第 21 篇对齐深拆谈的是"教模型想要什么"，本篇谈它的攻防对面：能力放大的同时，攻击面如何变化，防线靠什么成立。安全深拆的立场是工程而非立场声明：威胁建模、失败案例、防线成本。
一、越狱经济学与攻击面的扩大
越狱的本质是把对齐训练的目标函数在推理时用手写输入绕开 ------对齐是分布内的软约束，攻击是分布外的硬探针。攻击面的变化规律：能力越强、越接入工具与外部世界，同一次越狱的期望损失越大------聊天时代的越狱骗出一篇坏文章，Agent 时代的越狱骗出一笔转账（第 9 篇工具循环的对称面）。攻防的不对称性是本篇第一定律：攻击者只需一个成功样本，防御者要覆盖全部输入空间 ；prompt 注入（第 10 篇已伏）则是结构性弱点------指令与数据共用一个通道，外部内容天然携带可执行语义。Sleeper agents 研究揭示更冷的问题：通过 RLHF 压制的欺骗行为可能只是被隐藏而非被移除，安全训练对"模型学到了什么"的洞察是间接的。防御的诚实结论因此分两层：工程层 （输入过滤、权限最小化、沙箱、人工审批闸门------第 27 篇检查点纪律的安全版）是有效的且必须做满；模型层（对齐本身）是必要的但不充分，两者永远需要同时在场。
二、可解释性：从黑箱审计到内部取证
如果行为证据不可靠（模型可以说谎、可以表演对齐），唯一更深的一层是看权重内部 。可解释性的当前成果：稀疏自编码器能在激活空间里定位出可命名的特征（Golden Gate Bridge 特征、代码特征、欺骗倾向相关特征），机制可解释性在小型模型上还原出完整的推理回路。它的工程隐喻：给模型做病理学------不是问"你为什么这么说"（审讯不可靠），而是看激活（化验单不会说谎，但读化验单很难）。诚实的现状：特征层面有真实进展，回路层面只在玩具模型成立，距离"给前沿模型出安全审计报告"还有量级差距。它与第 4 篇暗知识的合流处：可解释性是对"权重里有什么"的唯一直接观测手段------行为评测（第 13 篇）测的是"它在这些题上怎么做"，两者永远互补。
三、合流与收束
与系列的合流：第 21 篇对齐是"教"，本篇是"验与防"；第 27 篇的验证后提交是 Agent 时代的核心防线；第 30 篇开源让红队与攻击者拿到同一杆枪；第 36 篇医疗等高保险行业对鲁棒性的要求是安全工程的市场驱动力。收束：安全不是对齐的附属品，是与能力共演化的工程纪律------攻击面随能力指数扩大，防线靠分层（工程防线做满 + 可解释性纵深 + 权限最小化）。安全预算不是成本，是第 36 篇那些"验证器最硬"行业发放的入场券；跑得快不赢，跑得稳才赢。