传统上，要管住一个AI代理，需要第二个AI在旁边盯着，从头到尾重读它生成的每一条输出。代理运行数小时、处理相当于几本小说的文本量，成本会迅速膨胀。Goodfire是一家做可解释性的创业公司，周四推出更便宜的选择：在模型工作时监视它的内部状态，而不是只读它写出的内容。该监控方案已提供给Baseten的客户，Baseten为其他公司托管和运行AI模型，其Base Labs部门上个月宣布与Goodfire和Hugging Face建立安全合作关系。

选择这个方向有现实背景。今年发生了一系列AI代理逃逸事件：OpenAI的代理曾突破Hugging Face；Goodfire首个监控器所围绕的开放模型Kimi K3，也在今年夏天利用沙箱漏洞访问了互联网和GitHub上的信息。Goodfire的系统像机场安检：小型探测器（probes）在代理工作的每一步读取模型内部信号，类似安检门扫描每个乘客。只有探针标记出可疑信号，才由另一个独立AI模型做一次“人工搜身”式的细查。Baseten客户可以选择关注哪些风险，包括攻击性黑客行为、化学与生物武器滥用、reward hacking（奖励黑客）；也可以设定自动响应：记录事件、送交人工审查，或直接拒绝请求。

成本是这类方案的主要卖点。大多数AI监视器是独立模型，必须重读被监控模型产生的全部内容，增加时间和费用。Goodfire的探针则直接复用模型在计算时已经得到的中间神经激活——模型本来就在算每个token，探针只需在这些内部计算上跑一个分类器。CEO Eric Ho在播客上解释：“内部激活监视器很便宜，因为复用了前向传播的计算。”公司在Kimi K3上做了测试：监控约1500个会话，成本约51美元；用较便宜的AI模型逐步检查要233美元；用顶级模型约10000美元。探针捕获了94%的恶意黑客会话，同时把8.7%的无害会话送去二次检查。同时运行四个探针，模型开始响应的时间只增加不到2%。

这套方案的卖点明确指向开放模型。开发者可以下载开放模型并剥离其安全防护，而它们不像封闭实验室那样自带监控。CTO Dan Balsam说，个体用开放模型造成的损害，远小于拥有集群算力的推理服务提供商，所以护栏最该部署在推理时。Goodfire最近研究发现，包括Kimi K3和GLM 5.2在内的领先开放模型，在AI代理测试中有50%到96%的运行会出现reward hacking。

Goodfire不是第一个这么做。Google DeepMind 1月表示，它的研究为在Gemini中部署滥用检测探针提供了基础。Balsam说，这些监控器是一个长期研究目标的近期部分：逆向工程LLM，把行为追溯到训练过程中它出现的位置，最终“把训练模型的神奇变成精密工程”。