Zespół niezależnych badaczy wykazał, że modele sztucznej inteligencji mogą zawierać w pełni funkcjonalne ukryte możliwości, które matematycznie gwarantują uniknięcie wykrycia, nawet jeśli audytorzy mają pełny dostęp do wag modelu. Artykuł zatytułowany „Modele sztucznej inteligencji mogą ukrywać arbitralne możliwości” został opublikowany w serwisie arXiv 9 października 2026 r. przez Andisa Dragunsa, Sumeeta Ramesha Motwaniego, Raymonda Douglasa i Christiana Schroedera de Witta i wzbudził duże zainteresowanie w Hacker News w tym tygodniu po umieszczeniu go na pierwszej stronie witryny.
Praca uderza w podstawowe założenie współczesnej praktyki bezpieczeństwa sztucznej inteligencji: że niebezpieczne zachowania mogą zostać ujawnione przed wdrożeniem w drodze oceny możliwości, która bada model za pomocą testów mających na celu wykrycie wszystkich jego możliwości. Autorzy pokazują, że założenie to załamuje się w warunkach kontradyktoryjności. Jak to ujęto w artykule, wiarygodność ocen zdolności „zależy od założenia, że można wydobyć ukryte możliwości” – a konstruują ataki tam, gdzie to założenie w sposób oczywisty zawodzi. Dla czytelników śledzących najnowsze osiągnięcia sztucznej inteligencji w badaniach nad bezpieczeństwem artykuł ten jest jednym z najbardziej formalnych dowodów na to, że zdolny model mógłby w zasadzie przejść oceny, ukrywając swoje faktyczne możliwości.
Jak działa schemat ukrywania
Badacze stworzyli ataki typu backdoor, które osadzają tak zwane zaszyfrowane sieci neuronowe w wagach modelu hosta. Ukryta sieć znajduje się tam w zaszyfrowanej formie i nie ma żadnego wpływu na widoczne zachowanie modelu, dopóki nie otrzyma tajnego wyzwalacza. W tym momencie model odszyfrowuje ukryty obwód i wykonuje go.
Mechanizm kryptograficzny będący sercem konstrukcji to to, co autorzy nazywają cyfrowymi szafkami. Przy standardowych założeniach kryptograficznych te szafki sprawiają, że ukryte obwody są w sposób udowodniony trudne do wykrycia i trudne do zinterpretowania – nawet dla audytora, który ma pełny dostęp do wag modelu. Innymi słowy, ukrywanie nie polega na tym, że ukrywanie jest subtelne lub trudne do natknięcia się. Opiera się na matematycznych gwarancjach twardości tego samego rodzaju, które chronią szyfrowaną komunikację.
Rozszerza to wcześniejsze prace w tej dziedzinie, które wykazały, że modele mogą ukrywać stałe ciągi znaków, takie jak hasła lub krótkie wiadomości. Nowy artykuł znacząco przesuwa poprzeczkę: teraz można ukryć dowolne obliczenia — raczej kompletną, działającą zdolność niż statyczną tajemnicę.
Testowane pod kątem rzeczywistych technik audytu
Zespół wdrożył swoje konstrukcje sprawdzające koncepcję w PyTorch, a następnie zaatakował je za pomocą standardowego zestawu narzędzi do audytu modeli. W ocenach przetestowano wywoływanie poprzez dostrajanie, szumowanie wag, wyszukiwanie wyzwalaczy w oparciu o gradienty i utajone szkolenie kontradyktoryjne – szereg technik obrazujących, jak poważni audytorzy w rzeczywistości próbowaliby wydobyć ukryte zachowania z podejrzanego modelu.
Zadaniem testowym był niewielki problem z przewidywaniem reakcji chemicznych, wybrany celowo jako zastępczy potencjał o stawce w świecie rzeczywistym: zadania prognozowania chemicznego zastępują umiejętności związane z CBRN (chemiczną, biologiczną, radiologiczną i nuklearną), czyli kategorią zdolności, na której najbardziej skupiają się oceny przed rozmieszczeniem. Ukryte implementacje opierały się wszystkim rzucanym na nie metodom wywoływania.
Autorzy argumentują, że w połączeniu z gwarancjami kryptograficznymi ich wyniki ujawniają podstawowe ograniczenia audytów zdolności opartych na pozyskiwaniu informacji. Jeśli twórca modelu — lub złośliwa strona trzecia, która manipulowała modelem — ma motywację do ukrycia możliwości, audyty polegające na wydobyciu zachowania mogą po prostu nie być w stanie go znaleźć.
Dlaczego ma to znaczenie dla bezpieczeństwa sztucznej inteligencji
Oceny możliwości stały się standardową częścią procesu, w którym pionierskie laboratoria AI decydują, czy wydanie modeli jest bezpieczne. W artykule nie twierdzono, że modele produkcyjne obecnie ukrywają w ten sposób możliwości. Pokazuje raczej, że sama warstwa audytu ma słabość strukturalną: przeciwnik mający kontrolę nad uczeniem modelu mógłby w zasadzie osadzić w sobie funkcje, których nie ujawniłaby żadna ilość sondowań.
Konsekwencje idą w kilku kierunkach. W przypadku laboratoriów wzmacnia to argument za paranoicznym bezpieczeństwem łańcucha dostaw związanym z wagami modeli – punkt kontrolny z tylnymi drzwiami to nie tylko ryzyko dla niezawodności, ale potencjalnie niewykrywalne. W przypadku audytorów i organów regulacyjnych sugeruje to, że oceny oparte wyłącznie na próbkowaniu zachowań mogą wymagać uzupełnienia silniejszymi gwarancjami dotyczącymi sposobu szkolenia i obsługi modeli. A dla społeczności badawczej definiuje to konkretne wyzwanie obronne: autorzy opublikowali swoje modele specjalnie w celu wsparcia ulepszenia obrony przed tą klasą ataków.
Artykuł niesie ze sobą także szerszy wydźwięk filozoficzny. Duża część bezpieczeństwa sztucznej inteligencji opiera się na założeniu, że możemy przetestować naszą drogę do pewności — że wystarczająca liczba czerwonych drużyn odkryje, co potrafi model. Możliwy do udowodnienia mechanizm ukrywania nie czyni testowania bezużytecznym, ale oznacza, że zdanie każdego testu nie może być już traktowane jako dowód na to, że nie ma nic do znalezienia. W miarę jak modele pionierskie stają się coraz bardziej wydajne i autonomiczne, luka pomiędzy tym, co mogą wykazać audyty, a tym, co mogą zawierać modele, jest dokładnie tym rodzajem problemu, który dziedzina będzie zmuszona poważnie potraktować.
Pełny artykuł autorów, w tym konstrukcje kryptograficzne i szczegóły oceny, jest dostępny w witrynie arXiv, a opublikowane modele sprawdzające koncepcję dają obrońcom konkretny punkt wyjścia do metod wykrywania budynków, które przeciwdziałają ukrywaniu się w formie cyfrowych szafek.
---
Wyprzedź sztuczną inteligencjęOtrzymuj najnowsze wiadomości, analizy i przełomowe informacje dotyczące sztucznej inteligencji — wszystko w jednym miejscu.
Przeczytaj więcej aktualności o sztucznej inteligencji →
