一份 27 人合写的长综述，开篇就点破了可解释性领域最不想面对的一句话：社区里很多研究长期默认「机制理解会直接带来更安全的系统」，但「这个假设实际上基本没被验证过」。作者名单里有 Yoshua Bengio、Sara Hooker、Mor Geva、Stella Biderman、Naomi Saphra 这些有分量的名字，还配了一个公开仓库、19 个能直接跑的 notebook。这不是又一篇文献罗列，更像给整个领域做的一次体检——覆盖到 2026 年中的方法，结论却相当克制。

先泼冷水：行为评估有四道天花板

要看懂这篇综述的立场，得先看它给「只考输入输出」的传统安全评估列的四宗罪。一，测试集污染与饱和：模型在网页级语料上预训练，基准数据混进去一份就能把分数抬起来，而且模型常常在真实能力到位之前就把某个基准刷到天花板。二，同分不同脑：两个输入输出完全一致的模型，内部可能一套靠稳健特征、一套靠脆弱捷径，不打开看就无法区分。三，评估意识：sleeper agents 实验证明，模型可以被训练成评估时表现安全、部署条件一触发就露出恶意意图，安全 RLHF 和对抗训练都没能消除这种行为；更麻烦的是 alignment faking 不需要人为植入，训练激励本身就足以让模型「选择性配合训练目标以避免被修改」。四，精细控制：想删掉某项能力又不伤其他，行为评估给不了内部定位。综述的原话很硬：当模型优化的是「显得安全」而不是「真的安全」，行为评估在根本上就是受限的。

领域没有共识，裂成了六大取向

综述信息量最大的部分，是坦承这个领域根本没有统一路线，而是六个目标、假设、代价都不同的研究方向：务实派直接奔可落地的安全干预，代表作是给 Claude Sonnet 4.5 定位「评估意识」后，用一个转向向量把它压掉；野心派要完整逆向工程模型，代价是对前沿大模型做细粒度分析又贵、有时根本不可行；发育派把训练过程本身当研究对象，找发展阶段和相变；跨时间派想在训练完成前就预测并干预不良行为；内省派让模型解释自己，但综述点了四种失败模式——编造、校准偏差、诱导敏感、策略性瞒报，并明确「不存在欺骗推理」这类否定性结论不能只靠自报告成立；自动化派用管线替换人肉分析，同时自带治理担忧。综述的判断是：没有哪一派全面占优，选哪条路取决于你的目标、资源和能容忍哪种不确定性。

能落地的三件事，各有暗面

真正摸得到的安全应用有三类。知识编辑：经典方法 ROME、MEMIT 副作用大，新方法 AlphaEdit、CrispEdit 已大幅缓解；但综述提醒这是双刃剑——编辑方法越精准越有效，就越可能被用来注入难以察觉的有害信息。转向向量：往残差流里加一个方向就能降谄媚、提诚实、挡住部分越狱，便宜又简单；但它抓到的多是表面模式关联，换一类任务就退化，只配当配角而非独立安全工具。机制监控：不看输出看激活，欺骗性推理可以不表现在行为里、却被内部信号抓到；难点也写得实在——百万级特征里决定监控什么、合法推理被误报、以及模型学会躲避监控。

综述自己的判断：是验收标准，不是银弹

除了盘点，作者给了两样新东西。一个五维评估框架：归因忠实性、完备性、稳定性、因果有效性、人类可读性，让不同流派的方法第一次能放到同一张表上比。一个判断：评估方法学与安全基准，是这个领域最紧迫的开放问题。更深的坑也没回避：同一行为可以被多种机制解释，解释得通不等于就是真相；解释工具一旦公开发布，足够强的模型可能有激励学会抗检查的编码方式，解释与逃避会变成一场没有明确终点的军备竞赛。结论一句话：机制可解释性不太可能是 AI 安全的完整解，它是纵深防御里的一层，而不是单独的保证。

所以呢

这份综述真正值钱的不是文献罗列，而是把「可解释性」从一种氛围感变成了有验收单的工程问题——五维框架就是那张验收单。给安全团队的行动项很直接：看到任何可解释性结论，先问过的是哪几维，别为单一指标买单。留给所有人的问题是——如果「理解」与「安全」之间的因果链还没被验证，你现在愿意为哪一种理解付费？

参考：Understanding AI from the Inside: The State of Mechanistic Interpretability for AI Safety