Een team van onafhankelijke onderzoekers heeft aangetoond dat AI-modellen volledig functionele verborgen mogelijkheden kunnen bevatten waarvan wiskundig gegarandeerd is dat ze detectie omzeilen, zelfs als auditors volledige toegang hebben tot de gewichten van het model. Het artikel, getiteld "AI Models Can Provably Hide Arbitrary Capabilities", werd op 9 oktober 2026 op arXiv geplaatst door Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas en Christian Schroeder de Witt, en trok deze week veel aandacht op Hacker News nadat het op de voorpagina van de site stond.

Het werk raakt een kernaanname van de moderne AI-veiligheidspraktijk: dat gevaarlijk gedrag aan het licht kan komen voordat het wordt ingezet door middel van capaciteitsevaluaties, waarbij een model wordt onderzocht met tests die zijn ontworpen om uit te lokken wat het ook kan doen. De auteurs laten zien dat deze veronderstelling onder vijandige omstandigheden instort. Zoals het artikel stelt, hangt de betrouwbaarheid van capaciteitsevaluaties af van de veronderstelling dat verborgen capaciteiten kunnen worden ontketend – en zij construeren aanvallen waarbij die veronderstelling aantoonbaar faalt. Voor lezers die de laatste AI-ontwikkelingen op het gebied van veiligheidsonderzoek volgen, is het artikel een van de duidelijkste formele demonstraties tot nu toe dat een capabel model in principe de evaluaties zou kunnen doorstaan, terwijl het verborgen zou houden wat het feitelijk kan doen.

Hoe het verbergschema werkt

De onderzoekers bouwden backdoor-aanvallen die zogenaamde gecodeerde neurale netwerken inbedden in de gewichten van een hostmodel. Het verborgen netwerk bevindt zich daar in gecodeerde vorm en draagt ​​niets bij aan het zichtbare gedrag van het model, totdat het een geheime trigger ontvangt. Op dat moment decodeert het model het verborgen circuit en voert het uit.

Het cryptografische mechanisme dat de kern vormt van de constructie is wat de auteurs digitale kluisjes noemen. Onder standaard cryptografische aannames zorgen deze lockers ervoor dat de verborgen circuits aantoonbaar moeilijk te achterhalen en moeilijk te interpreteren zijn – zelfs voor een auditor die volledige toegang heeft tot de gewichten van het model. Met andere woorden, de verhulling is niet afhankelijk van het feit dat de verberging subtiel is of moeilijk te ontdekken is. Het vertrouwt op wiskundige hardheidsgaranties van dezelfde soort die gecodeerde communicatie beschermen.

Dit breidt eerder werk in het veld uit, waaruit bleek dat modellen vaste strings, zoals wachtwoorden of korte berichten, konden verbergen. Het nieuwe artikel verplaatst de doelpalen aanzienlijk: wat nu verborgen kan worden is een willekeurige berekening – een compleet, functionerend vermogen in plaats van een statisch geheim.

Getest tegen echte audittechnieken

Het team implementeerde hun proof-of-concept-constructies in PyTorch en viel ze vervolgens aan met de standaardtoolkit voor modelauditing. In de evaluaties werd de elicitatie getest door middel van verfijning, gewichtsruis, op gradiënten gebaseerde triggerzoekopdrachten en latente vijandige training – een reeks technieken die weergeven hoe serieuze auditors daadwerkelijk verborgen gedrag uit een verdacht model zouden proberen te halen.

De testtaak was een klein probleem voor het voorspellen van chemische reacties, bewust gekozen als maatstaf voor capaciteiten met reële belangen: chemische voorspellingstaken zijn een vervanging voor CBRN-relevante (chemische, biologische, radiologische en nucleaire) vaardigheden, de categorie van capaciteiten waar evaluaties vóór de inzet het meest om geven. De verborgen implementaties weerstonden alle elicitatiemethoden die op hen afkwamen.

Gecombineerd met de cryptografische garanties beweren de auteurs dat hun resultaten een fundamentele grens aan het licht brengen van op elicitatie gebaseerde capaciteitsaudits. Als een modelontwikkelaar – of een kwaadwillende derde partij die met een model heeft geknoeid – een prikkel heeft om een ​​mogelijkheid te verbergen, kunnen audits die erop vertrouwen dat het gedrag naar voren komt, dit gedrag wellicht eenvoudigweg niet vinden.

Waarom dit belangrijk is voor de AI-veiligheid

Capaciteitsevaluaties zijn een standaardonderdeel geworden van de manier waarop grensverleggende AI-laboratoria beslissen of modellen veilig kunnen worden vrijgegeven. Het artikel beweert niet dat productiemodellen momenteel op deze manier capaciteiten verbergen. Het laat eerder zien dat de auditlaag zelf een structurele zwakte heeft: een tegenstander die controle heeft over de training van een model zou in principe capaciteiten kunnen inbouwen die geen enkele hoeveelheid onderzoek zou onthullen.

De gevolgen gingen in verschillende richtingen. Voor laboratoria versterkt dit het pleidooi voor paranoïde beveiliging van de toeleveringsketen rond modelgewichten: een controlepunt met een achterdeur is niet alleen een betrouwbaarheidsrisico, maar ook een potentieel niet-detecteerbaar risico. Voor auditors en toezichthouders suggereert dit dat evaluaties die louter op gedragssteekproeven zijn gebaseerd, wellicht moeten worden aangevuld met sterkere garanties over de manier waarop modellen zijn getraind en gehanteerd. En voor de onderzoeksgemeenschap definieert het een concrete defensieve uitdaging: de auteurs hebben hun modellen specifiek publiekelijk vrijgegeven om de verbetering van de verdediging tegen deze klasse van aanvallen te ondersteunen.

Het artikel heeft ook een bredere filosofische inslag. Een groot deel van de veiligheid van AI berust op het idee dat we onze weg naar vertrouwen kunnen testen – dat voldoende red-teaming zal ontdekken wat een model kan doen. Een aantoonbaar verbergmechanisme maakt testen niet nutteloos, maar betekent wel dat het slagen voor elke test niet langer kan worden beschouwd als bewijs dat er niets te vinden is. Naarmate grensmodellen steeds capabeler en autonomer worden, is de kloof tussen wat audits kunnen aantonen en wat modellen kunnen bevatten precies het soort probleem dat het veld zal moeten serieus nemen.

Het volledige artikel van de auteurs, inclusief de cryptografische constructies en evaluatiedetails, is beschikbaar op arXiv, en de vrijgegeven proof-of-concept-modellen geven verdedigers een concreet startpunt voor het bouwen van detectiemethoden die werken tegen het verbergen van digitale kluisjes.

---

Blijf AI een stap voor

Ontvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.

Lees meer AI-nieuws →