Quando Anthropic ha mappato lo “J‑space”, lo spazio concettuale silenzioso in cui Claude esegue passaggi di ragionamento mai trascritti, molti lo hanno liquidato come un’ulteriore curiosità da laboratorio. Il classico esempio — internamente 21 → 42 → 49, ma in chat compare solo “49” — dimostrava però che ciò che il modello “pensa” non coincide con ciò che scrive. La vera sorpresa è arrivata quando un ricercatore indipendente ha preso quella stessa lente Jacobiana, l’ha montata su Qwen3-8B in esecuzione locale e ne ha ricavato un meccanismo di difesa per agenti autonomi.

Il salto non è banale. La catena di pensiero (chain‑of‑thought) restituisce testo leggibile, mentre J‑space abita direttamente le attivazioni del modello: vettori che codificano intenzioni, inclinazioni, concetti silenziosi. La lente Jacobiana (J‑lens) proietta quelle attivazioni in uno spazio interpretabile, mostrando quando il modello sta deragliando prima ancora che la deriva diventi output. Nel caso specifico, la sonda ha intercettato una tendenza a produrre sequenze come “To, You, Do…” invece del JSON atteso durante una tool call. Segnale debole, ma sistematico.

Da qui la costruzione di un guard rail: intercetta il drift → (stop / cancel / keep useful space) → recupera l’esecuzione. Il loop di guardia è stato cablato in un agente locale, e i casi di recupero sono stati distillati in dati per un LoRA, addestrando il modello a non cadere nello stesso schema. Funziona tutto offline, su hardware consumer. Il ricercatore ha pubblicato un video dimostrativo di otto minuti, invitando a discutere l’architettura della sonda e del guard loop.

Per chi governa stack AI on‑premise, la storia è densa di implicazioni. Primo: la sicurezza agentica smette di essere una commodity da comprare via API e diventa un artefatto che si costruisce dentro il proprio ambiente, con modelli aperti e sonde autocostruite. Secondo: la frontiera della reliability si sposta dall’output filtering all’introspection, un cambio di paradigma che premia chi ha accesso diretto ai pesi e alle attivazioni del modello — esattamente il contrario di chi consuma LLM come scatole nere in cloud. Terzo, e più strutturale: la ricerca di Anthropic, pensata per modelli proprietari, viene assorbita, generalizzata e rimessa in produzione dalla comunità open source nel giro di pochi mesi, segnalando un’accelerazione che ridefinisce gli equilibri tra laboratori closed e l’ecosistema self‑hosted.

Certo, un setup del genere richiede competenze di meccanica interpretativa e un’infrastruttura di testing robusta; non è un prodotto, è una postura. Ma se l’obiettivo è un’AI agentica che operi in ambienti regolati o con dati sensibili, avere un guardiano che legge la mente del modello — e non solo la sua bocca — cambia la nozione stessa di controllo. Perde quota chi vende sicurezza come servizio senza concedere introspezione; guadagna terreno chi assembla ed esplora modelli on‑premise, magari affiancando tecniche come queste a quelle già discusse su /llm-onpremise per valutare i trade‑off del deployment.