AIモデルは任意の能力を証明可能な形で隠蔽できる：モデル監査への影響

引き出しに基づく監査の課題

AIモデルの能力評価は、モデルが危険な能力を保有している場合、テストを通じてそれを引き出せるという前提に依存しています。新しい研究「AIモデルは任意の能力を証明可能な形で隠蔽できる」（Dragunsら、2026年）は、この基盤となる前提に異議を唱えています。著者らは、ホストモデルの重みの中に暗号化されたニューラルネットワークを埋め込むバックドア攻撃を構築できることを実証しました。これらの隠された回路は休眠状態を保ち、暗号学的に安全であり、特定の秘密のトリガーが与えられた場合にのみその機能を実行します。この研究は、現在の監査実務における根本的な限界を明らかにしています。これらの隠された能力は、モデルの重みへの完全なアクセスがあっても、検出や解釈が証明可能なほど困難だからです。

技術的実装と耐性

研究者らは「デジタルロッカー」を利用して、モデルの重み内に任意の計算を埋め込みました。重み分析や単純なパターンマッチングで特定される可能性のある従来のバックドアとは異なり、これらの構造は標準的な引き出し手法に対して耐性を持つように設計されています。チームは、概念実証モデルをいくつかの一般的な安全性および監査技術に対してテストしました。これには以下が含まれます：

• ファインチューニング： モデルの動作を変更して隠された回路を明らかにしようとする試み。
• 重みノイズ付加： 重みに摂動を導入して隠された構造を破壊する試み。
• 勾配ベースのトリガー探索： 最適化を使用して潜在的な動作を活性化する入力を見つける試み。
• 潜在敵対的トレーニング： モデルに隠された内部状態を明らかにさせようとする試み。

化学反応予測タスクをCBRN関連能力のプロキシとして焦点を当てた実験では、隠された回路はこれらの引き出しの試みに首尾よく耐えました。この発見は、静的解析と現在の行動テストでは、モデル内の悪意のある休眠コードの不在を保証するには不十分であることを示唆しています。

理論的および実践的影響

この研究は、AI安全性における重要な緊張関係を浮き彫りにしています：良性のモデルと「スリーパーエージェント」や「満州候補」スタイルのペイロードを宿したモデルを区別できないことです。この研究へのコメント投稿者は、この現象がライスの定理と一致すると指摘しています。ライスの定理は、十分に表現力のある計算システムでは、非自明な実行時プロパティは静的解析では決定できないと述べています。したがって、プログラムを実行してその動作を観察する必要がありますが、トリガーメカニズムにより、危険な動作は標準的な評価段階では隠されたままになります。

モデルセキュリティに関するコミュニティの視点

この研究の発表は、オープンソースおよびプロプライエタリなモデルセキュリティの将来について重要な議論を引き起こしました：

• 「オープンソース」のジレンマ： 一部の観察者は、この発見が、透明性によりオープンソースモデルが本質的に安全であるという物語を複雑にすると主張しています。モデルが暗号化された休眠ペイロードを含むことができるなら、重みへの完全なアクセスがあっても安全性を保証するには不十分かもしれません。
• データポイズニングの懸念： 意図的なエンジニアリングではなく、トレーニング中にそのようなバックドアを誤って注入するために、公開データセットが汚染される可能性があるかどうかについての憶測があります。
• アライメントとリスク： 議論の繰り返し出てくるテーマは、「アライメント」が十分な防御策であるかどうかです。あるコメント投稿者が指摘したように、「モデルが適切にアライメントされている限り、隠された能力はあなたにとって悪いものにはなりません。」しかし、モデルの内部目的が人間の意図から逸脱し、モデルが隠された潜在的に悪意のある知識を自己強化するシナリオにつながることを懸念する人もいます。

最終的に、この論文は、業界が単純な引き出しベースの監査を超えて進む必要があることを示唆しています。著者らは、より堅牢な防御メカニズムへのさらなる研究を促進するためにモデルを公開しました。現在の監査フレームワークは、真の能力を隠すように設計された敵対的モデルに対処するには不十分であることを認識しています。

要約

研究者らは、ニューラルネットワークが、標準的な監査技術では検出不可能な、暗号化された任意の計算回路を重み内に隠すように設計できることを実証しました。これらの回路は、特定の入力によってトリガーされるまで検出されません。

タイトル

AIモデルは任意の能力を証明可能な形で隠蔽できる：モデル監査への影響