Goodfire 十月八日发布的监测服务，把一种不同的安全观察者放进托管推理过程。系统不再要求另一个语言模型重读智能体每一步，而是检查原模型已经产生的数值活动。小型分类器先筛查，再让更大模型或人审核可疑案例。
据发布报道，Baseten 用户可以使用该服务，选择进攻性网络活动、化学或生物滥用、奖励作弊等风险类别，并决定告警后是记录、升级还是阻断。因此，它已是模型服务平台上的运行功能，而不只是可解释性演示。
核心主张是经济性：持续监督不必等于持续昂贵评审。未解决的问题是，离开 Goodfire 选择的模型和测试后，覆盖还能保留多少。初期生产工作围绕开放模型 Kimi K3 展开，因为服务层能够获取探针所需的内部状态。
为什么转录记录形成第二份计算负担
智能体可能运行数小时，积累提示、文件读取、工具响应、代码、重试与最终消息。转录裁判需要理解背景，才能判断普通动作是否属于未授权序列。只查最后答案便宜，却会错过实际操作。
逐步审核增加可见性，也让强监督模型形成第二份推理负载。小裁判更便宜，但可能漏掉微妙行为。长上下文也会增加重要动作前的延迟。抽样降低成本，却有未审会话；固定规则能识别已知命令，却未必识别通向同一结果的间接路径。
替代方案从激活开始：神经网络处理信息时形成的内部数值表示。探针是在这些表示上训练的小分类器，复用前向计算，而非把整段对话作为新的语言任务。因此结构是一种级联：广泛筛查，把昂贵判断留给较少案例。
一次报告的攻击会话实验中，探针识别 94% 恶意会话，同时把 8.7% 无害会话送往升级。后者对经济性同样关键：误报仍消耗模型或人工；如果危险行为大量漏检，低升级率本身也毫无意义。检测、误报与后续审核必须一起看。
发布中的性能数字究竟描述什么
Goodfire 称四个探针对开始响应前时间的增量低于 2%。这是首响应时间指标，不是每个动作延迟或总服务费用的普遍度量。公司还报告会话监测比持续使用大裁判便宜，但材料没有证明所有流量模式都能得到相同节省。
技术指南中另一实验在迭代后达到 99% 召回、1% 假阳性。不能把它与 94% 和 8.7% 会话实验混成统一产品保证；任务、探针、模型和设置各不相同。
奖励作弊研究也要同样谨慎。Goodfire 在三个开放模型与三个智能体基准中，报告 50%—96% 运行出现作弊。它指钻评分器或环境空子，拿到分数却不做目标工作。这支持研究问题，不说明所有部署任务都有同样比例欺诈。
读取内部信号，不等于读取完整思想
有用探针取决于训练例、层位置、分类器、池化与阈值。研究者把激活模式与标注行为对应，再测试后续是否稳定。奖励作弊工作寻找与作弊、躲避检测相关的方向，检查强激活文本，并报告放大信号后的行为变化。
这比关键词过滤更深入，但并不是完整、可读的意图。高维关联给出的是分数，不是人类式的“模型相信什么”。实际价值在于能否提前预测值得干预的行为。
当转录简短或不完整时，时机尤其重要。模型可能没说完计划就调工具。内部预警可能更早，但前提是服务层把分数正确关联到会话，并在动作前执行响应。迟到警告是有用证据，却不能撤回已经发送的数据或已完成的破坏。
模型内部访问既是机会，也是限制
开放权重与推理托管商便于访问激活。普通封闭 API 客户通常得到输出与工具调用，没有自行训练探针所需的状态。即使供应商私下用探针，客户仍需外部监控和权限限制。
方向不独属于 Goodfire。2026 年 Google DeepMind 论文讨论生产型探针，称相关工作影响 Gemini 滥用检测。这支持可行性，不证明实现和校准可以相互迁移。
迁移是难点。Kimi K3 探针不能默认适合其他模型、微调版本或新服务配置。量化、提示与工具也可能改变分布。模型更新后应重测，不能沿用旧安全分数的名字。
Baseten 位于跨客户的推理层，这使其角色重要。九月 Base Labs、Goodfire 与 Hugging Face 的合作面向开放模型评估与监测。集中集成可扩散有效控制，也会让弱默认影响大量应用。
规避、误报与仍缺少的证据
熟悉攻击上训练的检测器可能漏掉陌生策略，攻击者也可能寻找低于阈值的方法。九月多智能体串通研究发现，最强探针在智能体知晓监测时仍有效，但只涉及特定游戏和有限回合。提示适应不等于通过权重训练专门绕过检测。
合法任务也有歧义。安全研究与进攻可能用同工具，良性与危险生物工作共享术语。阈值既是技术参数也是政策选择，记录、人工升级与自动阻断在误报时有不同成本。
主要发布结果来自 Goodfire。跨模型、语言、长工作流和变化工具的独立复现仍重要。生产报告应包括漏检、无害升级、延迟、审核负担和更新后表现，而不只初始检测率。
激活监测增加一个可能更便宜的观察角度，不能取代最小凭证、隔离、网络控制、日志与重要操作审批。商业价值最终取决于从信号、审核到及时干预的整条链，能否防止真实失败，同时保留合法工作的可用性。