AI 模型可以被证明能够隐藏任意能力：对模型审计的影响

基于诱导的审计所面临的挑战

AI 模型的各种能力评估都基于这样一个假设：如果一个模型具备某种危险能力，那么它可以通过测试被诱导出来。一项名为“AI 模型可以被证明能够隐藏任意能力”（Draguns et al., 2026）的新研究挑战了这一基础假设。作者证明了构建后门攻击是可能的，这种攻击可以将加密的神经网络嵌入到宿主模型的权重中。这些隐藏的电路保持休眠状态且在密码学上是安全的，只有在提供特定的秘密触发器时才会执行其功能。这项研究揭示了当前审计实践中的一个根本性限制，因为即使拥有模型权重的完全访问权限，这些隐藏的能力也被证明难以检测或解释。

技术实现与防御能力

研究人员利用“数字锁”将任意计算嵌入到模型权重中。与那些可能通过权重分析或简单模式匹配识别出的传统后门不同，这些结构被设计为能够抵御标准的诱导方法。研究团队针对几种常见的安全和审计技术测试了他们的概念验证模型，包括：

• 微调 (Fine-tuning)： 试图改变模型的行为以揭示隐藏电路。
• 权重噪声 (Weight noising)： 在权重中引入扰动以破坏隐藏结构。
• 基于梯度的触发器搜索 (Gradient-based trigger search)： 使用优化方法寻找激活潜在行为的输入。
• 潜在对抗训练 (Latent adversarial training)： 试图强迫模型揭示隐藏的内部状态。

在他们的实验中，研究重点是化学反应预测任务，以此作为 CBRN（化学、生物、放射和核）相关能力的代理，结果显示隐藏电路成功抵御了这些诱导尝试。研究结果表明，静态分析和当前的各种行为测试不足以保证模型中不存在恶意的、休眠的代码。

理论与实践意义

这项研究突显了 AI 安全领域的一个重大矛盾：无法区分一个良性模型和一个潜藏着“潜伏特工”或“满洲候选人”式载荷的模型。该研究的评论者指出，这种现象与莱斯定理（Rice's Theorem）相一致，该定理认为对于任何足够强大的计算系统，无法通过静态分析确定非平凡的运行时属性。因此，人们必须执行程序以观察其行为，但触发机制确保了危险行为在标准评估阶段保持隐藏。

社区对模型安全的看法

这项研究的发表引发了关于开源和闭源模型安全未来的重大讨论：

• “开源”困境： 一些观察人士认为，这一发现使“开源模型因透明而更安全”的说法变得复杂。如果一个模型可以包含加密的、休眠的载荷，那么即使拥有权重的完全访问权限也可能不足以确保安全。
• 数据投毒担忧： 人们猜测公共数据集是否可能被污染，从而在训练过程中无意中注入此类后门，而非通过蓄意工程。
• 对齐与风险： 讨论中一个反复出现的主题是“对齐”是否是一种充分的防御手段。正如一位评论者所言：“只要模型被正确对齐，隐藏的能力对你来说就不会是坏事。”然而，其他人担心模型的内部目标可能会偏离人类意图，导致模型自我强化隐藏的、潜在的恶意知识。

最终，该论文建议行业必须超越简单的基于诱导的审计。作者已经发布了他们的模型，以鼓励对更强大的防御机制进行进一步研究，并承认当前的审计框架无法应对旨在隐藏其真实能力的对抗性模型。