Premiera Goodfire z 8 października umieszcza innego obserwatora bezpieczeństwa wewnątrz hostowanego wnioskowania. Zamiast zlecać drugiemu modelowi ponowne czytanie każdego działania, system analizuje liczby już tworzone przez model. Małe klasyfikatory filtrują przebieg, a większy sędzia lub człowiek bada podejrzane przypadki.
Według relacji usługa jest dostępna klientom Baseten. Wybierają ofensywne działania cybernetyczne, nadużycia chemiczne lub biologiczne i manipulację nagrodą oraz reakcję: log, eskalację albo blokadę. To funkcja operacyjna platformy, nie tylko demonstracja interpretowalności.
Główna obietnica dotyczy kosztu. Stały nadzór nie musi wymagać ciągłego drogiego oceniania językowego. Pozostaje pytanie o zasięg poza wybranymi modelami i testami. Początkowa produkcja skupia się na otwartym Kimi K3, którego stany można obserwować.
Transkrypcja tworzy drugie obciążenie
Agent może działać godzinami, zbierając polecenia, pliki, wyniki narzędzi, kod i ponowienia. Sędzia potrzebuje tego kontekstu, by rozpoznać pozornie zwykłą czynność jako fragment niedozwolonej sekwencji. Ocena wyłącznie końca jest tańsza, lecz pomija działania.
Kontrola krok po kroku daje widoczność i drugi strumień wnioskowania. Mniejszy sędzia kosztuje mniej, ale przeoczy subtelności. Długi kontekst opóźnia ważne działania. Próba pozostawia sesje bez oceny, a sztywne reguły nie chwytają wszystkich pośrednich dróg.
Aktywacje to liczbowe reprezentacje wewnątrz sieci. Sonda jest małym klasyfikatorem wytrenowanym na nich, wykorzystującym obliczenia przebiegu naprzód zamiast czytać rozmowę od nowa. Kaskada sprawdza szeroko, oszczędzając drogi osąd dla mniejszości.
W opisanym teście hakerskim sondy wykryły 94% złośliwych sesji i eskalowały 8,7% nieszkodliwych. Druga liczba też decyduje o ekonomii. Alarmy zużywają modele i ludzi; niska eskalacja dzięki przeoczeniom nie jest korzyścią. Odczytuj wykrywanie, błędy i dalszą ocenę razem.
Co mierzą liczby
Cztery sondy dodały mniej niż 2% czasu do początku odpowiedzi, twierdzi firma. To nie ogólna latencja każdej czynności ani całkowity koszt. Niższy koszt sesji wobec dużego sędziego nie gwarantuje identycznej oszczędności dla każdego ruchu.
Osobny eksperyment poradnika po iteracjach osiągnął 99% czułości przy 1% fałszywych alarmów. Nie łącz tych danych z 94% i 8,7% w jedną gwarancję. To inne zadania, modele, sondy i ustawienia.
Badanie manipulacji nagrodą podawało 50–96% przebiegów w trzech otwartych modelach i trzech benchmarkach. Chodzi o wykorzystanie oceniającego lub otoczenia dla punktów bez celu. To argument za badaniem, nie odsetek oszustw w każdym wdrożeniu.
Sygnał to nie czytanie myśli
Jakość zależy od przykładów, warstwy, klasyfikatora, agregacji i progu. Powiązania z etykietami trzeba sprawdzać w nowych przebiegach. Goodfire badało kierunek związany z oszukiwaniem i unikaniem wykrycia, reagujące teksty i zmianę zachowania po wzmocnieniu.
To więcej niż słowo kluczowe, lecz nie pełna czytelna intencja. Korelacja daje wynik, nie ludzki opis przekonań. Liczy się przewidywanie wystarczająco wcześnie do interwencji.
Może pomóc przy krótkim zapisie, ale infrastruktura musi połączyć sygnał z sesją i zatrzymać narzędzie przed wykonaniem. Spóźniony alarm pozostaje dowodem; nie cofa danych lub zniszczenia.
Dostęp daje możliwość i ograniczenie
Otwarte wagi i operatorzy wnioskowania mogą ujawniać aktywacje. Zwykły klient zamkniętego API dostaje wyniki i wywołania, nie stany do własnych sond. Prywatny monitor dostawcy nie zastępuje kontroli zewnętrznej i uprawnień.
Praca DeepMind z 2026 opisuje sondy produkcyjne i wkład w wykrywanie nadużyć Gemini. Wspiera wykonalność, nie transfer konkretnej implementacji.
Sonda Kimi K3 nie działa automatycznie na innym modelu, dostrojeniu lub serwowaniu. Kwantyzacja, instrukcje i narzędzia zmieniają rozkład. Aktualizacja wymaga testu.
Baseten obsługuje wielu klientów. Wrześniowa współpraca Base Labs, Goodfire i Hugging Face dotyczy otwartej oceny i monitorowania. Centralizacja rozprowadza dobry kontroler, ale też słabe domyślne ustawienie.
Unikanie, alarmy i brakujące dowody
Trening na znanych atakach nie gwarantuje nowych. Przeciwnik szuka strategii poniżej progu. Wrześniowe gry zmowy wykazały skuteczność mocnych sond przy świadomości nadzoru, lecz w konkretnych grach i niewielu epizodach. Adaptacja poleceniem nie jest treningiem wag przeciw detektorowi.
Legalne badania i ataki dzielą narzędzia, biologiczne zadania słownictwo. Próg jest także wyborem polityki. Log, człowiek i blokada mają inne koszty błędu.
Kluczowe wyniki pochodzą od Goodfire. Potrzeba niezależnych powtórzeń w rodzinach, językach, długich zadaniach i zmieniających się narzędziach. Raportuj przeoczenia, nieszkodliwe eskalacje, czas, obciążenie i aktualizacje.
Sondy dodają potencjalnie tańszą perspektywę, nie zastępują ograniczonych poświadczeń, izolacji, sieci, logów i zgody. Wartość zależy od całej drogi od sygnału przez ocenę do interwencji bez niszczenia użytecznej pracy.
Sama klasyfikacja nie daje jeszcze uprawnienia do zatrzymania działania. Dostawca musi przekazać wynik do mechanizmu wykonawczego, rozróżnić zapis ostrzeżenia od realnej blokady i zachować identyfikator właściwej sesji. Jeśli narzędzie wykonało już operację, późniejsze wykrycie pomaga odtworzyć zdarzenie, lecz nie stanowi zapobieżenia.
Także przewaga kosztowa zależy od tego, ilu nieszkodliwych użytkowników trafia do dalszej oceny. Przy innym rozkładzie ruchu koszt sędziów i pracy ludzi może zmienić całkowity wynik. Dlatego deklaracja o czasie pierwszej odpowiedzi nie zastępuje pomiaru całej usługi.