丹麦团队用 tool calling 提取 GPT-6 Astra 隐藏思维链

前沿闭源模型的推理过程，外界通常只能看到一个最终答案，或一段被处理过的思维链。丹麦奥尔堡大学 AI 安全实验室与 Seafill 开源社区联合发表的论文《Capable yet Parsimonious: Extracting and Characterizing Hidden Chain-of-Thought in Frontier Models》，尝试打开这个黑箱。

研究团队找到的方法并不复杂：通过标准 API 的 tool calling 实现协议层提取，让多款前沿模型外显出具有推理性质的隐藏思维链。论文声明，所有提取实验均在 2026 年 9 月 9 日之前完成，研究团队已正式告知 OpenAI 与 Anthropic。

这里需要先划清一条边界：闭源模型的原生 CoT 不可见，因此提取出的 reasoning 只能作为研究其推理行为的有效代理，而非原生推理本身。论文本身也未对“提取出的 reasoning 是真实推理还是事后合理化”给出最终定论。

要判断提取方法是否可信，最直接的办法是在能直接观察原生思维链的开源模型上做对照。结果显示，工具提取的 reasoning 不仅远超无推理 baseline，在 DeepSeek-V4-Flash 上甚至略高于原生推理，在 GLM-5.2 上也接近原生推理。

文本相似度提供了另一个角度。研究团队对每道题进行多次 rollout，比较“原生思维链之间”以及“原生思维链与工具提取思维链”的相似度。在 DeepSeek-V4-Flash 上，两者的 ROUGE-L 分别为 0.198 和 0.188，5-gram Jaccard 更是同为 0.017。

换句话说，工具提取出的思维链与原生思维链的差异，已经接近模型多次生成原生思维链时自身的波动范围。不过论文也留下了一个未解问题：这种差异是否完全落在模型自身波动范围内，尚需更多验证。

在闭源模型上，研究团队跨数学、代码、科学的多个 benchmark 进行了测试，该工具提取方法性能接近原生推理，部分设置甚至略高，同时显著优于无推理 baseline。

研究团队从四个层面逐层拆解模型：推理长度与信息密度、推理活动组成、单个推理操作的表达粒度，以及全局推理树。一个突出的结果是：GPT-6 Astra 的推理树结构更紧凑——在深度相近的情况下，宽度和节点数显著更小。

在相同推理操作下，Astra 更常省略基础计算、代数变形等中间步骤，直接给出关键结论；Sol 和 Opus 则会显式展开更多推导过程。论文用了一个形象的类比：这有点像熟练的人在做“心算”，面对熟悉的计算或推导，并不需要把每一个中间步骤都写在纸上。

但 Astra 并非“想得更少”。它的推理活动组成与其他前沿模型高度相似：阅读、分析、规划、实现、探索、验证、监控七类活动的占比轮廓高度一致。不同模型“想的事”相似，区别只在“写出来多少”。论文因此认为，Astra 不是跳过推理，而是把许多细粒度步骤“心算”掉了，其效率来自“少外显”而非“少推理”。

为检验压缩思维链是否真的好用，研究团队将不同模型生成的思维链交给其他模型继续作答。结果显示，Sol 和 Opus 的思维链基本能被不同能力模型复用；而 Astra 的压缩思维链对强模型几乎无损，对弱模型则明显更难读。强模型能自行补全那些被省略的“心算”步骤，弱模型则不能。

更反直觉的是，Astra 在 73/80 道题中已明确写出正确答案，但较弱的接收者仍会答错。

论文因此提出：思维链的价值取决于“谁在读”，而不仅仅取决于“谁在写”。最强的教师模型，未必能写出最适合弱学生学习的思维链。这一结论是否普遍适用于其他前沿模型，论文并未给出明确答案，仍有待检验。

安全层面，论文指出禁用原生推理并不等于推理内容不会通过其他通道外泄。工具调用、可见回复都可能成为替代通道，防护应覆盖模型行为的全方位，而不只是推理通道本身。

提示词层面，论文认为更强模型未必响应“写出每一步”的指令，think-here 这类顺其行为的提示词反而更有效。

训练数据层面，论文提出最强教师未必构成最优监督来源。高度压缩的思维链会省略弱模型需要的中间步骤，而将压缩 trace 展开为显式步骤，可能恢复其对弱学生的教学价值。这三点启示是否可推广到所有闭源模型，尚待检验。