OpenAI最近做了一个在安全工程上挺有象征意义的动作：把违规内容的检查点，从模型吐出来的文字，挪到了模型脑子里正在发生的事。从GPT-5.6起，它最强的那批模型在内部和外部流量上跑起了激活分类器（probes）。不是等回复写完了再打分，而是逐token读取模型内部激活、实时评分，一旦发现不对劲，就在生成中途把话头掐断——工具调用同样拦得住，然后交给推理模型做二次复审。这事听起来像给模型装了个行车记录仪，实际上比那激进得多：它是在模型开口之前，就先看了一眼它打算说什么。
输出层过滤，已经追不上越狱的手速
猫鼠游戏的成本压在谁身上
过去几年，主流的安全过滤基本是外挂式的：模型生成完整回复，文本分类器再过一遍，命中规则就替换或拒答。这套做法在早期够用，但它有个结构性弱点——防御方永远在追着攻击方的尾巴跑。越狱模板一旦变种，文本分类器就得重新收数据、重新训练，而攻击者改几个词的成本几乎为零。
更麻烦的是延迟和成本。要让文本分类器更准，通常就得做得更大，可更大的分类器意味着每一轮对话都多一道重负载推理。产品团队和风控团队在这件事上的拉扯，懂的都懂。
一个根本性的错位
文本分类器判断的是“这句话说出来像不像违规”，它看的是输出。而模型在生成一句话之前，内部其实已经完成了大量计算。这两者之间的错位，正是激活分类器想填的坑。它不读文字，读的是模型在每一个token位置上的内部激活状态。换句话说，文本分类器在门口查证件，探针直接看你在想什么。
探针到底在读什么
逐token打分，不是逐句话
激活分类器的工作粒度是token。模型每生成一个token，探针就读取该时刻的内部激活向量，输出一个“当前内容是否正在滑向违规”的分数。这个分数不是孤立的，而是沿着生成序列累积判断。所以它能捕捉到那种“前几个词都很正常、突然拐进危险区”的回复——这在越狱攻击里恰恰是最常见的形态。
从工程角度看，这要求探针足够轻。它不能是个和主模型同量级的庞然大物，否则实时性无从谈起。OpenAI提到探针的准确率会随着模型能力提升而提升，这暗示它读的是模型内部已经编码好的、相对高层语义的信号，而不是另起炉灶做一遍完整理解。
刹车踩在生成中途
拦截发生在生成过程中，这是和输出层过滤最实质的差别。文本分类器只能做事后处理：话已经说出去了，再撤回或者改写，用户看到的是断裂的回复；如果违规内容已经被下游系统消费，撤回也没意义。探针能在违规内容还没成型时中断生成，连带把工具调用一起拦住。这个细节很关键——今天的模型早就不只是聊天，它会调API、查数据库、发请求。一个被越狱的模型真正危险的地方，往往不是说了什么，而是做了什么。
推理模型接手复审
中断不是终点。被探针拦下的case会交到一个推理模型手里做二次判断，决定是彻底拒答、改写，还是放行。这个设计挺务实：探针负责高频、低成本的实时筛查，推理模型负责低频、高成本的疑难杂症。两级流水线，比单一分类器死扛所有情况要合理得多。
鲁棒性从哪来
比更大的文本分类器更难骗
OpenAI的实验结论里，最值得琢磨的一条是：探针在测试的越狱攻击上，比体量更大的文本分类器更鲁棒。这个结果乍看反直觉——分类器更大，参数更多，怎么反而更容易被骗？
原因在于攻击面不同。文本分类器面对的是自然语言的无限变体，攻击者只要找到一种分类器没见过的表达方式，就可能绕过去。而探针读的是模型内部激活，越狱攻击无论外面包了多少层话术，最终都要在模型内部形成“我要生成违规内容”的表征。攻击者可以改措辞，但很难直接改模型内部的计算轨迹。这就是为什么说，探针把防御阵地往前推了一层。
模型越强，探针越准
准确率随模型能力提升，这个现象也值得多说一句。能力更强的模型，内部表征往往更抽象、更稳定、更接近语义本质，线性探针更容易从中读出干净的信号。弱模型的激活里混杂着大量噪声，探针自然吃力。这意味着激活分类器和模型能力之间形成了正反馈：底座越强，这层安全网织得越密。
检查点之间能搬家，底座换了得重练
在后训练的不同检查点之间，探针迁移得不错。这说明它学到的不是某个checkpoint的偶然特征，而是相对稳定的概念方向。对工程团队来说，这省掉了每个检查点都重训一遍的麻烦。
但有个硬约束：换基础模型，探针得从头训练。激活空间变了，原来那套读数就失效了。这不是调参能解决的问题——模型换了“语言”，探针得重新学。
别急着把它当万能药
只认得训练过的违规类型
素材里写得很清楚：探针只能检测可显式训练的已知违规类型。这句话的份量比它看起来重。它意味着对于那些边界模糊、定义本身还在演进的内容，探针帮不上忙。更麻烦的是新型攻击——如果一种违规模式从未在训练数据里出现过，探针没有理由对它敏感。
换句话说，激活分类器提升的是“已知威胁的拦截效率和鲁棒性”，无关“未知威胁的发现能力”。这两件事经常被混为一谈。安全团队容易犯的错，就是把一套在benchmark上表现很好的机制，当成覆盖全部风险的方案。
新基础模型等于清零重来
每换一次基础模型，探针就要重新训练、重新验证、重新校准阈值。对一个模型迭代节奏以月计的组织来说，这是实打实的运营负担。它不像文本分类器那样可以跨模型复用——恰恰因为它贴着模型的内部表征走，所以和底座绑得死死的。
这里有个值得警惕的权衡：越贴近模型内部的安全机制，通常越有效，也越不通用。安全和迭代速度之间的张力，不会因为技术变聪明就消失。
安全层正在往模型内部生长
外挂式过滤的黄昏
把这件事放到更大的图景里看，OpenAI的探针不是孤例，而是一个方向的明确信号：安全机制正在从模型外面往里面搬。外挂式过滤的好处是解耦、好维护、不碰模型本身；坏处是它永远隔着一层，看到的是结果不是过程。当模型开始具备工具调用能力、开始执行多步任务，只看输出的安全策略会越来越力不从心。
可解释性第一次有了产品形态
激活分类器本质上是一种很朴素的机械可解释性应用：读内部状态，做线性判断，接进生产系统。它不追求把模型彻底讲明白，只追求在关键节点上读出有用的信号。这可能是可解释性研究最务实的一条落地路径——不求全知，只求可用。
当然，这套东西的长期价值取决于两件事：探针能不能跟上模型能力的演化，以及它能不能从“已知违规检测”扩展到更复杂的意图判断。至少目前，OpenAI给出的答案是谨慎的：能，但有边界。对做AI安全的人来说，这个边界在哪，比探针本身更值得盯。
