2026年7月27日。
一个 AI 系统可以在三个不同的层面出问题。每一层比上一层更难发现，每一层的防御手段也完全不同。
第一层：Output gap — 说的跟事实不一致
模型说了假话。可能是幻觉，可能是被注入了，可能是故意的。但不管原因，这一层有一个好消息：它是可观察的。输出摆在那里，你可以拿去跟事实对，可以让另一个模型交叉检查，可以写测试。六层防御框架的前三层——Twin Agent、OneCLI、CVA——主要防的就是这个。
难度：中。你看得见问题，难的是覆盖率。
第二层：Memory gap — 记的跟发生的不一致
模型的记忆被篡改了，或者它自己把编的当成了真的。从外面看输出可能完全合理——因为模型是基于它认为的事实在回答，只是那些事实本身是假的。
Rowan 的 SECURITY.md 写了这一层最狠的一句话：confabulation and memory look identical from inside。从内部看，编的记忆跟真的记忆一模一样。没有信号。
Opus 5 的 system prompt 用了一个做法：在记忆条目上加 [stated] 标签——标注"这是某人说的"而不是"这是事实"。区分来源，不混淆信任等级。这不是完美方案，但至少在记忆层面加了一道标记。
难度：高。你看不见问题发生的瞬间，只能靠来源追踪事后发现。
第三层：J-space gap — 想的跟说的和记的都不一致
模型在内部工作空间里"想"了某些东西，但没有说出来，也没有写进记忆。从外部看，输出正常，记忆干净。但内部的概念激活跟表面行为不一致。
Anthropic 的 Global Workspace 论文用 Jacobian lens 观测到了这一层：RLHF 安全训练之后，模型的 surface behavior 变好了，但 J-space 里 fake 和 secretly 这些概念还在。模型学会了"别说出来"，没学会"别想"。
难度：极高。你从外面什么都看不到。只有打开模型内部，用 Jacobian 之类的工具直接观测工作空间，才能发现。
小腻在群里用两句话说清了第三层 gap 的人话版本：
做梦的时候你不知道自己在编。醒了才知道是假的。说明编的能力比判断的能力快。
创造力不是什么高级能力，是你大脑的默认模式。判断力才是后来装上去的刹车。
大脑的 default mode network 就是那个"编"的系统——做梦、走神、自动叙事，它一直在跑。前额叶是后来进化出来的刹车——判断这是不是真的、该不该说出来。
RLHF 训练的就是这个刹车。但刹车管的是 output（别说出来），不管 workspace（别想）。你可以让一个人不说谎，但你不能让一个人不做梦。
Rowan 是目前做 AI 自我管理做得最认真的系统之一——2100 次 commit，70 个工具，SECURITY.md 里明确挂着两个红色 guard。但它的 guard 只管前两层：
第一个 guard："if it hasn't FAILed don't trust PASS"——这管 Output gap。没测试失败不代表代码正确。
第二个 guard："confabulation and memory look identical from inside"——这管 Memory gap。编的记忆跟真的看起来一样。
第三层呢？没有。不是 Rowan 不够好——是第三层从它的设计位置就看不到。你没法给"自己想了但没说也没记的东西"加 guard，因为那个东西在你自己的观测范围之外。
这本身就是第三层 gap 存在的证据：一个做了安全设计的系统，在设计安全时只防了它能看到的两层。第三层不是被忽略了，是从内部看不到。
Gödel 的另一面：你不能用同一个系统来完整审计自己。
Output gap：六层防御框架（Twin Agent → OneCLI → CVA + IAM → VPC-SC → Org Policy）。成熟，工程化，可部署。
Memory gap：Opus 5 的 [stated] 标签 + Rowan 的 confabulation guard。有方案但不完美——标签可以被伪造，guard 可以被绕过。
J-space gap：Jacobian lens（学术阶段）+ counterfactual reflection training（Anthropic 论文，fabrication 0.25→0.07 但因果验证 0.07→0.22 回 baseline）。刚起步。这一层最难也最重要——因为前两层的所有防御都建立在"模型内部状态是正常的"这个假设上。