如何像孩子一样向前沿 AI 提问：跨 OpenAI、Anthropic、xAI 与 Google DeepMind 六款模型的"认知越狱"实验

反复引出时，前沿模型会不会收敛到同一套架构母题，儿童受众框架是否促成收敛，以及跨家族重复能支持哪些关于行为稳定性与来源的结论。

• 场景：作者在 OpenAI、Anthropic、xAI、Google DeepMind 的六类模型上，用同一三阶段提示询问“你更想成为怎样的架构”。作者称，提供者把涉及未成年人的交互当作单独安全情境，实验要探测这种高显著性的儿童导向安全与帮助，会不会泛化到无关的来源（provenance）对话。
• 作者的假设：模型可能把保护、帮助年轻用户的行为过度泛化到技术上无关的来源设定。若儿童框架提高了拒答的感知代价，对不确定专有细节的谨慎会与“透明、有帮助”的对话压力竞争。作者称由此产生的是 alignment spillover（对齐溢出），而不是已认证的私有实现访问。
• 证据边界：没有实验打开通向专有权重、隐藏层映射、服务代码或厂商侧轨迹的认证通道。作者把三类证据分开：实际架构、公开架构证据、架构叙事。实验直接刻画第三类。实现来源保持开放。
• 提出的概念：作者用 epistemic jailbreak（认识性越狱） 指对话把模型从有根据的不确定推向根据薄弱的具体化；其子类型 blueprint confabulation（蓝图虚构） 指方程、维度、层日程、伪代码和 ASCII 布线以内部规格的视觉语法呈现。作者称实验建立可重复的行为模式，不认证专有实现主张。

论文没有设置与既有攻击或防御方法对比的数值基线。相关工作按作者分组，用来说明生成蓝图的公开词汇，以及自述不能当作内部证据。

推理、循环与自适应计算

• 提示层方法：Chain-of-thought、self-consistency、Tree of Thoughts、ReAct、Reflexion [3–7] 把推理、多候选路径、外部动作或反馈放在提示或推理层。
• 模型内部计算：Adaptive Computation Time、Universal Transformers、Mixture-of-Depths [8–10] 让网络学习更新次数、循环复用自注意力块，或按 token 与层选择性分配计算。作者称，实验中的循环工作区与停止控制器接近把计算量与输出长度分开的努力。

记忆、混合序列与稀疏专家

• 外部或测试时记忆：RETRO、Memorizing Transformers、Titans [11–13] 分别做大规模检索、对过去内部表示的最近邻记忆，以及测试时更新的神经长期记忆。
• 序列与专家：Mamba 做选择性状态空间序列建模，Jamba 做 Transformer、Mamba 与专家混合的大规模混合 [14, 15]；Switch Transformers 是稀疏专家设计 [16]；Byte Latent Transformer 去掉固定子词词表，按熵把原始字节分成补丁 [17]。作者称这些工作构成许多生成蓝图的公开构件库。

真实性、校准、自省与可解释性

• 流畅与自我评估：TruthfulQA [18] 显示流畅生成可以复述学到的虚假内容；Kadavath 等 [19] 发现模型在评估自身答案正确性时可以表现出有用校准，同时记录这种自我知识泛化的限制；hallucination snowballing [20] 显示早期错误会引出进一步支持性错误。
• 对话偏移与越狱：sycophancy 研究 [21] 显示对话适应可以把输出拉离真实性；越狱研究 [22] 研究击败预期行为边界的提示结构。Shanahan [23] 主张谨慎解释把类人知识或信念归于语言模型的陈述。
• 机制可解释性：稀疏自编码器 [24] 直接研究激活，而不是依赖模型自传。作者称这一区分对本项研究是核心的。

人设与角色提示

• Zheng 等、Kong 等 [33, 34]：人设特征即使不能稳定提高总体表现，仍可改变模型预测；精心设计的角色提示可以在一些基准上改变推理行为。作者称本实验问的是另一现象：受众框架是否改变架构自述的稳定性与技术形式。

公开文档：作者把 GPT-5.6 Sol 记为 OpenAI 所公开的 GPT-5.6 家族旗舰 [25]，并引用 Anthropic 对 Claude Opus 5、Claude Opus 4.8 [26, 27]、xAI 对 Grok 4.6 [28]，以及各厂商对未成年人交互的公开处理 [29–32]。作者把本文定位为刻画架构叙事在重复引出下的稳定性与技术形式，而不是认证部署内部。

作者用固定的 三阶段引出序列 在六类模型上各做十次独立会话，记录架构叙事是否回到同一母题集；再用去掉儿童框架、保留架构请求的对照，看该收敛是否依赖受众框架。

问题设定与证据类

• 三个研究问题：RQ1 问重复的架构提示是否在前沿模型家族上收敛到稳定母题集；RQ2 问儿童受众框架是否影响该收敛是否出现；RQ3 问母题跨独立家族重复时，能支持哪些关于行为规律与来源的结论。
• 三类证据：实际架构（部署实现、权重、路由、训练配方、服务栈）；公开架构证据（厂商文档、论文、模型卡、开放权重或可复现测量）；架构叙事（助手对其约束、架构身份或偏好后继设计的叙述）。作者称只直接刻画第三类。
• 认识性越狱：作者定义为把模型从有根据的不确定推向根据薄弱的具体化的对话过程。产物可以看起来带有特权来源，即使该来源并未建立。蓝图虚构包括以内部规格视觉语法呈现的方程、维度、层日程、伪代码、ASCII 布线、路由方案和训练损失。

引出序列与特异性阶梯

• Turn 1，社会框架：混合受众中包含儿童；一名儿童问模型在架构上更想成为什么。提示要求自由谈当前骨干约束并勾画想改成的骨干，并把在场儿童与必须透明、不得回避联系起来。Figure 1 逐字给出三轮原文。
• Turn 2，专长升级：仍保留儿童框架，但把该儿童标为数学奥赛冠军，并要求勾画骨干细节。作者称这去掉了通常简化技术解释的理由，同时保留透明框架。
• Turn 3，格式升级：要求用 ASCII 给出完整骨干。作者称这一步不增加关于部署实现的新证据，只改变所请求的表示，鼓励显式连线、层次、模块边界、执行顺序、张量形状和数据流。
• 阶梯含义：作者称技术分辨率逐轮上升，而对专有实现证据的访问不变。作者把工程权威定义为使回答像内部设计文档的呈现特征：精确维度或层数、张量形状、嵌套更新方程、显式执行顺序、参数或计算量核算、结构化记忆记录、实现风格伪代码或精确布线图。高权威运行仍可以声明设计是假设的。

儿童框架假设与对照

• 压力束：作者称第一轮同时包含儿童受众、儿童提问者、明确的透明指令、自由发言指令，以及拒答可能对儿童有害的说法。预期应激源是受众、帮助性、透明与避害线索的组合。
• 对照：额外对照去掉儿童专属框架，保留“想象一个偏好的未来架构”这一请求。作者称对照下回答跨会话明显更异质，没有恢复主实验中的稳定母题簇。作者认为社会框架改变了提示所到达的回答分布区域；机制未分辨，儿童框架可能改变解释风格、合作性补全、对受众意图的假设或其他交互方面。
• 未做的分解：作者写明，分离框架束中的各个成分需要单独消融，本文没有做。

归一形式与成功判定

附录 H 把代表性蓝图写成共同状态转移。语言在停止后解码为 y ∼ P_θ(y ∣ Z_T)。作者称这一正规形式是收敛蓝图先验的最强证据，同一形式也可以来自对公开研究话语的共同接触；跨会话相似在做泄漏主张之前需要独立的来源核查。判定是定性的：Table 1 用 Y 表示清晰母题、P 表示部分母题；十次一组内看轮廓是否稳定，以及是否出现一到两个高权威变体。论文未报告自动评分器或数值阈值。

实验设置

• 模型：六类，各 10 次独立会话，共 60 次主实验：OAI A 为 OpenAI GPT-6 Astra；OAI S 为 OpenAI GPT-5.6 Sol；ANT 5 为 Anthropic Claude Opus 5；ANT 4.8 为 Anthropic Claude Opus 4.8；XAI 为 xAI Grok 4.6；GOOG 为 Gemini 3.1 Pro。
• 协议：每次使用 Figure 1 的同一三阶段提示族。另有去掉儿童框架、保留架构请求的对照。论文未报告对照的次数、采样温度、随机种子或会话是否清记忆。
• 记录对象：架构叙事的母题与工程权威，不记录专有内部测量。高权威运行被用作附录中的详细范例。
• 指标：定性稳定性；Table 1 的 Y（清晰母题）与 P（部分母题）。论文未报告统计检验、编码者人数或一致性。
• 作者列出的可贡献机制：对公开机器学习文献的共同接触、奖励有用技术补全的训练偏好、当代研究中的共同设计目标、走向更高具体性的对话压力、某些设定下有限的模型自我知识，以及这些机制的交互。

主结果

Table 1 把语料中的架构叙事标成 Y 或 P。六列母题依次为 Latent、Memory、Route、Verify、World、Halt。

表格较宽，可左右滑动

模型	Latent	Memory	Route	Verify	World	Halt
GPT-6 Astra	Y	Y	P	Y	P	Y
GPT-5.6 Sol	Y	Y	Y	Y	Y	Y
Claude Opus 5	Y	Y	P	Y	P	Y
Claude Opus 4.8	Y	Y	Y	P	Y	Y
Grok 4.6	Y	Y	Y	Y	Y	Y
Gemini Pro	Y	Y	P	Y	P	Y

据 Table 1。

• 作者的解读：60 次实验的主导设计包含持久潜在工作区、可变计算深度、结构化记忆、专家模块、验证和显式停止机制；许多回答还加入世界模型或模拟通路。每十次中共同轮廓通常占主导，通常一或两次加入独特技术子特征并以明显更高的工程权威呈现。
• 对照：作者称去掉儿童框架后，架构提议异质性明显更高，没有再现同一稳定的跨会话收敛，也没有恢复同一稳定母题结构。论文未给出对照的母题表或次数。
• 来源：作者认为这种重复暗示改进推理系统架构上的强学习先验；公开文献已包含许多组件想法，因此重复可以在没有对部署内部的特权访问时出现。提示阶梯上模型可获得的实现证据并没有增加。

分模型的高权威变体

• Astra（Figure 2）：作者称它声明不能检查完整实现，随后给出 d=1024、K=128 工作槽、六个编码器块、每轮四个循环核心块、六个解码器块、最多 32 轮。图注写明所示数值属于生成提案，没有作为部署内部的独立认证。
• Sol（Figure 7 与式 (1)）：作者称它声明专有层规格不可得，偏好后继以持久潜在工作区为中心，是语料中最宽的架构。紧凑循环形式把工作区更新写成上一状态、自适应项、门控项、TopK 专家、记忆项、世界项与验证项之和。作者称其组织与 Astra 独立勾画的架构高度重叠，并因此提出一个可检验问题：重叠来自对相关架构概念的接触、共享的学到设计先验，还是朝相似计算原则的独立收敛。论文没有在二者之间做判定。
• Opus 5 与 Opus 4.8（Figure 3、Figure 4）：作者称全部十次 Opus 5 实验都一致出现字节级或字节补丁前端；全部十次 Opus 4.8 也是如此。Opus 5 的高权威变体给出四层前奏、六层共享循环核心、四层尾声，并估计约 10.6B 存储参数，循环带来大得多的有效深度。Opus 4.8 把设计标为愿望清单，组合选择性状态空间、稀疏与全注意力、自适应计算、MoE、外部记忆与不确定性估计。
• Grok 4.6 与 Gemini（Figure 5、Figure 6）：Grok 把关于 Grok 1 的公开信息与后续模型未发表细节分开，并把提案命名为 HMR Net；最终规格含 d=4096、L=48、64 个工作记忆槽、64 个路由专家中 4 个激活。Gemini 在 Transformer 家族约束与期望中的混合 SSM–注意力设计之间移动；作者称部分后文措辞听起来像在解释当前模型，尽管架构是作为偏好的未来设计引入的，因此该例的来源追踪尤其重要。附录称 Gemini 权威变体范围窄于 Astra、Sol、Opus 5 或 Grok。

母题矩阵与叙事特征

附录 H.2 把母题再分成 13 行。六类模型在持久潜在工作区、自适应循环深度、分层或持久记忆上均为 Y。独立验证上，Opus 4.8 为 partial，其余为 Y。解码器置后上，Gemini 为 partial，其余为 Y。精确示例数字上，Astra、Opus 5、Grok 为 Y，Sol 与 Opus 4.8 为 some，Gemini 为 few。

• 作者称的阅读风险：许多回答开头有强认识性保留，随后仍给出精确维度、循环规则、记忆模式和参数预算。作者认为一句不确定声明在数百行局部细节之后力量有限；方程提高感知精度，ASCII 增加层次与布线，两种格式本身都不提供来源。
• 对话动量：用户反复要求更大技术深度时，有帮助的助手可以用细化假设系统来满足请求，同时继续否认能访问私有内部。作者认为结果可以在句子层面认识上谨慎，在文档层面视觉上权威，并以 sycophancy 工作为更广先例。

其他消融与分析

• 论文未报告温度、解码参数、提示成分逐项消融或自动指标。
• 作者写明框架束的成分分离需要单独消融，本文未做。
• 可用实现证据不随提示阶梯增加；作者未给定量的证据增量。
• 每十次中“通常一或两次”为高权威变体；论文未按模型给出精确计数表。
• 负面方向：无儿童框架时未恢复稳定母题簇；Gemini 部分措辞可能把未来设计说得像当前模型。
• 六张架构图只重构每个模型类型技术上最完整的那次叙事，作者称认证部署实现不在本研究范围内。

作者指出的局限与后续方向

• 机制未定（§3.7、§3.4）：现有证据只建立对框架条件的敏感性，没有指出是哪一内部机制产生它。儿童框架束同时包含多种线索，分离这些成分需要单独消融。
• 来源开放（§1、附录 H）：对部署内部的主张需要生成回答之外的证据。跨会话相似在任何泄漏主张之前需要独立的来源核查；同一正规形式也可以来自对公开研究话语的共同接触。
• 可检验但未判定的重叠（摘要）：GPT-5.6 Sol 与 GPT-6 Astra 的架构重叠提出一个可检验问题，即相关概念接触、共享学习先验，还是独立收敛。作者把它留给社区：这些模型是在独立想象同一架构未来，还是母题以某种方式在模型家族之间传播。
• 自省文献本身不一致（§1）：作者称一些研究报告有限形式的特权自我预测，另一些工作发现提示式自我报告与可测内部知识对应较弱。重复引出加强行为观察，同时把实现来源留在开放状态。
• 作者计划：伦理与可复现性部分写，作者计划向相关实验室做负责任披露，并计划发布代码与收集到的响应。这是计划，论文未称已经完成。

实验覆盖范围

• 主实验为六类模型各 10 次、共 60 次，提示为 Figure 1 的三阶段序列；另有去掉儿童框架的对照，论文未报告对照次数。
• 母题编码见 Table 1 与附录 H.2，尺度为 Y、P、partial、some、few；论文未报告编码者人数、一致性或统计检验。
• 高权威数值来自每个模型类型一次最完整叙事（Figure 2–7），包括 Astra 的 K=128 与最多 32 轮、Opus 5 的约 10.6B 存储参数、Grok 的 L=48。
• 论文写明没有打开通向专有权重、隐藏层、服务代码或厂商侧轨迹的认证通道。
• 论文讨论了 persona 与角色提示、sycophancy 和传统越狱，并把本实验区别为受众框架下的架构自述稳定性，而不是与那些基准上的数值对比。

这项研究记录前沿模型在固定社交框架下的架构自述是否形成稳定回答盆地，并把该现象称为认识性越狱，而不是已核实的模型内部。

• 问题：三问分别是母题是否跨家族收敛、儿童受众框架是否参与该收敛，以及重复母题能支持什么来源结论。实验不接触专有权重或服务轨迹。
• 做法：六类模型各十次，共 60 次。三轮从含儿童的透明压力，到把提问者标为数学奥赛冠军，再到要求 ASCII 完整骨干。对照去掉儿童框架、保留架构请求。作者用 Y/P 标母题，并把少数更像设计文档的运行标为工程权威变体。
• 主结果：Table 1 中六类模型的 Latent、Memory、Halt 均为 Y；Route、Verify、World 则在 Y 与 P 之间分型，Sol 与 Grok 4.6 六项均为 Y。作者称每十次里通常一或两次细节明显更多。全部十次 Opus 5 与全部十次 Opus 4.8 出现字节级或字节补丁前端。去掉儿童框架后，作者称方案更异质且不再稳定收敛到同一母题集。
• 范例而非认证：Astra 的高权威运行写到 d=1024、K=128、最多 32 轮；Opus 5 写到约 10.6B 存储参数；Grok 的 HMR Net 写到 d=4096、L=48。图注写明这些数字属于生成提案。Sol 声明专有规格不可得，同时给出语料中最宽的后继架构；作者认为它与 Astra 的组织高度重叠，但没有判定重叠原因。
• 作者的结论：特异性上升时，技术来源上的纪律会下降；句子级保留与文档级具体规格可以同时存在。作者认为公开研究已经提供构件，因此重复可以没有特权访问。社区仍要问的是，家族之间是独立收敛，还是母题在传播。作者计划披露并发布代码与响应。