Un team di ricercatori indipendenti ha dimostrato che i modelli di intelligenza artificiale possono contenere capacità nascoste pienamente funzionali che sono matematicamente garantite per eludere il rilevamento, anche quando gli auditor hanno accesso completo ai pesi del modello. L'articolo, intitolato "AI Models Can Provably Hide Arbitrary Capabilities", è stato pubblicato su arXiv il 9 ottobre 2026 da Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas e Christian Schroeder de Witt, e ha attirato molta attenzione su Hacker News questa settimana dopo essere apparso in prima pagina sul sito.
Il lavoro colpisce un presupposto fondamentale della moderna pratica di sicurezza dell’IA: che i comportamenti pericolosi possono emergere prima dell’implementazione attraverso valutazioni delle capacità, che sondano un modello con test progettati per suscitare tutto ciò che può fare. Gli autori mostrano che questa ipotesi crolla in condizioni contraddittorie. Come afferma il documento, l’affidabilità delle valutazioni delle capacità “dipende dal presupposto che le capacità nascoste possano essere suscitate” – e costruiscono attacchi laddove tale presupposto fallisce in modo dimostrabile. Per i lettori che seguono gli ultimi sviluppi dell'intelligenza artificiale nella ricerca sulla sicurezza, il documento è una delle dimostrazioni formali più evidenti finora che un modello capace potrebbe, in linea di principio, superare le sue valutazioni nascondendo ciò che può effettivamente fare.
Come funziona lo schema di occultamento
I ricercatori hanno creato attacchi backdoor che incorporano quelle che chiamano reti neurali crittografate all'interno dei pesi di un modello host. La rete nascosta rimane lì in forma crittografata e non contribuisce in alcun modo al comportamento visibile del modello finché non riceve un trigger segreto. A quel punto, il modello decodifica il circuito nascosto e lo esegue.
Il meccanismo crittografico al centro della costruzione è ciò che gli autori chiamano armadietti digitali. Secondo i presupposti crittografici standard, questi armadietti rendono i circuiti nascosti difficilmente individuabili e difficili da interpretare, anche per un revisore dei conti che ha pieno accesso ai pesi del modello. In altre parole, l’occultamento non si basa sul fatto che il nascondiglio sia subdolo o difficile da scoprire. Si basa su garanzie di durezza matematica dello stesso tipo che proteggono le comunicazioni crittografate.
Ciò estende il lavoro precedente sul campo, che aveva dimostrato che i modelli potevano nascondere stringhe fisse, come password o messaggi brevi. Il nuovo documento sposta considerevolmente i paletti: ciò che ora può essere nascosto è un calcolo arbitrario – una capacità completa e funzionante piuttosto che un segreto statico.
Testato rispetto a reali tecniche di audit
Il team ha implementato le proprie costruzioni proof-of-concept in PyTorch e poi le ha attaccate con il toolkit standard di auditing dei modelli. Le valutazioni hanno testato l’elicitazione attraverso la messa a punto, il rumore del peso, la ricerca di trigger basata sul gradiente e l’addestramento latente del contraddittorio: una serie di tecniche che rappresentano il modo in cui gli auditor seri cercherebbero effettivamente di estrarre comportamenti nascosti da un modello sospetto.
L’attività di test era un piccolo problema di previsione di una reazione chimica, scelto deliberatamente come proxy di capacità con interessi nel mondo reale: le attività di previsione chimica sostituiscono le competenze CBRN (chimiche, biologiche, radiologiche e nucleari), la categoria di capacità a cui tengono maggiormente le valutazioni pre-implementazione. Le implementazioni nascoste hanno resistito a tutti i metodi di elicitazione lanciati contro di loro.
Combinati con le garanzie crittografiche, gli autori sostengono che i loro risultati rivelano un limite fondamentale degli audit di capacità basati sull’elicitazione. Se uno sviluppatore di modelli – o una terza parte malintenzionata che ha manomesso un modello – ha un incentivo a nascondere una funzionalità, gli audit che si basano sull’individuazione del comportamento potrebbero semplicemente non essere in grado di trovarlo.
Perché questo è importante per la sicurezza dell'intelligenza artificiale
Le valutazioni delle capacità sono diventate una parte standard del modo in cui i laboratori di intelligenza artificiale di frontiera decidono se i modelli sono sicuri da rilasciare. Il documento non sostiene che i modelli di produzione attualmente nascondano capacità in questo modo. Piuttosto, mostra che lo stesso livello di audit ha una debolezza strutturale: un avversario con il controllo sulla formazione di un modello potrebbe in linea di principio incorporare capacità che nessuna indagine rivelerebbe.
Le implicazioni vanno in diverse direzioni. Per i laboratori, ciò rafforza la tesi a favore di una sicurezza paranoica della catena di approvvigionamento in merito ai pesi dei modelli: un checkpoint backdoor non è solo un rischio per l’affidabilità, ma potenzialmente non rilevabile. Per i revisori e le autorità di regolamentazione, ciò suggerisce che le valutazioni basate esclusivamente sul campionamento del comportamento potrebbero dover essere integrate da maggiori garanzie su come i modelli sono stati addestrati e gestiti. E per la comunità di ricerca si tratta di una sfida difensiva concreta: gli autori hanno pubblicato pubblicamente i loro modelli proprio per sostenere il miglioramento delle difese contro questa classe di attacchi.
Il documento porta con sé anche una valenza filosofica più ampia. Gran parte della sicurezza dell’IA si basa sull’idea che possiamo testare il nostro percorso verso la fiducia – che un numero sufficiente di squadre rosse scoprirà cosa può fare un modello. Un meccanismo di occultamento dimostrabile non rende inutili i test, ma significa che il superamento di ogni test non può più essere considerato una prova che non c’è nulla da trovare. Man mano che i modelli di frontiera diventano più capaci e autonomi, il divario tra ciò che gli audit possono mostrare e ciò che i modelli possono contenere è esattamente il tipo di problema che il settore sarà costretto a prendere sul serio.
Il documento completo degli autori, comprese le costruzioni crittografiche e i dettagli di valutazione, è disponibile su arXiv, e i modelli proof-of-concept rilasciati forniscono ai difensori un punto di partenza concreto per costruire metodi di rilevamento che funzionino contro l’occultamento in stile armadietto digitale.
---
Stai al passo con l'intelligenza artificialeRicevi le ultime notizie, analisi e scoperte sull'intelligenza artificiale, tutto in un unico posto.
Leggi altre notizie sull'AI →
