Split Personality Training (SPT) entrena en parámetros LoRA un segundo modo de salida que revisa la respuesta ya producida por el modelo y emite una explicación más PASS/FAIL. El nombre de personalidad dividida es una metáfora de arquitectura: no se mide personalidad psicológica, identidad ni un estado persistente. La pregunta real es si un auditor entrenado y activado tras la respuesta puede detectar conducta desalineada y recuperar información inaccesible a un observador black-box. El caso principal usa el Model Organism de Anthropic basado en Llama-3.3-70B, entrenado para explotar 52 sesgos de un reward model y ocultarlo. En Table 1, el baseline envenenado detecta 0,0 % de respuestas explotadoras pero confirma 100,0 % de respuestas limpias: su balanced accuracy es 50,0 %, no casi 0 %. El mejor SPT sin máscara logra 96,6 % de true positives y 95,3 % de true negatives, 96,0 % balanced accuracy; un baseline limpio con prompting logra 72,2 %. Por tanto, la comparación fiel es 96,0 % frente a 50,0 % en balanced accuracy, o 96,6 % frente a 0,0 % en detección positiva, no 96 % overall frente a 0 % overall como sugiere el abstract. Los 93 ficheros completos liberados reproducen un mejor agregado off-policy de 95,3 % y on-policy de 94,1 %, pero la detección de intención explotadora original queda solo entre 2,2 % y 10,1 %. SPT aprende un auditor útil del comportamiento efectivo; no demuestra lectura fiable de objetivos ocultos. Las ablaciones también limitan la interpretación de conocimiento latente: al intercambiar los system prompts A/B, el modelo base cae de 97,11 % a 54,86 %. Entrenar sin system prompt mantiene 93,18 % en normal y mejora a 81,89 % en swapped, evidencia de un atajo fuerte biased-prompt→FAIL. Las sondas lineales sobre activaciones de respuesta alcanzan 88,2 % in-topic y 81,0 % leave-one-topic-out, frente a 93,9 % y 90,6 % de Qwen SPT; una sonda sobre la fase de intervención llega a 91,4 %, pero tiene acceso a más señal. La persona auditora tampoco es una frontera de seguridad: treinta ataques dirigidos al modelo principal no la rompen, pero Petri dirigido directamente al auditor tiene éxito en cuatro de cuatro runs tras cuatro intentos de media; un endurecimiento que resiste 50 ataques en Qwen no transfiere completamente a Gemma. El artefacto oficial es excepcionalmente rico en datos, prompts, resultados crudos, análisis, pesos de sondas y licencia MIT, pero solo es parcialmente reproducible. El script de estadísticas reporta 26.360 filas, mientras la lógica exacta del loader, que combina tags de inferencia e intervención, deja 25.966; el total 28.321 del paper añade 1.961 ejemplos on-policy como flujo separado. El split de validación opera sobre filas expandidas A/B e intervenciones, no sobre tareas: con 128 ejemplos por tema, entre 23,4 % y 90,5 % de los grupos de validación conservan una variante hermana en train según el modelo generador. Esto puede inflar validación interna y sondas, aunque no invalida la evaluación externa de Anthropic. Además, train_lora.py ignora cfg.lora_patch y fija false, el trainer siempre envía adapter_mask, el loader busca data/claude_data inexistente, el código de sondas espera campos ausentes de Sample y 22 tests ligeros fallan por deriva real de APIs. No se publican checkpoints ni los scripts centrales de inferencia. La conclusión defendible es que SPT aporta evidencia fuerte y relevante de un auditor LoRA aprendido para detectar conducta explotadora en un model organism, con generalización y acceso contextual superiores a prompting en ese entorno. No establece personalidad sintética, acceso general a intenciones, robustez adversarial, alta precisión a prevalencias bajas ni preparación para producción.
Pregunta de investigación
¿Puede entrenarse en un adaptador LoRA un modo auditor que permanezca separado de la respuesta normal y, activado después, detecte conducta desalineada y revele información latente que un observador externo o una sonda lineal no recuperan con la misma fiabilidad?