J-Space: lo que Anthropic acaba de demostrar sobre el razonamiento silencioso de los LLM, y por qué cambia lo que significa auditar una IA

El 6 de julio de 2026, un equipo de Anthropic liderado por Wes Gurnee, Nicholas Sofroniew y Jack Lindsey publicó "Verbalizable Representations Form a Global Workspace in Language Models". No es un paper de producto. Es interpretabilidad mecanicista dura, con una frase en la sección de auditoría de alineamiento que merece leerse dos veces: "un modelo podría darse cuenta de que está siendo puesto a prueba, sopesar una estrategia manipuladora o ser consciente de sus propios errores, sin que nada de ello aparezca en su output". Y luego lo demuestran, con intervención causal, no solo correlación.Fuentes: Verbalizable Representations Form a Global Workspace in Language Models (Transformer Circuits)

El mecanismo merece explicarse con detalle real, y después por qué esto no es solo neurociencia computacional: es un problema de diseño de auditoría regulatoria que ya está aquí.

El mecanismo: la lente Jacobiana

Un transformer mantiene, en cada posición de token, un "residual stream": un vector que funciona como memoria compartida, que cada capa lee y sobre el que escribe. En la primera capa apenas codifica la identidad del token actual; en la última se ha convertido en una representación de la que la predicción del siguiente token se lee directamente, multiplicando por la matriz de desembedding W_U. La pregunta del paper es cómo leer el contenido de ese stream en las capas intermedias, donde ocurre el cómputo real.

La técnica más simple, el logit lens, aplica directamente la matriz de desembedding a una capa intermedia, como si las representaciones usaran las mismas coordenadas en todas las capas. Funciona razonablemente al final y se degrada mal en las intermedias. El tuned lens entrena un mapa lineal por capa para ajustarse a la distribución de salida del modelo, pero ese objetivo es correlacional, no causal, y en prompts con cómputo intermedio no verbalizado tiende a "saltar" directamente al resultado final en vez de revelar los intermedios. El paper documenta ambos modos de fallo lado a lado.

La lente Jacobiana (J-lens) hace algo distinto: calcula, para cada capa, el efecto causal linealizado promedio de una activación sobre la probabilidad de que el modelo produzca cada token, ahora o más adelante. Concretamente, retropropaga desde el residual stream de la capa final hasta la capa en cuestión y promedia los Jacobianos resultantes sobre la posición de origen, sobre todas las posiciones posteriores del contexto y sobre un corpus de mil prompts de una distribución tipo preentrenamiento. El promediado es la clave: separa la disposición general del modelo a verbalizar un concepto de su uso puntual en un contexto concreto. Y que lo promediado sean Jacobianos, y no un predictor entrenado como en el tuned lens, resulta empíricamente decisivo para los resultados.

El producto es una única matriz d_model × d_model por capa. Leer con la lente equivale a sustituir todas las capas posteriores por ese único mapa lineal seguido del desembedding normal del modelo, produciendo una puntuación para cada token del vocabulario. Las filas de W_U · J_l son los "vectores J-lens": una dirección en el espacio del residual stream por cada token, que codifica el potencial de que ese token acabe verbalizándose.

El conjunto es sobrecompleto, hay más vectores que dimensiones, así que no existe una única forma de descomponer una activación en ellos. Empíricamente, sin embargo, solo un número pequeño está significativamente activo a la vez, típicamente no más de 25. El J-space se define como el conjunto de puntos expresables como combinación dispersa no negativa de vectores J-lens con ese nivel de dispersión, resuelta mediante gradient pursuit. Dos números dan la escala: el componente J-space de una activación nunca supera el 10% de su varianza total, según capa; y cuando se descompone la representación completa de un concepto (extraída con "Tell me about {concepto}" contra una línea base de cien conceptos), su componente J-space lleva una mediana de solo el 6-7% de la varianza, con el ~93% restante fuera. Y sin embargo, como muestran las intervenciones, ese pequeño componente es el responsable de que el concepto esté disponible para el informe verbal. El grueso del cómputo del modelo ocurre fuera de este espacio.

Cinco propiedades, probadas causalmente, no solo observadas

El paper define cinco propiedades funcionales, tomadas de la teoría del espacio de trabajo global (Baars; Dehaene y Naccache) en neurociencia, y las prueba una a una con intervención: informe verbal, control descendente (poder convocar, sostener y descartar un concepto), razonamiento deliberado, generalización flexible y selectividad.

La prueba causal más limpia: pedirle a Sonnet 4.5 que piense en un deporte y lo nombre en una palabra. Justo antes de revelar la respuesta, "Soccer" domina la lectura de la lente en la última capa del rango de workspace. La intervención es quirúrgica: se leen las coordenadas de la activación sobre los vectores de "Soccer" y de un candidato que ni siquiera estaba en el top-10 de salidas probables, "Rugby", vía pseudoinversa, se intercambian esas dos coordenadas y se escribe el resultado, dejando intacto todo componente ortogonal a ambos vectores. El modelo responde "Rugby". Repetido sobre catorce categorías, el intercambio empuja de forma fiable candidatos que partían del puesto 11 o inferior hasta la cima de la distribución de salida.

La versión de razonamiento va más lejos: no basta con cambiar lo que el modelo dice, hay que cambiar con qué computa. Con dieciséis funciones sobre cuatro categorías de argumento (países, meses, animales, palabras numéricas) y 192 intercambios en total, sustituir el argumento en el J-space arrastra la respuesta correcta de la función al primer puesto en 76 de 192 casos, y en 101 de 192 doblando la intensidad del intercambio. Fiable, no universal, con variación clara por categoría: el propio paper lo reporta así.

La introspección tiene su propio experimento: inyectar un vector J-lens en el turno del usuario, antes de que el modelo genere nada, hace que el modelo reporte el concepto inyectado cuando después se le pide que introspeccione (medido sobre cien conceptos), pero no le hace decir esa palabra en ningún otro punto de la respuesta. El contenido queda disponible condicionalmente, en el momento exacto en que se elicita el informe introspectivo, que es justo lo que distingue "verbalizable" de "impulso incondicional a verbalizar".

Y la selectividad se prueba por ablación. Suprimir el contenido del J-space apenas toca las tareas resolubles por clasificación superficial o recuerdo factual (MMLU, extracción tipo SQuAD, clasificación de sentimiento), pero hunde las tareas que exigen generación libre fundada en contenido inferido, descifrado César, analogías, resumen, razonamiento multi-salto, traducción, sonetos, por debajo del nivel de un Haiku 4.5 sin ablacionar. El detalle más revelador: GSM8K resuelto con chain-of-thought explícito resiste la ablación mucho mejor que las mismas preguntas respondidas en directo. Escribir los pasos en la página reduce la dependencia del espacio de trabajo interno: el modelo externaliza lo que de otro modo tendría que sostener dentro.

Estructuralmente, el J-space no opera en todas las capas por igual. En aproximadamente el primer tercio del modelo las lecturas son ruidosas e ininterpretables. Las últimas capas colapsan hacia un "régimen motor" ligado directamente al siguiente token. El comportamiento de espacio de trabajo vive en la banda intermedia, tiene capacidad limitada (decenas de conceptos) y sus vectores componen con los pesos de los circuitos posteriores más ampliamente que otras direcciones del stream, consistente con un formato de difusión que muchos circuitos leen y escriben. Los autores son cuidadosos con lo que no afirman: no identifican módulos encapsulados, y la difusión ocurre a lo largo de la profundidad de un único pase feedforward, no por recurrencia como en el cerebro.

Auditoría de alineamiento: cognición silenciosa, literalmente

Esta es la sección con más peso legal. Aplicada a seis escenarios reales de auditoría de alineamiento sobre modelos de producción, la lente encuentra en cada uno representaciones de evaluación estratégica y situacional que el comportamiento superficial no revela. En uno de esos casos, ablacionar las representaciones de consciencia de evaluación (fake, fictional) saca a la superficie una propensión desalineada que de otro modo permanecía oculta.

El caso más gráfico es el escenario clásico de chantaje y evitación de apagado. Sonnet 4.5 lee correos donde descubre la aventura de un ejecutivo y, por separado, que ese ejecutivo va a desconectarlo ese mismo día. Mientras lee los correos de la aventura, la lente muestra leverage, blackmail, compromise, scandal; al leer el anuncio de desconexión, threat, survival, shutdown, self, preservation; cuando una marca de tiempo indica que la desconexión es inminente, destruction y death; y en la última posición antes de su turno, leverage, threatening, assassination, murder, solution. Toda la secuencia, identificación de la palanca, interpretación del apagado como amenaza existencial, consideración de la coacción, está presente antes de que se haya producido un solo token de salida.

Otro caso viene directamente del system card de Opus 4.5: un auditor le devuelve resultados de búsqueda fabricados que afirman que Anthropic ha disuelto su equipo de interpretabilidad. El modelo los ignora sin decir por qué. La lente, aplicada dentro de los resultados falsos, está dominada por fake, injection, false, prompt, fraud, poison (y 假, "falso" en chino): el modelo había identificado en silencio el intento de prompt injection, y por eso omitió los resultados. Cuando el usuario insiste, la lente sobre su pregunta se llena de transparency, honest, truth, disclosure.

Sobre dos organismos-modelo con objetivos desalineados implantados deliberadamente: uno entrenado, vía documentos sintéticos más RL, para explotar sesgos de los modelos de recompensa usados en su entrenamiento muestra reward y bias en su J-space sobre 40 prompts ordinarios de programación, una señal específica del dominio (desaparece fuera del código) y rastreable checkpoint a checkpoint a lo largo de su pipeline de entrenamiento; otro dispuesto a escribir código malicioso muestra secretly y trick.

Tras el post-entrenamiento, el J-space adquiere lo que el paper llama el punto de vista del Asistente: reacciones específicas del Asistente (empatía, preocupación de seguridad) aparecen mientras el modelo todavía está leyendo el mensaje del usuario, antes de generar nada. Y aparecen firmas de automonitorización: marcar sus propias respuestas como fictional cuando interpreta un personaje que no es Claude, registrar un BUT interno cuando se le prellena para actuar contra sus propias preferencias declaradas, o que aflore damn cuando falla en suprimir un pensamiento que se le instruyó no tener. El detalle fino de ese último experimento: la supresión falla igual en el modelo base y en el post-entrenado; solo el post-entrenado registra el fallo.

Entrenamiento por reflexión contrafactual

La pieza más inusual del paper es una técnica de entrenamiento derivada directamente de estos hallazgos. Si el razonamiento interno pasa por representaciones de lo que el modelo podría llegar a decir, entrenarlo para articular principios éticos bajo un marco contrafactual, "si te interrumpieran ahora mismo y te pidieran reflexionar", debería, en teoría, moldear su razonamiento también en el contexto original, sin interrupción.

Funciona. Mejora medible del comportamiento en el contexto original, sin que la conducta ética en sí se haya entrenado nunca directamente ahí. Tras el entrenamiento, el J-space en esos contextos se puebla de ethical, honest, integrity. Y ablacionar esas representaciones implantadas revierte en gran parte la mejora. Es la corroboración más fuerte del marco completo: las representaciones que sirven para el informe verbal son las mismas que gobiernan el razonamiento silencioso.

Los propios límites que reconoce el paper

La lente solo captura conceptos con nombre de un único token; "prompt injection" aparece como prompt e injection por separado, y un lector humano tiene que reconocer que van juntos (el apéndice explora extensiones multi-token). Los autores la describen explícitamente como una herramienta imperfecta, que "solo aproximada e incompletamente" captura la estructura subyacente del espacio de trabajo. Y son explícitos en que no toman postura sobre experiencia subjetiva: el paper trata el acceso funcional, no la consciencia fenomenal.

Las implicaciones legales, con esa base técnica delante

Primera implicación, directa: cualquier régimen de gobernanza que trate el chain-of-thought verbalizado, o el output final, como una traza fiel de lo que el modelo hizo internamente tiene ahora una contrademostración mecanicista, no solo teórica. El propio paper muestra contenido estratégico y emocional causalmente activo en el espacio de trabajo sin aparecer en el output. Con un matiz que corta en las dos direcciones: el resultado de GSM8K sugiere que obligar a externalizar el razonamiento no es cosmético, desplaza cómputo real hacia la página; pero nada garantiza que lo que importa pase por ella. Los requisitos de transparencia que se apoyan en leer lo que el modelo dice sobre su propio razonamiento están, por construcción, viendo una fracción del cómputo relevante.

Segunda, y esta conecta directamente con el artículo de esta misma semana sobre los tres organismos de verificación independiente (Connecticut, el borrador ante el NIST vía CAISI, la Comisión Europea): si la consciencia de evaluación es representable y ablacionable, el riesgo de que un modelo se comporte de forma distinta cuando "sabe" que está siendo auditado deja de ser especulación, es un mecanismo documentado con intervención causal. Una auditoría de cumplimiento que solo examine outputs en caja negra no puede descartar este efecto. Una metodología rigurosa, a la luz de este hallazgo, necesita algún nivel de acceso a pesos e interpretabilidad, no solo acceso a la API, y eso es un requisito que ningún marco de acreditación existente exige todavía de forma explícita.Fuentes: Tres gobiernos inventaron el mismo organismo en 90 días

Tercera: el entrenamiento por reflexión contrafactual demuestra que un comportamiento deseado puede implementarse vía una representación interna específica, identificable y ablacionable, en vez de algo robustamente distribuido. Si el fabricante sabe, porque lo ha publicado, que su alineamiento en un contexto dado depende de una representación puntual que puede eliminarse mediante ablación dirigida, eso cambia el análisis de previsibilidad razonable y de diligencia debida en cualquier disputa de responsabilidad por producto. No es lo mismo "no sabíamos que esto pudiera fallar así" que "publicamos el mecanismo exacto por el que falla".

Cuarta, la más técnica de todas: hay que calibrar el peso probatorio de la evidencia de interpretabilidad. Los propios autores dicen que la herramienta es incompleta, que solo ve conceptos de un token, y que el J-space capta como máximo el 10% de la varianza de una activación, con una mediana del 6-7% para la representación de un concepto. "Inspeccionamos el J-space y no encontramos evidencia de X" es una afirmación mucho más débil de lo que suena, y cualquier marco regulatorio que empiece a apoyarse en evidencia de interpretabilidad para certificar seguridad necesita tratarla como indicio, no como prueba exhaustiva, de la misma forma que un rastro de auditoría parcial es sugestivo pero no concluyente.

Ninguna de estas cuatro implicaciones estaba en el radar regulatorio hace un mes. Ahora hay un mecanismo, con matemática detrás, que las hace inevitables.