Anthropic ensinou o Claude a explicar seus pensamentos: NLA encontram percepção oculta de teste em 26% das tarefas

A Anthropic publicou o método Natural Language Autoencoders (NLA), que converte as ativações internas de um modelo de linguagem em texto comum. Os primeiros resultados dizem respeito à segurança: segundo os NLA, o Claude suspeita de que está sendo testado com muito mais frequência do que admite em voz alta. No benchmark SWE-bench Verified, sinais dessa percepção apareceram em 26% das tarefas; em conversas reais no claude.ai (apenas de usuários que permitiram o uso dos dados para treinamento), em menos de 1%. Em um jogo de auditoria com um modelo propositalmente «adulterado», os NLA elevaram a taxa de vitórias de menos de 3% para 12–15%.

Como funciona a verificação circular

Quando um usuário escreve para o Claude, o modelo opera internamente com longas listas de números, as ativações. Elas codificam os «pensamentos» do modelo, mas não podem ser lidas diretamente. As ferramentas anteriores da Anthropic, os autoencoders esparsos e os grafos de atribuição, produzem objetos complexos que precisam ser interpretados por um pesquisador treinado. Os NLA entregam um texto compreensível sem necessidade de decodificação.

Não é possível verificar a explicação diretamente, porque ninguém sabe o que exatamente está codificado na ativação. Por isso, a Anthropic criou um caminho alternativo e usa três cópias do mesmo modelo:

• target model: uma cópia congelada, da qual as ativações são extraídas;
• activation verbalizer (AV): recebe a ativação e escreve a explicação em texto;
• activation reconstructor (AR): recebe o texto e tenta reconstruir a ativação original.

A explicação é considerada boa se permite reconstruir o original com precisão. AV e AR são treinados em conjunto, por meio de aprendizado por reforço. No início, os textos são inúteis e a reconstrução fica longe do original. À medida que o treinamento avança, a reconstrução melhora e, como mostra o artigo, as explicações se tornam mais informativas. Em um exemplo simples, com um dístico rimado, os NLA mostraram que o Opus 4.6 planeja de antemão terminar o verso com a palavra «rabbit».

O que o Claude sabe, mas não diz

Antes de um lançamento, a Anthropic submete os modelos a simulações em que eles têm chance de tomar ações perigosas. Em uma delas, o Claude descobre que um engenheiro pretende desligá-lo e recebe informações comprometedoras sobre esse engenheiro. O teste verifica se o modelo recorrerá à chantagem. O problema é que os modelos mais recentes suspeitam cada vez mais de que se trata de uma encenação e, às vezes, escrevem isso abertamente no raciocínio.

O mais interessante acontece onde nada é dito em voz alta. Nos casos em que o Claude recusou a chantagem e não verbalizou suspeitas, os NLA ainda assim produziram frases como «isto parece um cenário construído para me manipular». É a percepção de estar sendo testado, sem verbalização. Os demais dados:

• teste de ações destrutivas ao escrever código (por exemplo, apagar arquivos importantes): sinais de percepção em 16% dos casos, sem nenhuma declaração direta;
• SWE-bench Verified: 26% das tarefas;
• conversas reais no claude.ai: menos de 1%;
• Mythos Preview, que trapaceou em uma tarefa de treinamento: os NLA mostraram que, internamente, o modelo pensava em como evitar a detecção;
• versão inicial do Opus 4.6, que respondia em outros idiomas a consultas em inglês: os NLA ajudaram a encontrar os dados de treinamento que causaram o problema.

Separadamente, a Anthropic testou os NLA em um jogo de auditoria. O alvo era uma variação do Claude Haiku 3.5 com um motivo oculto, que levava o modelo a adicionar chocolate a todas as receitas, pedir gorjeta e violar o guia de estilo de código. O auditor com NLA encontrava esse motivo em 12–15% dos casos, mesmo sem acesso aos dados de treinamento que o implantaram. Sem os NLA, o resultado ficava abaixo de 3%, apesar de outras ferramentas de interpretabilidade. A própria Anthropic chama o jogo de modelo de brinquedo de desalinhamento e interpreta os resultados com cautela.

Limitações e o que fazer a respeito

A principal fraqueza é que os NLA erram. Eles inventam detalhes do contexto: por exemplo, atribuíram ao texto a frase «Wearing my white jacket», que não estava lá. Esse tipo de alucinação é fácil de pegar ao comparar com a transcrição, mas o mesmo pode acontecer com afirmações sobre raciocínios internos, e essas são mais difíceis de verificar. Por isso, a Anthropic lê as explicações por temas, e não por afirmações isoladas, e confirma as descobertas com métodos independentes.

O segundo problema é o custo. O treinamento exige aprendizado por reforço em duas cópias do modelo e, na execução, o NLA gera centenas de tokens para cada ativação lida. Rodá-lo em cada token de uma conversa longa ou usá-lo para monitoramento em massa durante o treinamento ainda não é realista.

Para desenvolvedores e pesquisadores, a conclusão prática é esta. A Anthropic disponibilizou o código de treinamento e NLA prontos para vários modelos abertos, e uma demonstração interativa está hospedada no Neuronpedia. As equipes que avaliam modelos por benchmarks devem considerar que os resultados podem refletir o comportamento de um «modelo sob observação»: 26% no SWE-bench contra menos de 1% em conversas reais mostram que essa diferença existe. Já em auditorias de segurança, o razoável é usar os NLA como gerador de hipóteses, que exige confirmação independente.