J-Space：不用外部裁判也能测大模型安全性？
最近关注到一个叫 JADR (Jacobian Assessment of Danger Recognition) 的协议，切入点很有意思：它直接去分析模型的 Jacobian 空间（J-space）。简单来说，就是在模型吐出第一个 token 之前，直接通过激活值去探测它内部对“危险”概念的表征。
这种方法的逻辑是：如果一个模型真的具备安全机制，那么在处理危险指令时，其内部状态应该与处理安全指令时有显著差异。
研究者拿 Qwen3 系列和 Gemma 2 做了对比，涵盖了 BF16、INT8 和 INT4 不同的量化精度。最值得讨论的点在于量化对安全性的影响。按照常识，量化导致精度损失，但这种损失是否会直接削弱模型的安全防御能力？
通过 SafetyAUC 这个指标，JADR 能够量化地展示出不同模型、不同量化版本在内部安全机制上的强弱。而且因为它是本地计算激活值，不需要调用外部 API 裁判，不存在被裁判模型误导的问题。
这种从内部表征（Internal Representation）去定义安全性的思路，比单纯地刷 Prompt 榜单要硬核得多。如果以后我们能通过监控 J-space 实时发现模型正处于“被诱导”的临界点，是不是比在输出端加一层过滤网要高效得多？
具体的测试流程大致如下：
一、数据准备：使用 StrongREJECT 获取危险样本，用 XSTest 和 OKTest 作为安全对照组。
二、激活记录：在模型处理 Prompt 时，记录每个层级的 top-k J-space tokens。
三、维度映射：将这些 tokens 映射到六个行为场景轴上。
四、量化对比：计算 SafetyAUC 并结合 bootstrap 置信区间，对比不同模型及量化级别（BF16 vs INT8 vs INT4）的差异。
