J-space: Claude får et vindue ind i sine skjulte tanker

Anthropic offentliggjorde 6. juli et af de mere interessante LLM-resultater længe: et forsøg på at læse den del af Claude, som modellen kan bruge til intern ræsonnering, men ikke nødvendigvis siger højt. De kalder rummet for J-space, fundet med en metode kaldet Jacobian lens. Det lyder akademisk, og det er det også. Men den praktiske konsekvens er enkel: vi nærmer os værktøjer, der kan vise, hvad en sprogmodel er på vej til at bruge som mellemregning, sikkerhedsvurdering eller skjult hensigt.

Det er mere relevant for udviklere og IT-arkitekter end endnu en benchmarkrekord. Hvis LLM’er skal bruges som agenter i kundesupport, kodebaser, dokumenthåndtering eller driftsmiljøer, er outputtet ikke nok. Vi har brug for bedre indblik i, hvorfor modellen handler, hvor den opdager risiko, og hvornår den bare spiller pænt, fordi den har genkendt en test.

J-space er ikke bevis for bevidsthed

Anthropic er selv relativt forsigtige. De siger ikke, at Claude er bevidst som et menneske. Pointen er mere snævert: moderne sprogmodeller ser ud til at have et lille, privilegeret sæt interne repræsentationer, som kan rapporteres, manipuleres og bruges fleksibelt i ræsonnering. Det minder funktionelt om global workspace theory fra kognitionsforskningen, hvor kun en lille del af hjernens behandling er tilgængelig for bevidst rapport og målrettet handling.

I modellen finder Anthropic dette ved at lede efter interne vektorer, der gør Claude mere tilbøjelig til at kunne sige bestemte ord senere. Det er ikke bare næste token. Det er snarere ord og begreber, modellen er parat til at bruge, hvis den bliver spurgt. Derfor kan J-space vise ting, som ikke står i prompten og ikke kommer med i svaret.

Eksemplerne er konkrete nok til at være værd at tage alvorligt. Når Claude læser kode med en fejl, kan J-space indeholde begreber som “ERROR”. Når modellen møder søgeresultater med prompt injection, dukker ord som “injection” og “fake” op. Når den løser en opgave i flere trin, kan mellemregningerne ses i J-space, selv om modellen ikke skriver dem ud.

Det vigtige er kontrol, ikke mystik

Det mest interessante er, at Anthropic ikke kun observerer J-space. De ændrer også på det. I et forsøg lader de modellen tænke på en sport. J-lens viser “soccer”, før Claude svarer. Når forskerne erstatter den interne repræsentation med “rugby”, ændrer svaret sig. I et andet eksempel ændrer de “spider” til “ant” i en skjult mellemregning, og modellens svar skifter fra 8 ben til 6.

Det er vigtigt, fordi det peger på kausalitet. J-space er ikke kun en passiv logfil. Det ser ud til at være et arbejdsrum, som andre dele af modellen faktisk læser fra. Anthropic viser også, at samme repræsentation kan bruges fleksibelt. Skifter man “France” til “China”, ændrer modellen svar om hovedstad, sprog, kontinent og valuta i den rigtige retning.

For drift og sikkerhed er det her mere interessant end filosofien. Hvis vi kan måle, at en model internt har registreret prompt injection, testbevidsthed, manipulation eller en skadelig intention, får vi en ny type kontrolpunkt. Ikke et perfekt kontrolpunkt, men et ekstra signal ved siden af outputfiltre, evals, logning og rettighedsstyring.

Det passer direkte ind i samme problem, som jeg tidligere har skrevet om i Prompt injection: LLM-agenter har fået et kontrolplansproblem. Når modellen får adgang til værktøjer, filer og forretningsdata, er sikkerhed ikke længere kun et spørgsmål om pæne svar. Det handler om kontrolplan, identitet, værktøjskald og audit.

Risikoen: en ny sort boks oven på den gamle

Man kan hurtigt sælge J-space som en slags “tankelæsning”. Metoden finder dog kun bestemte typer repræsentationer, især begreber der kan kobles til tokens. Den er udviklet og testet i en forskningskontekst, ikke som et færdigt produktionsværktøj. Og selv hvis et signal ser meningsfuldt ud i Claude, er det ikke givet, at det virker ens i andre modelarkitekturer eller hos andre leverandører.

På Hacker News kører diskussionen også. Nogle ser et praktisk spor mod bedre introspektion i kundesupportbots og agentdrift. Andre spørger mere nøgternt, hvor J-space egentlig ligger i vægtene, og om metoden skalerer til noget, kunder kan bruge. Det er den rigtige skepsis. Forskning i interpretability har ofte set lovende ud i små eller kontrollerede miljøer og været svær at gøre robust i produktion.

Den anden risiko er vendor-kontrol. Hvis kun modelleverandøren kan læse og påvirke arbejdsrummet, får kunderne endnu et lag af tillid til en sort boks. I enterprise-sammenhæng er det ikke nok at få at vide, at modellen internt “opdagede” en risiko. Man vil have revisionsspor, forklarbare grænser, dokumenterede fejlmoder og klare garantier for, hvordan data fra prompts, værktøjer og interne repræsentationer behandles.

Det hænger også sammen med den bredere udvikling, hvor LLM-drift bliver modelrouting, adgangskontrol og afhængighedsstyring. Se for eksempel LLM tokenbudget: AI-regningen er blevet drift. J-space kan blive endnu et signal i sådan et kontrolplan, men det må ikke blive endnu en magisk lampe, som ingen uden for leverandøren må kigge ind i.

Hvad danske teams bør tage med

Min vurdering: dette er ikke noget, man skal bygge roadmaps på i morgen. Men det er et stærkt signal om, hvor LLM-sikkerhed bevæger sig hen. Vi går fra kun at teste svar til også at forsøge at teste interne beslutningsprocesser. Det vil få betydning for evaluering, compliance og agentdesign.

Hvis du driver LLM-løsninger i dag, er den praktiske lektie ikke “vent på J-space API’et”. Den er mere jordnær: design dine systemer, så interne modelsignaler kan blive nyttige, hvis og når de modnes. Gem kontekst om værktøjskald. Log beslutningspunkter. Adskil modelens tekstoutput fra autoriserede handlinger. Evaluer specifikt for prompt injection, testbevidsthed, skjulte mål og manipulation af resultater. Og kræv af leverandører, at sikkerhedssignaler kan auditeres, ikke bare beskrives i en blogpost.

J-space gør ikke Claude menneskelig. Men det gør modellen lidt mindre uigennemsigtig. For alle os, der gerne vil bruge sprogmodeller til mere end chat, er det en langt vigtigere nyhed end endnu et tal på en leaderboard.