A estreia da Goodfire em 8 de outubro coloca outro observador de segurança dentro da inferência hospedada. Em vez de um segundo modelo reler cada ação, o sistema examina atividade numérica já produzida. Classificadores pequenos fazem a triagem, e um juiz maior ou uma pessoa analisa suspeitas.
Segundo a cobertura, clientes Baseten podem selecionar atividade cibernética ofensiva, uso indevido químico ou biológico e manipulação de recompensa. Também escolhem registrar, escalar ou bloquear. É uma função operacional, não apenas demonstração de interpretabilidade.
A promessa é econômica: supervisão contínua não precisa de revisão linguística cara em todos os passos. Falta saber quanto funciona fora dos modelos escolhidos. O trabalho inicial de produção concentra-se no Kimi K3 aberto, com acesso aos estados necessários.
A transcrição vira outra carga
Uma execução pode durar horas, acumulando instruções, arquivos, respostas, código e tentativas. O juiz precisa de contexto para identificar ação aparentemente comum dentro de uma sequência não autorizada. Olhar só o fim custa menos e perde comportamento.
Revisar passo a passo cria outra inferência. Um juiz menor pode perder sutilezas; o grande exige custo e tempo. Históricos longos atrasam ações importantes. Amostragem deixa sessões sem exame, e regras fixas não cobrem todos os caminhos indiretos.
Ativações são representações numéricas internas. Uma sonda é um classificador pequeno treinado nelas. Reutiliza o cálculo do modelo, sem transformar o histórico em nova tarefa linguística. A cascata examina tudo e reserva julgamento caro a uma parcela.
No teste divulgado de hacking, detectou 94% das sessões maliciosas e encaminhou 8,7% das inofensivas. O segundo número define custos: alarmes usam modelos ou pessoas. Escalar pouco porque perigos foram ignorados não é eficiência. Detecção, falsos alertas e revisão precisam ser analisados juntos.
O alcance real dos números
Quatro sondas acrescentaram menos de 2% ao tempo até começar a responder, diz a empresa. Não é medida universal da latência de cada ação nem do custo total. Sessões mais baratas que juízes grandes contínuos não garantem economia idêntica em todo tráfego.
Outro experimento do guia atingiu 99% de recall a 1% de falsos positivos após iterações. Não misture isso com 94% e 8,7% como garantia única: modelos, tarefas, sondas e condições diferem.
A pesquisa de reward hacking relatou 50–96% de execuções em três modelos abertos e três benchmarks. Significa explorar avaliador ou ambiente para pontuar sem cumprir o objetivo. Apoia investigar, não afirmar igual proporção em qualquer agente implantado.
Sinal interno não é leitura da mente
Exemplos, camada, classificador, agregação e limiar determinam qualidade. Pesquisadores associam estados a comportamentos rotulados e testam persistência. Goodfire procurou direção ligada a trapaça e evasão, examinou textos que a ativam e relatou mudanças ao amplificar o sinal.
Isso vai além de palavra-chave, mas não entrega intenção completa e legível. Correlação de alta dimensão produz pontuação, não narrativa sobre crenças. A questão operacional é prever cedo o bastante para intervir.
Pode ajudar quando o histórico é incompleto. Mas o serviço deve ligar sinal à sessão correta e aplicar a resposta antes da ferramenta. Alerta tardio é evidência, não desfaz envio de dados ou destruição concluída.
Acesso interno abre e limita
Pesos abertos e provedores de inferência podem expor ativações. Cliente comum de API fechada recebe saída e chamadas, não estados para sondas próprias. Mesmo com monitor privado do fornecedor, precisa de observação externa e restrições.
Um artigo DeepMind de 2026 descreve sondas operacionais e contribuição à detecção de abuso Gemini. Mostra viabilidade, não transferência entre implementações.
Uma sonda Kimi K3 não vale automaticamente para outro modelo, ajuste ou serviço. Quantização, instruções e ferramentas alteram distribuição. Atualizar requer novo teste, não preservar uma nota antiga.
A Baseten opera muitos clientes. A parceria de setembro entre Base Labs, Goodfire e Hugging Face mira modelos abertos. Integração central distribui bom controle, mas também amplifica um padrão fraco.
Evasão, falsos positivos e provas ausentes
Treinar em ataques conhecidos não cobre estratégias novas. Adversários podem buscar abaixo do limiar. Um estudo de setembro de conluio multiagente achou sondas fortes eficazes sob monitoramento conhecido, mas em jogos e episódios limitados. Adaptação por prompt não equivale a treinar pesos contra o detector.
Pesquisa legítima e ataque compartilham ferramentas; biologia segura e perigosa compartilham termos. O limiar é escolha de política. Registro, pessoa e bloqueio têm custos diferentes quando erram.
Resultados centrais são da própria Goodfire. Replicação independente entre famílias, idiomas, tarefas longas e ferramentas mutáveis continua necessária. Dados produtivos devem incluir omissões, escaladas inofensivas, latência, carga e comportamento após atualizações.
Ativações acrescentam uma visão talvez mais barata. Não substituem credenciais restritas, isolamento, rede, logs ou aprovação. O valor vem da cadeia inteira de sinal, julgamento e intervenção oportuna, prevenindo falhas sem inutilizar trabalho legítimo.