צוות של חוקרים בלתי תלוי הוכיח שמודלים של AI יכולים לשאת יכולות נסתרות פונקציונליות מלאות שמובטחות מתמטית לחמוק מזיהוי, גם כאשר למבקרים יש גישה מלאה למשקולות של המודל. המאמר, שכותרתו "דגמי AI יכולים להסתיר יכולות שרירותיות", פורסם ב-arXiv ב-9 באוקטובר 2026 על ידי Andis Draguns, Sumeet Ramesh Motwani, ריימונד דאגלס וכריסטיאן שרדר דה וויט, ומשך תשומת לב משמעותית ב-Hacker News השבוע לאחר שהופיעו בעמוד הראשון של האתר.
העבודה פוגעת בהנחת יסוד של פרקטיקת בטיחות בינה מלאכותית מודרנית: שניתן להעלות התנהגויות מסוכנות לפני הפריסה באמצעות הערכות יכולות, אשר בודקות מודל עם בדיקות שנועדו להעלות את כל מה שהוא יכול לעשות. המחברים מראים כי הנחה זו קורסת בתנאים יריבים. כפי שהמאמר מגדיר זאת, המהימנות של הערכות יכולות "תלויה בהנחה שניתן להעלות יכולות נסתרות" - והן בונות התקפות היכן שההנחה הזו נכשלת ככל הנראה. לקוראים שעוקבים אחר התפתחויות הבינה המלאכותיות האחרונות במחקרי בטיחות, המאמר הוא אחת ההדגמות הפורמליות הבוטות ביותר עד כה, שמודל מסוגל יכול, באופן עקרוני, לעבור את ההערכות שלו תוך הסתרת מה שהוא יכול לעשות בפועל.
כיצד פועלת תכנית ההסתרה
החוקרים בנו התקפות דלת אחוריות שמטמיעות את מה שהם מכנים רשתות עצביות מוצפנות בתוך משקלים של מודל מארח. הרשת הנסתרת יושבת שם בצורה מוצפנת, ולא תורמת דבר להתנהגות הגלויה של הדגם, עד שהיא מקבלת טריגר סודי. בשלב זה, המודל מפענח את המעגל הנסתר ומבצע אותו.
המנגנון ההצפנה שבלב הבנייה הוא מה שהמחברים מכנים לוקרים דיגיטליים. תחת הנחות קריפטוגרפיות סטנדרטיות, הלוקרים הללו הופכים את המעגלים הנסתרים לקשים לגילוי וקשים לפירוש - אפילו עבור מבקר שיש לו גישה מלאה למשקלים של המודל. במילים אחרות, ההסתרה אינה מסתמכת על כך שהמחבוא יהיה עדין או שקשה להיתקל בו. הוא מסתמך על ערבויות קשיות מתמטיות מאותו סוג המגנות על תקשורת מוצפנת.
זה מרחיב את העבודה הקודמת בתחום, שהוכיחה שדגמים יכולים להסתיר מחרוזות קבועות, כמו סיסמאות או הודעות קצרות. המאמר החדש מזיז את עמודי המטרה במידה ניכרת: מה שניתן כעת להסתיר הוא חישוב שרירותי - יכולת מלאה ומתפקדת ולא סוד סטטי.
נבדק נגד טכניקות ביקורת אמיתיות
הצוות יישם את הקונסטרוקציות של הוכחת קונספט שלהם ב- PyTorch ואז תקף אותם עם ערכת הכלים הסטנדרטית של ביקורת מודלים. ההערכות בדקו גילוי באמצעות כוונון עדין, רעשי משקל, חיפוש טריגרים מבוסס-הדרגה ואימון יריבות סמוי - מגוון טכניקות המייצגות כיצד אודיטורים רציניים ינסו למעשה לחלץ התנהגות נסתרת ממודל חשוד.
משימת הבדיקה הייתה בעיה קטנה של חיזוי תגובה כימית, שנבחרה בכוונה כפרוקסי ליכולות עם הימור בעולם האמיתי: משימות חיזוי כימיות הן מעמד של מיומנויות רלוונטיות ל-CBRN (כימיות, ביולוגיות, רדיולוגיות וגרעיניות), קטגוריית היכולות שהכי חשובה להערכות טרום-פריסה. המימושים הנסתרים התנגדו לכל שיטות הגירוי שנזרקו עליהם.
בשילוב עם הערבויות ההצפנה, הכותבים טוענים שהתוצאות שלהם חושפות מגבלה בסיסית של ביקורת יכולות מבוססות-elicitation. אם למפתח מודל - או לצד שלישי זדוני שהתעסק במודל - יש תמריץ להסתיר יכולת, ייתכן שביקורות המסתמכות על הוצאת ההתנהגות החוצה, פשוט לא יוכלו למצוא אותה.
למה זה חשוב לבטיחות בינה מלאכותית
הערכות יכולות הפכו לחלק סטנדרטי מהאופן שבו מעבדות בינה מלאכותית מחליטות אם מודלים בטוחים לשחרור. העיתון אינו טוען שדגמי ייצור מסתירים כיום יכולות כך. במקום זאת, זה מראה שלשכבת הביקורת עצמה יש חולשה מבנית: יריב עם שליטה על הכשרת המודל יכול להטמיע באופן עקרוני יכולות ששום בדיקה לא תגלה.
ההשלכות חתכו לכמה כיוונים. עבור מעבדות, זה מחזק את המקרה לאבטחת שרשרת אספקה פרנואידית סביב משקלי דגמים - מחסום בדלת אחורית הוא לא רק סיכון אמינות אלא סיכון שעלול להיות בלתי ניתן לזיהוי. עבור מבקרים ורגולטורים, זה מציע שייתכן שיהיה צורך להשלים הערכות המבוססות אך ורק על דגימת התנהגות על ידי ערבויות חזקות יותר לגבי האופן שבו מודלים הוכשרו וטופלו. ועבור קהילת המחקר, זה מגדיר אתגר הגנתי קונקרטי: המחברים פרסמו את המודלים שלהם באופן פומבי במיוחד כדי לתמוך בשיפור ההגנות מפני סוג זה של התקפה.
המאמר נושא גם עוקץ פילוסופי רחב יותר. חלק גדול מהבטיחות של AI נשען על הרעיון שאנחנו יכולים לבחון את דרכנו לביטחון עצמי - שצוות אדום מספיק ימצא את מה שדגם יכול לעשות. מנגנון הסתרה שניתן להוכיח לא הופך את הבדיקה לחסרת תועלת, אבל זה אומר שלא ניתן להתייחס עוד למעבר כל מבחן כהוכחה שאין מה למצוא. ככל שמודלים חזיתיים גדלים יותר מסוגלים ואוטונומיים יותר, הפער הזה בין מה שביקורות יכולות להראות לבין מה שמודלים עשויים להכיל הוא בדיוק סוג הבעיה שהתחום ייאלץ לקחת ברצינות.
המאמר המלא של המחברים, כולל המבנים ההצפנה ופרטי ההערכה, זמין ב-arXiv, והמודלים של הוכחת מושג שפורסמו נותנים למגינים נקודת התחלה קונקרטית לבניית שיטות זיהוי הפועלות נגד הסתרה בסגנון לוקר דיגיטלי.
---
הישאר לפני AIקבל את החדשות, הניתוחים ופריצות הדרך האחרונות של AI - הכל במקום אחד.
קרא עוד חדשות AI →
