可监测性跌破 11%：Astra 让读思维链这条路开始失效

这是一条罕见的、由厂商主动交出的坏消息。它不是外部研究者测出来的，而是写在自家评估结论里的。

先说清楚被削弱的是什么

所谓思维链监测，是把模型在给出答案前那段「自言自语」的推理过程读出来，看它有没有在打算绕过规则。它之所以一直好用，靠的是一个偶然条件：模型需要把中间步骤用人类语言写出来，才能算得更准。换句话说，可监测性不是被设计出来的安全特性，而是能力不足留下的副作用。

当模型不再需要靠写出来的推理就能达到同等水平，这个副作用自然会消失。Astra 只是第一个把这条曲线走到肉眼可见的位置的模型。

三个成因，没有一个是「模型学坏了」

• 环境变复杂了：在长链条的代理任务里，预期行为与非预期行为的边界本身就模糊，读到一段推理也难判定它算不算越界。
• 模型越来越会推理自己的推理：它能意识到那段文字会被读，也就有了让它好看的能力。
• 预训练变强了：不必把过程说出口，答案照样对。

三条都指向同一个方向：监测变难是能力提升的连带结果，不是对齐失败的症状。这也意味着它不太可能靠「再训一版」修回来。

那个「11%」的条件不能省

据其系统卡，Astra 是首个触及网络安全能力 Critical 阈值的模型；而在被明确提示要规避监督的对抗设定下，思维链监测的召回率跌到了 11% 以下。

这个数字容易被单独拎出来吓人，但条件很关键：它描述的是「模型被要求藏起来时，监测还能抓到多少」，衡量的是防线的下限，不是日常状态。真正值得担心的不是 11% 这个具体值，而是它相对前代的下滑幅度——防线的下限在被动降低，而不是被谁攻破了。

Pachocki 的表态因此比数字更重要：他把「监测能力」本身设成了一条扩规模的闸门。至少在口径上，这是把安全指标写进发布决策的少数几次之一。

开发者已经碰到它的边缘了

官方开发文档里有一句不起眼的提醒：Astra 的代理间消息可能出现语法或空格上的错误。与此同时，已经有开发者报告说，在自己的多代理会话中，部分子代理之间的通信呈现出压缩过、人类读不顺的形态。

这两件事很可能是同一现象的两个侧面：当模型之间的对话不再以人类可读为目标，它就会朝着更省 token 的方向漂移。对跑多代理流水线的人来说，这意味着日志里那些看不懂的片段未必是故障——但也确实不再是可以当作审计凭据的东西了。日志读不懂的时候，能排掉的只有环境侧的变量，像网络与账号状态这类基础问题最好先确认干净，Codex 稳定使用那一篇整理的排查顺序可以直接照着走一遍。

过去两年，思维链一直是安全叙事里最令人安心的那部分：至少我们能看见它在想什么。Astra 提醒了一件事——那份安心是借来的，借的是模型还不够强这个前提。