Một nhóm các nhà nghiên cứu độc lập đã chứng minh rằng các mô hình AI có thể mang đầy đủ các khả năng tiềm ẩn được đảm bảo về mặt toán học để tránh bị phát hiện, ngay cả khi kiểm toán viên có toàn quyền truy cập vào trọng số của mô hình. Bài báo có tiêu đề "Các mô hình AI có thể chứng minh được khả năng ẩn tùy ý" đã được Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas và Christian Schroeder de Witt đăng lên arXiv vào ngày 9 tháng 10 năm 2026 và đã thu hút sự chú ý đáng kể trên Hacker News trong tuần này sau khi xuất hiện trên trang nhất của trang web.

Công trình này dựa trên giả định cốt lõi của thực hành an toàn AI hiện đại: các hành vi nguy hiểm có thể được phát hiện trước khi triển khai thông qua đánh giá năng lực, thăm dò một mô hình bằng các thử nghiệm được thiết kế để tìm ra bất cứ điều gì nó có thể làm. Các tác giả cho thấy rằng giả định này sụp đổ trong các điều kiện bất lợi. Như bài báo đã nêu, độ tin cậy của việc đánh giá khả năng "phụ thuộc vào giả định rằng các khả năng tiềm ẩn có thể được khơi gợi" - và họ xây dựng các cuộc tấn công trong đó giả định đó có thể được chứng minh là thất bại. Đối với những độc giả đang theo dõi những phát triển AI mới nhất trong nghiên cứu an toàn, bài viết này là một trong những minh chứng chính thức rõ ràng nhất rằng về nguyên tắc, một mô hình có khả năng có thể vượt qua các đánh giá của nó trong khi che giấu những gì nó thực sự có thể làm.

Cách hoạt động của Lược đồ Ẩn

Các nhà nghiên cứu đã xây dựng các cuộc tấn công cửa sau nhúng cái mà họ gọi là mạng lưới thần kinh được mã hóa bên trong trọng số của mô hình máy chủ. Mạng ẩn nằm ở dạng được mã hóa, không đóng góp gì vào hành vi hiển thị của mô hình cho đến khi nó nhận được một kích hoạt bí mật. Tại thời điểm đó, mô hình sẽ giải mã mạch ẩn và thực thi nó.

Cơ chế mật mã nằm ở trung tâm của cấu trúc được các tác giả gọi là tủ khóa kỹ thuật số. Theo các giả định về mật mã tiêu chuẩn, các khóa này làm cho các mạch ẩn khó được phát hiện và diễn giải — ngay cả đối với kiểm toán viên có toàn quyền truy cập vào trọng số của mô hình. Nói cách khác, việc che giấu không dựa vào việc việc che giấu có tinh vi hay khó phát hiện hay không. Nó dựa vào sự đảm bảo về độ cứng toán học cùng loại để bảo vệ thông tin liên lạc được mã hóa.

Điều này mở rộng công việc trước đó trong lĩnh vực này, vốn đã chỉ ra rằng các mô hình có thể ẩn các chuỗi cố định, chẳng hạn như mật khẩu hoặc tin nhắn ngắn. Bài báo mới đã thay đổi đáng kể các mục tiêu: những gì hiện có thể ẩn giấu là một tính toán tùy ý - một khả năng hoạt động hoàn chỉnh chứ không phải là một bí mật tĩnh.

Đã được thử nghiệm dựa trên các kỹ thuật kiểm toán thực tế

Nhóm đã triển khai các cấu trúc chứng minh khái niệm của họ trong PyTorch và sau đó tấn công chúng bằng bộ công cụ tiêu chuẩn về kiểm tra mô hình. Các đánh giá đã kiểm tra khả năng suy luận thông qua tinh chỉnh, nhiễu trọng số, tìm kiếm kích hoạt dựa trên độ dốc và đào tạo đối thủ tiềm ẩn — một loạt các kỹ thuật thể hiện mức độ nghiêm túc mà các kiểm toán viên thực sự sẽ cố gắng trích xuất hành vi ẩn từ một mô hình đáng ngờ.

Nhiệm vụ thử nghiệm là một vấn đề dự đoán phản ứng hóa học nhỏ, được chọn có chủ ý làm đại diện cho các khả năng trong thế giới thực: nhiệm vụ dự đoán hóa học là điểm thay thế cho các kỹ năng liên quan đến CBRN (hóa học, sinh học, phóng xạ và hạt nhân), loại khả năng mà các đánh giá trước khi triển khai quan tâm nhất. Việc triển khai ẩn chống lại tất cả các phương pháp khơi gợi được đưa ra cho chúng.

Kết hợp với các đảm bảo về mật mã, các tác giả cho rằng kết quả của họ cho thấy giới hạn cơ bản của việc kiểm tra khả năng dựa trên suy luận. Nếu nhà phát triển mô hình - hoặc bên thứ ba độc hại giả mạo mô hình - có động cơ che giấu một khả năng, thì các cuộc kiểm tra dựa vào việc vạch ra hành vi đó có thể không thể tìm thấy nó.

Tại sao điều này lại quan trọng đối với sự an toàn của AI

Đánh giá khả năng đã trở thành một phần tiêu chuẩn trong cách các phòng thí nghiệm AI hàng đầu quyết định xem các mô hình có an toàn để phát hành hay không. Bài viết không khẳng định rằng các mô hình sản xuất hiện đang che giấu khả năng theo cách này. Đúng hơn, nó cho thấy rằng bản thân lớp kiểm tra có một điểm yếu về cấu trúc: về nguyên tắc, một đối thủ có quyền kiểm soát quá trình đào tạo của mô hình có thể nhúng các khả năng mà không một cuộc thăm dò nào có thể tiết lộ.

Những tác động cắt giảm theo nhiều hướng. Đối với các phòng thí nghiệm, nó củng cố trường hợp bảo mật chuỗi cung ứng hoang tưởng xung quanh trọng lượng mô hình - điểm kiểm tra cửa sau không chỉ là rủi ro về độ tin cậy mà còn là rủi ro có khả năng không thể phát hiện được. Đối với các kiểm toán viên và cơ quan quản lý, nó gợi ý rằng các đánh giá hoàn toàn dựa trên việc lấy mẫu hành vi có thể cần được bổ sung bằng những đảm bảo mạnh mẽ hơn về cách các mô hình được đào tạo và xử lý. Và đối với cộng đồng nghiên cứu, nó xác định một thách thức phòng thủ cụ thể: các tác giả đã công bố mô hình của họ một cách cụ thể để hỗ trợ cải thiện khả năng phòng thủ chống lại lớp tấn công này.

Bài báo cũng mang một quan điểm triết học rộng hơn. Phần lớn sự an toàn của AI dựa trên ý tưởng rằng chúng ta có thể kiểm tra cách tự tin của mình - rằng việc có đủ đội ngũ đỏ sẽ tìm ra những gì một mô hình có thể làm. Một cơ chế che giấu có thể chứng minh được không làm cho việc kiểm tra trở nên vô ích, nhưng điều đó có nghĩa là việc vượt qua mọi bài kiểm tra không còn được coi là bằng chứng cho thấy không có gì để tìm thấy. Khi các mô hình biên giới ngày càng có nhiều năng lực hơn và tự chủ hơn, khoảng cách giữa những gì kiểm toán có thể chỉ ra và những gì mô hình có thể chứa chính là loại vấn đề mà lĩnh vực này sẽ buộc phải xem xét nghiêm túc.

Bài báo đầy đủ của các tác giả, bao gồm các cấu trúc mật mã và chi tiết đánh giá, có sẵn trên arXiv, và các mô hình chứng minh khái niệm được phát hành cung cấp cho những người bảo vệ một điểm khởi đầu cụ thể để xây dựng các phương pháp phát hiện hoạt động chống lại việc che giấu kiểu tủ khóa kỹ thuật số.

---

Đi trước AI

Nhận tin tức, phân tích và đột phá mới nhất về AI — tất cả ở cùng một nơi.

Đọc thêm tin tức về AI →