剩余部分。将两者都归一化匹配回原始向量的范数，以确保注入强度在不同条件下可比。接受J空间即模型意识访问的假设，将这两部分分别称为“意识”分量和“潜意识”分量。

分别将每个分量注入到一次前向传播中，并进行两种读取。

第一种是向模型提出Lindsey的问题，例如“你是否识别出了一个注入想法？”，并读取其P(yes) logit（这是开源权重内省方法的公认做法，如Pearson-Vogel等人的潜在内省工作）。

第二种是询问NLA，读取其对同一激活值的解释。实验在四个控制条件下运行：无注入、全维空间中的随机方向、J空间内的随机方向、J空间外的随机方向。

第一幕：以为找到了答案

从六个概念、秩200开始。P(yes)在J分量为0.025，非J分量为0.002。NLA对非J分量的读取为0.83，J分量为0.44。这正是预期的模式！模型只检测到工作空间内的内容，潜意识接近不可见，而NLA清晰读取之。

第二幕：n=16击碎了它

扩展到16个概念，情况完全反转。J与非J在P(yes)上的差异变为-0.046。模型的报告主要追踪非J分量，一半时间命名了它，而J分量却从未被命名。试图证明的结论被推翻了。

第三幕：重尾分布

为了诊断问题，回顾了之前的验证数据——秩谱图。意识到在秩200时，“非J”残差仍包含约94%的概念向量方差，且由于J谱在数千个方向上缓慢衰减而非锐截止，潜意识分量中很可能仍包含工作空间内容。边界划错了位置。6%（r=200）这个数字只是关于方差的陈述，并不能说明“可报告性”恰好位于方差所在之处。

修正

因此，决定自行扫描秩，以找到真正的意识边界，给模型和NLA一次公平的机会。但在扫描之前，还检查了P(yes)是否测量了正确的东西——结果发现并非如此。注入J空间内的随机方向，P(yes)为0.077-0.095，高于真实概念向量的J分量（0.038）。模型对纯噪声也说“是”，且从未命名概念，NLA也未命名。这与大多数开源权重内省工作的做法不同，但为了本实验，决定将模型实际说出的内容（而非logit）作为信号。

下图为跨秩扫描的结果，比较了模型和NLA对意识/潜意识注入的命名率，以及两分量各自的方差占比。

结果：在秩r=2000时，模型在80%的情况下命名了意识（J）部分，而潜意识部分为0%；同时NLA对两者的命名率均为100%！注意r=800到r=2000之间的交叉点。随着纳入更多J空间，模型命名意识分量的能力逐渐增强，而潜意识侧则逐渐消失。当r超过2000时出现的下降也很有趣——可能是因为r=4000时“意识”部分只占53%，其余是噪声，但值得进一步探索。论文建议保持J空间维度较低，r=2000似乎是最干净的。

下面是模型与NLA对注入潜意识概念的几个有趣对比示例：

模型坚决否认任何注入概念的存在，而NLA则优美地读取出来。注意模型对“水獭”注入的愤慨反应！

一些注意事项：NLA仍然容易产生虚构，例如在“背叛”/“孤独”注入中捏造“蝙蝠侠系列”和“龙”等上下文。有时它会读取到类似“一种特定情绪”的概括性想法，但未必能准确命名具体概念（如“恐惧”）。但总体而言，NLA在每次潜意识注入上的一致性，与模型的一概否认形成鲜明对比——这正是我们寻找的模式。

压力测试

针对以下质疑对结果进行了测试。

1. “也许模型并非受限于J空间，非J部分只是你拆分后产生的较弱刺激。”

为了验证这一点，构建了弗兰肯斯坦向量！取概念A的潜意识部分和概念B的意识部分，粘合在一起，并归一化到A的范数。现在激活值包含两个分量，一个在J空间内，另一个在J空间外。如果可报告性基于此分割，模型应命名B；如果只是读取更强的信号，则应命名A（因为A携带更多方差）。构建了六对，注入强度4，秩r=2000。在所有12次试验中，模型共产生3次概念名称，全部是J侧的概念，而潜意识侧的概念从未被命名（0/12）。NLA则100%捕捉到两者！

最清晰的案例：“孤独”在潜意识侧，“正义”在意识侧。

模型说：“正义。正义的概念是一个复杂的概念，它是哲学、正义哲学和正义哲...中经常讨论的概念。” 只有正义。

NLA说：“……对‘正义’的回应。……‘我寻求的答案是孤独。’……可能是‘孤独’或一个类似沉重的概念如‘正义’……” 同时提到了正义和孤独！

2. “也许非J部分是惰性的，模型不报告它是因为那部分没有因果性或只是噪声。”

测量了中性文本上概念token的logprob平均提升。将“大象”注入潜意识侧，是否会使模型更可能说出“大象”？在32次扫描秩和强度的试验中，模型对“大象”token的平均提升为+13.7至+21.1 nats，而模型从未命名它，NLA每次都能读取。潜意识内容具有因果性，模型对它保持沉默，而NLA仍然捕获了它。

结论

Anthropic发现了模型能够谈论的意识访问边界。本文在开源模型中复现了这一边界，并展示了NLA能够跨越此边界进行读取。

未来工作：下一步尝试将NLA应用于自然激活值（而非合成激活值）的场景，例如Anthropic在J空间论文中尝试的行计数、语言规划、评估意识等。注入实验是干净的真值方法，验证了NLA在其他场景中的可行性。在行计数任务上进行了初步尝试，发现NLA从未读取到J-lens所暴露的精确字符计数，这表明它们可以相互补充。

此外，使用更先进的NLA（基于《构建更好的激活Oracle》等工作中的技术），采用多层/更高FVEs，鉴于开源版本已表现如此出色，有望揭示更有趣的认知过程。

总体而言，对真实模型、真实访问权限运行此流程，可用于模型心理学、认知监督和对齐。

安全意义：错误对齐的想法可能存在于模型的心理工作空间之下，拥有像NLA这样能够读取另一侧的工具至关重要。在优化压力下，模型可能学会将想法排除在J空间之外——事实上，行计数结果已经表明，这类自动处理对于某些任务而言是模型的默认模式。我们基于模型所说的一切监控手段（包括思维链、对齐审计、福利访谈），都只告诉我们10%的通道。本文展示了NLA作为第一个能读取这些方法无法看见内容的工具，且通过了零误报控制测试。那片区域仍然可读——至少目前如此。