El lanzamiento Goodfire del 8 de octubre coloca otro observador dentro de la inferencia alojada. No pide a un segundo modelo releer cada acción, sino examinar actividad numérica ya producida. Clasificadores pequeños filtran y un juez mayor o una persona revisa sospechas.
Según la cobertura, clientes Baseten eligen actividad cibernética ofensiva, abuso químico o biológico y manipulación de recompensa, y deciden registrar, escalar o bloquear. Es función operativa, no solo demostración de interpretabilidad.
La promesa es económica: supervisión continua no exige necesariamente juicio lingüístico caro en cada paso. Falta probar cobertura fuera de los modelos elegidos. El trabajo inicial se centra en Kimi K3 abierto, con acceso a estados internos.
La transcripción crea otra carga
Un agente acumula durante horas instrucciones, archivos, respuestas, código y reintentos. El juez necesita contexto para reconocer una acción ordinaria dentro de una secuencia no autorizada. Revisar solo el final es barato y pierde comportamiento.
Control paso a paso añade inferencia paralela. Un juez pequeño ahorra pero puede perder sutilezas; uno grande cuesta. Contexto largo retrasa operaciones. Muestreo deja sesiones sin mirar y reglas fijas no cubren todas las rutas indirectas.
Activaciones son representaciones numéricas internas. Una sonda es un clasificador pequeño entrenado en ellas que reutiliza el cálculo, sin releer todo como tarea nueva. La cascada examina ampliamente y reserva juicio caro para una parte.
En el ensayo de hacking divulgado detectó 94% de sesiones maliciosas y escaló 8,7% de benignas. El segundo número también determina costes. Los falsos avisos consumen recursos; escalar poco por no detectar peligro no es éxito. Lea detección, errores y revisión juntos.
El alcance de las cifras
Cuatro sondas añadieron menos del 2% al tiempo hasta empezar respuesta, dice la empresa. No es latencia universal de cada acción ni coste total. Ahorrar frente a jueces grandes continuos no garantiza igual resultado en cada tráfico.
Otro ensayo de la guía logró 99% de recall con 1% de falsos positivos tras iteraciones. No combine estas cifras con 94% y 8,7% como garantía global. Son tareas, modelos, sondas y condiciones distintos.
La investigación de reward hacking informó 50–96% de ejecuciones en tres modelos abiertos y tres benchmarks. Es explotar evaluador o entorno para puntuar sin cumplir. Justifica investigar, no atribuir esa proporción a toda producción.
Señal interna no equivale a leer la mente
Ejemplos, capa, clasificador, agregación y umbral influyen. Se asocian patrones con conductas etiquetadas y se prueba su persistencia. Goodfire examinó una dirección de trampa y evasión, textos que reaccionan y cambios al amplificarla.
Supera palabras clave sin ofrecer intención completa legible. Correlación produce puntuación, no relato humano de creencias. Importa anticipar conducta suficientemente pronto.
Puede ayudar con registros breves, pero debe vincularse a la sesión correcta y actuar antes de la herramienta. Alerta tardía es evidencia; no revierte datos enviados ni destrucción.
Acceso como oportunidad y límite
Pesos abiertos y proveedores pueden exponer estados. El cliente API cerrada recibe salida y llamadas, no activaciones para sondas propias. El monitor privado no elimina controles externos y permisos.
Un artículo DeepMind de 2026 describe sondas operativas y aportes a detección Gemini. Apoya viabilidad, no transferencia de implementación.
Kimi K3 no garantiza otro modelo, ajuste o servicio. Cuantización, instrucciones y herramientas cambian distribución. Actualizar exige repetir pruebas.
Baseten opera numerosos clientes. La alianza de septiembre de Base Labs, Goodfire y Hugging Face mira modelos abiertos. Centralizar propaga buen control y también configuración débil.
Evasión, errores y pruebas pendientes
Entrenar con ataques conocidos no cubre lo nuevo. Adversarios buscan bajo umbral. Un estudio de colusión de septiembre encontró sondas fuertes resistentes al conocimiento de vigilancia, pero en juegos y episodios limitados. Adaptación por prompt no equivale a entrenar pesos contra el detector.
Investigación legítima y ataque comparten herramientas; biología segura y peligrosa, vocabulario. El umbral es elección de política. Registro, persona y bloqueo tienen distinto coste de error.
Los resultados principales son de Goodfire. Hace falta réplica independiente entre familias, idiomas, tareas largas y herramientas cambiantes. Producción debe informar omisiones, escaladas benignas, latencia, carga y actualizaciones.
La visión interna puede abaratar, sin reemplazar credenciales acotadas, aislamiento, red, logs y aprobación. El valor depende de señal, juicio e intervención a tiempo que eviten fallos sin inutilizar el trabajo legítimo.
La integración debe distinguir una advertencia guardada de una operación efectivamente detenida. Es necesario asociar la puntuación con la sesión y con el punto anterior a ejecutar la herramienta. Si los datos ya salieron del sistema, el aviso permite reconstruir el incidente, pero no constituye prevención.
La economía depende también de la mezcla de tráfico. Si cambian los usos legítimos o crecen los casos ambiguos, más sesiones llegarán al juez grande o al revisor humano. El coste de esas revisiones debe sumarse al de las sondas; medir el comienzo de la respuesta no basta para calcular la factura completa.
La colaboración de septiembre trata de evaluación y vigilancia de modelos abiertos. Su integración central permite distribuir controles útiles, pero también multiplica el alcance de un umbral mal calibrado; por eso los cambios del modelo y del servicio necesitan nueva validación.