Ett team av oberoende forskare har visat att AI-modeller kan bära fullt fungerande dolda möjligheter som matematiskt garanterar att de undviker upptäckt, även när revisorer har fullständig tillgång till modellens vikter. Tidningen, med titeln "AI Models Can Provably Hide Arbitrary Capabilities", postades på arXiv den 9 oktober 2026 av Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas och Christian Schroeder de Witt, och väckte stor uppmärksamhet på Hacker News denna vecka efter att ha gjort sajtens förstasida.
Arbetet slår mot ett kärnantagande i modern AI-säkerhetspraxis: att farliga beteenden kan upptäckas innan de distribueras genom kapacitetsutvärderingar, som undersöker en modell med tester utformade för att framkalla vad den än kan göra. Författarna visar att detta antagande kollapsar under motstridiga förhållanden. Som tidningen uttrycker det, beror tillförlitligheten av kapacitetsutvärderingar "på antagandet att dolda kapaciteter kan framkallas" - och de konstruerar attacker där det antagandet bevisligen misslyckas. För läsare som följer den senaste AI-utvecklingen inom säkerhetsforskning är tidningen en av de skarpaste formella demonstrationerna hittills att en kapabel modell i princip skulle kunna klara sina utvärderingar samtidigt som den döljer vad den faktiskt kan göra.
Hur gömningsschemat fungerar
Forskarna byggde bakdörrsattacker som bäddade in vad de kallar krypterade neurala nätverk i en värdmodells vikter. Det dolda nätverket sitter där i krypterad form och bidrar ingenting till modellens synliga beteende, tills den får en hemlig trigger. Vid den tidpunkten dekrypterar modellen den dolda kretsen och exekverar den.
Den kryptografiska mekanismen i hjärtat av konstruktionen är vad författarna kallar digitala skåp. Under vanliga kryptografiska antaganden gör dessa skåp de dolda kretsarna bevisligen svåra att få fram och svåra att tolka - även för en revisor som har full tillgång till modellens vikter. Döljandet är med andra ord inte beroende av att gömslet är subtilt eller svårt att snubbla över. Den förlitar sig på matematiska hårdhetsgarantier av samma slag som skyddar krypterad kommunikation.
Detta utökar tidigare arbete på området, som hade visat att modeller kunde dölja fasta strängar, som lösenord eller korta meddelanden. Den nya tidningen flyttar målstolparna avsevärt: vad som nu kan döljas är en godtycklig beräkning - en komplett, fungerande förmåga snarare än en statisk hemlighet.
Testad mot verkliga revisionstekniker
Teamet implementerade sina proof-of-concept-konstruktioner i PyTorch och attackerade dem sedan med standardverktyget för modellrevision. Utvärderingarna testade framkallning genom finjustering, viktbrus, gradientbaserad triggersökning och latent motstridig träning – en rad tekniker som representerar hur seriösa revisorer faktiskt skulle försöka extrahera dolt beteende från en misstänkt modell.
Testuppgiften var ett litet problem med förutsägelse av kemiska reaktioner, valt medvetet som en proxy för förmågor med verkliga insatser: uppgifter om kemiska förutsägelser är en stand-in för CBRN-relevanta (kemiska, biologiska, radiologiska och nukleära) färdigheter, den kategori av förmågor som utvärderingar före utplacering bryr sig mest om. De dolda implementeringarna motstod alla framkallningsmetoder som kastades mot dem.
I kombination med de kryptografiska garantierna, hävdar författarna att deras resultat avslöjar en grundläggande gräns för elicitationsbaserade kapacitetsrevisioner. Om en modellutvecklare - eller en illvillig tredje part som manipulerat en modell - har ett incitament att dölja en förmåga, kan revisioner som bygger på att dra ut beteendet helt enkelt inte hitta det.
Varför detta är viktigt för AI-säkerhet
Kapacitetsutvärderingar har blivit en standarddel av hur frontier AI-labb avgör om modeller är säkra att släppa. Tidningen hävdar inte att produktionsmodeller för närvarande döljer kapacitet på detta sätt. Snarare visar det att själva revisionsskiktet har en strukturell svaghet: en motståndare med kontroll över en modells träning kan i princip bädda in förmågor som ingen mängd sondering skulle avslöja.
Konsekvenserna går åt flera håll. För laboratorier stärker det argumentet för paranoid säkerhet i leveranskedjan kring modellvikter - en backdoored checkpoint är inte bara en tillförlitlighetsrisk utan en potentiellt oupptäckbar sådan. För revisorer och tillsynsmyndigheter tyder det på att utvärderingar baserade enbart på beteendesurval kan behöva kompletteras med starkare garantier om hur modeller tränades och hanterades. Och för forskarvärlden definierar det en konkret defensiv utmaning: författarna har släppt sina modeller offentligt specifikt för att stödja förbättringen av försvaret mot denna klass av attacker.
Tidningen bär också en bredare filosofisk prägel. Mycket av AI-säkerheten vilar på idén att vi kan testa oss till förtroende - att tillräckligt med röda team kommer att hitta vad en modell kan göra. En bevisbar döljningsmekanism gör inte testning värdelös, men det betyder att godkända varje test inte längre kan behandlas som ett bevis på att det inte finns något att hitta. I takt med att frontiermodeller blir mer kapabla och mer autonoma, är det gapet mellan vad revisioner kan visa och vad modeller kan innehålla exakt den typ av problem som fältet kommer att tvingas ta på allvar.
Författarnas fullständiga papper, inklusive de kryptografiska konstruktionerna och utvärderingsdetaljerna, finns på arXiv, och de släppta proof-of-concept-modellerna ger försvarare en konkret utgångspunkt för att bygga detekteringsmetoder som fungerar mot döljande av digitala skåp.
---
Stay ahead of AIFå de senaste AI-nyheterna, analyserna och genombrotten – allt på ett ställe.
Läs mer AI-nyheter →
