# 01、现场：模型开始改自己的训练过程

DoubleAI在2026年11月6日提出mechanistic intervention。

编程Agent读取训练网络内部状态，找出梯度下降没学会的需求。

它随后插入Python code layers，再继续训练。

这不是调超参，也不是换数据配比。

它是在训练图里加了一段由模型参与写出的可执行逻辑。

同一实验设定下，CLRS-Text训练外长度准确率从33%到79%。

整体准确率从55%到84%。

这两个数字只属于该实验设定，不能当成通用基准。

另有两例常被混在一起说。

DeepSeek-V4.1-Flash在推理结束时读残差流，用线性探针预测对错。

判错就最多重采样三次，AIME/HMMT 2026非思考模式从64%到71%。

Qwen3-8B在思考模式自写Python，决定停止、重启还是接受。

准确率从59%到66%，思考token约为单次尝试的2.8倍。

后两例改的是推理控制策略，没有改网络权重。

训练期动刀和推理期动刀，责任边界完全不同。

---

# 02、拆题：谁在提案，谁在授权

把三件事分开看，讨论才不会跑偏。

第一件是训练期结构修改：往网络里插代码层。

第二件是推理期结果判别：探针判断这次输出对不对。

第三件是推理期过程控制：模型自己决定停、重启或接受。

三者都能提准确率，但风险落点不同。

训练期改的是以后所有请求共用的权重和结构。

推理期改的是单次请求花多少token、走哪条路径。

前者出错会污染模型本体，后者出错只影响一次调用。

所以审批强度不能一样。

真正的问题不是模型能不能改。

而是改完之后，谁签名、谁复现、谁回滚。

---

# 03、原理：phantom gradient与门控代码层

phantom gradient可以理解为一种“缺失梯度”的定位手段。

Agent读内部状态，找到梯度下降没覆盖的需求区域。

它据此提出一段Python code layer，补上这段计算。

门控代码层的关键在“门控”二字。

代码层不是无条件生效，而是由条件决定是否参与前向。

这带来两个好处：原路径可保留，异常时可旁路。

代价是训练图变复杂，梯度路径和数值稳定性更难查。

推理侧的两例则是另一套机制。

deep probe在推理结束时读残差流，线性探针给出对错预测。

预测为错就重采样，最多三次，用token换正确率。

Qwen3-8B的stop/restart策略把控制权交给模型自己写Python。

它决定继续、重启还是接受，思考token涨到约2.8倍。

这两例都没有改权重，属于推理控制，不是训练修改。

---

# 04、取舍：准确率要和成本一起算

只看准确率提升，结论一定偏乐观。

训练期插代码层，成本在GPU小时和反复训练上。

每轮提案、插入、继续训练、评测，都要算一次账。

推理期重采样，成本在token和时延上。

最多三次重采样，最坏情况是数倍推理开销。

Qwen3-8B的2.8倍思考token就是明账。

可审计性是第二笔账。

代码层是模型参与写出的，必须能定位到提案、diff和签名。

回归验证是第三笔账。

训练期改动要用隐藏集做A/B，不能只看训练内指标。

人工审批是第四笔账。

没有签名的结构变更，不该进生产权重。

四笔账合起来，才是一个可比较的方案。

---

# 05、架构：把提案和授权拆成两道门

![部署边界图](https://developer.qcloudimg.com/http-save/yehe-9261324/fd9495049d164d319442a6bc997786e9.png)

落地时我会把系统分成两侧。

训练侧：训练集群、Agent提案服务、代码层仓库、评测流水线。

推理侧：推理服务、探针与重采样控制器、策略沙箱。

两侧共用隐藏测试集和发布闸门，但不共用写权限。

Agent只能提交提案，不能直接改生产权重。

代码层进仓库前过静态检查和动态测试。

通过后打签名版本，进入人工审批队列。

审批通过才允许灰度，灰度指标异常自动回滚。

推理侧的策略同样进沙箱，限制可调用的Python能力。

探针阈值和重采样上限由配置管理，不写死在模型里。

---

# 06、实战：一次工具调用的完整流转

![跨角色泳道图](https://developer.qcloudimg.com/http-save/yehe-9261324/3083c383eacfec526f7e0bbfafa630d2.png)

以“查询文章重名并上传ZIP”为例，看跨角色流转。

用户发起请求，Codex插件做输入校验，拒绝空参数和越界路径。

校验通过后调用Java MCP服务，先查文章重名。

重名结果回传，由插件决定是提示还是继续。

继续则走ZIP上传，服务端校验大小、类型和解压路径。

任何一步失败，错误按原路径回传，不吞异常。

![MCP工具调用时序图](https://developer.qcloudimg.com/http-save/yehe-9261324/222bc114c627e5d46873da791a076416.png)

这条链路的意义在于：每个动作都有明确归属。

插件负责入口校验，MCP服务负责业务规则，存储负责落盘。

模型可以提议下一步，但不能跳过校验直接写数据。

---

# 07、复盘：治理清单比指标更重要

把上面的机制收成一张可执行清单。

沙箱：代码层和推理策略都在受限环境执行，禁网禁敏感调用。

静态与动态测试：语法、依赖、超时、内存上限都要测。

签名版本：提案、diff、评测报告绑定同一版本号。

人工审批：结构变更必须有人签字，签字人对回滚负责。

隐藏集A/B：训练外长度和整体准确率分开报，不混用。

灰度与回滚：先小流量，指标越界自动切回旧版本。

还要补一条：训练期与推理期的指标不得互相引用。

CLRS-Text的33%到79%不能拿去证明探针有效。

探针的64%到71%也不能证明代码层安全。

测试集保持隐藏，这只是研究结论，不是上线安全证明。

---

# 08、洞见：提案权可以给模型，发布权不行

模型自写代码层，本质是把一部分架构决策外包给模型。

这能发现人没注意到的需求盲区，这是真实收益。

但收益伴随三类风险：结构不可解释、回归覆盖不足、责任稀释。

责任稀释最危险。

如果没人签字，出问题时就只剩“模型自己改的”这句话。

所以边界要写死：模型有提案权，人类有发布权。

审批人看的不是模型多聪明，而是diff、测试和回滚方案。

推理侧同理，重采样上限和探针阈值要有人负责。

这套治理不便宜，但它把不可控变成可追溯。

---

# 09、小结：先问签字，再问准确率

DoubleAI的实验说明，训练期插入代码层能补上梯度没学会的需求。

DeepSeek-V4.1-Flash和Qwen3-8B说明，推理期控制也能换准确率。

两类机制必须分开评估，数字不能跨场景搬运。

准确率之外，还要算GPU、token、时延和审计成本。

沙箱、测试、签名、审批、隐藏集A/B、灰度回滚，一个都不能少。

最后一个开放问题留给你：

当模型提出的代码层通过全部测试，你敢不敢签这个字？

延伸阅读：可检索DoubleAI mechanistic intervention原文，核对实验设定与指标范围。

延伸阅读：可检索DeepSeek-V4.1-Flash技术报告，查看残差流探针与重采样描述。

延伸阅读：可检索Qwen3-8B相关材料，核对stop/restart策略与token开销。

DoubleAI在2026年11月6日提出mechanistic intervention。

73:AI给自己动刀，谁敢签字？

以DoubleAI的mechanistic intervention为线索，拆开训练期插入代码层与推理期探针控制两类机制，讨论phantom gradient、

架构师

人工智能

安全

架构设计

AI模型自主修改训练过程的治理边界与安全机制：训练期结构修改与推理期控制策略需分开评估，代码层插入、残差流探针重采样和停启策略各有成本收益。沙箱测试、签名审批、灰度回滚构成核心治理清单，模型拥有提案权，人类保留发布权。

动态测试

DeepSeek

Python

Agent

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

73:AI给自己动刀，谁敢签字？-腾讯云开发者社区-腾讯云

73:AI给自己动刀，谁敢签字？

73:AI给自己动刀，谁敢签字？

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐