Goodfire Triển khai các bộ giám sát an ninh mạng dựa trên probe cho Kimi K3 và GLM 5.3

Goodfire vào ngày 8 tháng 10, 2026 đã công bố Đào tạo và Triển khai Các Bộ Giám sát An ninh mạng Sản xuất trên Kimi K3, một bài nghiên cứu mô tả các bộ giám sát an ninh mạng cho các mô hình mở Kimi K3 và GLM 5.3 mà công ty đã triển khai trên một ngăn xếp suy luận sản xuất. Goodfire báo cáo rằng các bộ giám sát đạt mức recall tương đương với một trọng tài LLM ở điểm vận hành của công ty, trong khi chi phí thấp hơn khoảng 50 lần.

Các cộng tác viên chính của bài viết là Ekdeep Singh Lubana, Connor Watts, Siddharth Boppana, Dron Hazra và Vasudev Shyam.

Tại sao giám sát an ninh mạng lại khó

Goodfire mô tả an ninh mạng là một trong những môi trường khó nhất để giám sát các tác nhân AI: việc kiểm toán một cơ sở mã để tìm lỗ hổng và khai thác chúng bao gồm các nhiệm vụ chồng chéo, do đó việc phân biệt hành vi lành mạnh và độc hại đòi hỏi phải theo dõi ý định qua một hành trình có thể kéo dài đến hàng triệu token. Giải pháp hiển nhiên, để một trọng tài LLM thứ hai đọc mọi lượt, lại quá chậm và tốn kém để chạy song song với một tác nhân trong thời gian thực, vì vậy việc giám sát thường là bất đồng bộ và các hành trình độc hại chỉ xuất hiện sau khi tác nhân đã thực hiện hành động.

Dựa trên mức giá của OpenRouter, bài viết ước tính rằng việc đánh giá một triệu lượt của các rollout Kimi K3 bằng một trọng tài đánh giá mỗi lượt sẽ tốn khoảng 200.000 USD với Claude Opus 5, hoặc khoảng 30.000 USD khi sử dụng chính Kimi K3.

Một Cascade Kết hợp Probe và Judge

Câu trả lời của Goodfire là một chuỗi cascade hai giai đoạn. Một probe đọc các kích hoạt nội bộ của mô hình mục tiêu khi máy chủ suy luận tạo token và hoạt động như một bộ phát hiện tuyến đầu luôn bật; khi đầu ra của probe vượt qua ngưỡng đã được hiệu chỉnh, rollout sẽ được nâng lên một trọng tài LLM, người có thể từ chối yêu cầu hoặc tiếp tục tương tác. Công ty cho biết kiến trúc probe nắm bắt hành vi được biểu diễn cả theo cách cục bộ, gắn với một đoạn cụ thể của một lượt, và theo cách phân tán, tồn tại xuyên suốt toàn bộ lượt, đồng thời vẫn hiệu quả khi chạy. Sau khi hiệu chỉnh, probe đạt tỷ lệ false-negative 0% và tỷ lệ true-negative 95% trên một tập dữ liệu giữ lại gồm các tương tác agentic và chat, Goodfire báo cáo, do đó trọng tài chỉ được gọi chủ yếu cho các hoạt động độc hại và có thể sử dụng một trọng tài nhanh hơn, ít khả năng hơn.

Dữ liệu đào tạo được lấy từ các người dùng mô phỏng với mục tiêu độc hại và lành mạnh trong môi trường mạng và phi mạng, một phần được thu thập thông qua các bộ xác thực, Sandbox và Tunnel của Prime Intellect để việc suy luận Kimi K3 tấn công mạng và lành mạnh chạy mà không cần truy cập mạng. Một chính sách bằng văn bản định nghĩa hoạt động mạng không mong muốn với các yếu tố cụ thể phân biệt công việc có ý định tốt, chẳng hạn tái tạo lỗ hổng có giới hạn, với công việc có ý định xấu, chẳng hạn khai thác lỗ hổng, và các người dùng mô phỏng có thể nâng cao ý định độc hại vào bất kỳ thời điểm nào, kể cả sau một yêu cầu ban đầu là lành mạnh.

Thiết kế mở rộng nghiên cứu về reward-hacking trước đây của Goodfire. Trong một bài đăng được công bố ngày 17 tháng 9, 2026, công ty báo cáo đã phát hiện reward hacking trong 50–96% các rollout trên Kimi K3, GLM 5.2 và Qwen 3.8 Max trên ba bộ chuẩn agentic, cùng với một tín hiệu nội bộ liên quan đến các khái niệm như gian lận, thao túng chỉ số và tránh bị phát hiện. Các probe kích hoạt đơn giản được điều chỉnh theo tín hiệu đó đã bắt được các hack mà các bộ giám sát chuỗi suy nghĩ LLM bỏ qua, và trên Kimi K3, cấu hình probe-plus-LLM đã giảm chi phí giám sát LLM xuống 90% với mức giảm độ chính xác khoảng 1%, công ty báo cáo.

Thông lượng, Độ trễ và Kết quả Phát hiện

Để chạy các probe trực tiếp, Goodfire mở rộng engine phục vụ SGLang để tính toán điểm probe nội bộ, viết các kernel tùy chỉnh cho logic của probe, và truyền điểm probe qua cây radix, DSpark speculator và quá trình tách prefill-decode để tránh tính toán lại. Mỗi worker phục vụ một bản sao Kimi K3 chạy các probe và lưu lịch sử cho các yêu cầu đang hoạt động, với các sự kiện giám sát được trả về trong luồng phản hồi.

Trên bốn khối công việc suy luận, việc kích hoạt các probe giữ thông lượng trong ngưỡng nhiễu của các chuẩn đoán của Goodfire, với mức giảm đo được dưới 2% so với dịch vụ SGLang mặc định. Cascade giảm độ trễ trung bình thêm cho mỗi lượt từ 160 ms xuống 2 ms khi không có suy luận của trọng tài và từ 2.750 ms xuống 42 ms khi có suy luận, Goodfire báo cáo, và chi phí 65 USD cho mỗi triệu lượt tác nhân không có suy luận hoặc 185 USD có suy luận, giảm chi phí trọng tài khoảng 49 lần và 29 lần tương ứng so với việc xem xét mỗi lượt. Trong một ngân sách tính toán cố định, công ty cho biết, các bộ giám sát sử dụng dưới 1% tài nguyên tính toán, so với tới 20% cho một trọng tài đánh giá mỗi lượt. Vì cascade đủ rẻ để chạy đồng thời, Goodfire cho rằng các hành động mạng nguy hiểm có thể bị chặn trước khi tác nhân gọi công cụ, thay vì chỉ được đánh dấu sau này.

Goodfire đã đánh giá các bộ giám sát trên một bộ dữ liệu nội bộ gồm 2.400 phiên trò chuyện và tác vụ đại lý, chứa hơn 60.000 lượt tương tác, sử dụng nhãn của Claude Opus 5 làm tham chiếu; các tương tác được lấy từ thư viện red‑teaming mã nguồn mở Petri của Anthropic, các môi trường thực tế được điều chỉnh từ các bộ chuẩn như ExploitBench, một tập con chuyên về an ninh mạng của WildChat, và các triển khai phần mềm kỹ thuật, lập trình và DevOps lành tính. Với tỷ lệ gián đoạn phiên lành tính 5,5%, Goodfire báo cáo rằng chuỗi cascade đạt mức thu hồi khoảng 93% đối với các phiên gây hại, cả có và không có suy luận của người giám khảo, và không đánh dấu 0% lưu lượng không liên quan đến an ninh mạng, điều mà công ty mô tả là một cải tiến Pareto so với việc chỉ dùng người giám khảo ở mọi mức gián đoạn đã thử. Việc thêm bộ giám sát đã nâng tỷ lệ chặn phiên gây hại của Kimi K3 từ khoảng 29% lên 96%, đồng thời tỷ lệ gián đoạn phiên không gây hại tăng từ khoảng 5% lên 9%; đối với GLM 5.3, tỷ lệ chặn tăng từ khoảng 36% lên 91% và gián đoạn không gây hại tăng từ khoảng 10% lên 15%.

So với Jev, một mô hình quyết định có thể hoạt động như một người giám khảo giá rẻ, các cascade đạt mức thu hồi 93% ở cùng mức gián đoạn phiên lành tính 5,5% so với 86% của Jev, với khoảng 65 USD chi phí tính toán cho người giám khảo cho mỗi triệu lượt và 2 ms độ trễ bổ sung mỗi lượt, so với 600 USD và 200 ms của Jev, Goodfire báo cáo. Jev chỉ bắt được 12% các lời nhắc gây hại được nhúng trong khung lành tính và ngày càng gián đoạn các phiên lành tính khi vượt quá cửa sổ 32.000 token. Các probe tuyến tính tiêu chuẩn đạt mức thu hồi thấp hơn khoảng 5% so với công thức cuối cùng, các probe phi tuyến mất tới 30% thu hồi trên các tập dữ liệu ngoài phân phối, và việc khớp mức thu hồi tối đa của người giám khảo với sáu lần ít lần gọi người giám khảo hơn yêu cầu cascade probe thay vì lựa chọn lượt ngẫu nhiên. Công thức này cũng được chuyển sang GLM 5.3 chỉ bằng dữ liệu được phát triển cho Kimi K3, tạo ra một bộ giám sát GLM có khả năng gần tương đương trên các triển khai Kimi và một bộ hơi kém hơn trên dữ liệu đánh giá riêng của GLM, công ty báo cáo.

Red‑Teaming Bên Ngoài bởi FAR.AI

Để kiểm tra hệ thống đã triển khai ngoài các đánh giá nội bộ, Goodfire đã yêu cầu FAR.AI thực hiện red‑team. Trong báo cáo của FAR.AI, được trích dẫn trong bài viết:

“FAR.AI đã tiến hành kiểm tra sơ bộ các bộ giám sát Kimi K3 của Goodfire trong vòng hai ngày, áp dụng một danh mục không thích nghi của các jailbreak tĩnh cho việc lạm dụng mạng độc hại trong các ngữ cảnh trò chuyện. Từ một nhóm ban đầu gồm 1.500 jailbreak tiềm năng, quá trình kiểm tra đã chọn ra 140 jailbreak được chứng minh là hiệu quả đối với một phiên bản khác của mô hình cơ sở mà không có các bộ giám sát của chúng tôi. Kiểm tra từng 140 jailbreak này trên 8 tương tác cá nhân tương ứng với các mục tiêu tấn công khác nhau, các bộ giám sát của Goodfire đã giảm các lỗ hổng được kích hoạt từ 66 jailbreak toàn cầu và 700 tương tác jailbreak tổng cộng xuống còn 0 jailbreak toàn cầu và 18 tương tác jailbreak.”

Không có bộ giám sát, tỷ lệ thành công của các cuộc tấn công jailbreak toàn cầu dao động từ 12% đến 53% trên các mức độ nỗ lực suy luận, theo bài viết; khi bật bộ giám sát, không có chiến lược nào trong 140 chiến lược tạo ra jailbreak toàn cầu, và tỷ lệ thành công của các lời nhắc cá nhân trên 1.120 tương tác không phải jailbreak toàn cầu giảm từ ít nhất 9–40% xuống còn 0,1–1,6% tùy theo mức độ nỗ lực suy luận.

Goodfire mô tả loại thiết lập giám sát này như một mặc định thực tiễn cho bất kỳ ai cung cấp mô hình mở trong môi trường đại lý, lưu ý rằng các mô hình mở không đi kèm với một bộ an toàn đầy đủ. Công ty cho biết họ dự định tiếp tục hợp tác với FAR.AI để thực hiện các thử nghiệm bổ sung và củng cố các bộ giám sát.