一个独立研究人员团队已经证明，人工智能模型可以具有功能齐全的隐藏功能，即使审计员可以完全访问模型的权重，这些功能在数学上也可以保证逃避检测。这篇题为“AI 模型可以证明隐藏任意能力”的论文由 Andis Draguns、Sumeet Ramesh Motwani、Raymond Douglas 和 Christian Schroeder de Witt 于 2026 年 10 月 9 日发布在 arXiv 上，并在本周成为 Hacker News 网站的头版后引起了极大关注。

这项工作触及了现代人工智能安全实践的一个核心假设：危险行为可以在部署之前通过能力评估浮出水面，通过旨在引发模型能做的测试来探索模型。作者表明，这一假设在对抗条件下会崩溃。正如论文所述，能力评估的可靠性“取决于可以引出隐藏能力的假设”——并且他们在该假设被证明失败的情况下构造攻击。对于关注安全研究领域最新人工智能发展的读者来说，这篇论文是迄今为止最鲜明的正式演示之一，原则上，一个有能力的模型可以通过其评估，同时隐藏它实际可以做什么。

隐藏方案如何运作

研究人员构建了后门攻击，将他们所谓的加密神经网络嵌入到主机模型的权重中。隐藏网络以加密形式存在，对模型的可见行为没有任何贡献，直到它收到秘密触发器。此时，模型解密隐藏电路并执行它。

其结构核心的加密机制就是作者所说的数字储物柜。在标准加密假设下，这些储物柜使得隐藏电路难以引出且难以解释——即使对于能够完全访问模型权重的审计员来说也是如此。换句话说，隐藏并不依赖于隐藏的隐蔽性或难以被发现。它依赖于保护加密通信的同类数学硬度保证。

这扩展了该领域的早期工作，该工作表明模型可以隐藏固定字符串，例如密码或短信。这篇新论文大大改变了目标：现在可以隐藏的是任意计算——一种完整的、起作用的能力，而不是静态的秘密。

根据真实审计技术进行测试

该团队在 PyTorch 中实现了概念验证结构，然后使用模型审计的标准工具包对其进行攻击。评估通过微调、权重噪声、基于梯度的触发搜索和潜在对抗训练来测试启发——一系列技术代表了审计员实际上如何认真地尝试从可疑模型中提取隐藏行为。

测试任务是一个小型化学反应预测问题，特意选择作为具有现实世界风险的能力的代表：化学预测任务是与 CBRN 相关（化学、生物、放射性和核）技能的替代品，这是部署前评估最关心的能力类别。隐藏的实现抵制了所有向它们抛出的启发方法。

结合密码学保证，作者认为他们的结果揭示了基于启发的能力审计的基本限制。如果模型开发人员（或篡改模型的恶意第三方）有隐藏某种功能的动机，那么依赖于找出行为的审计可能根本无法找到它。

为什么这对人工智能安全很重要

能力评估已成为前沿人工智能实验室决定模型是否可以安全发布的标准部分。该论文并未声称生产模型目前以这种方式隐藏功能。相反，它表明审计层本身存在结构性弱点：控制模型训练的对手原则上可以嵌入任何探测都无法揭示的功能。

其影响有几个方面。对于实验室来说，它强化了围绕模型权重的偏执供应链安全性——后门检查点不仅是可靠性风险，而且可能是无法检测到的风险。对于审计人员和监管机构来说，它表明纯粹基于行为抽样的评估可能需要通过对模型如何训练和处理的更有力保证来补充。对于研究界来说，它定义了一个具体的防御挑战：作者专门公开发布了他们的模型，以支持改进针对此类攻击的防御措施。

这篇论文还带有更广泛的哲学刺痛。人工智能安全很大程度上取决于我们可以通过测试获得信心的方法——足够的红队将发现模型可以做什么。可证明的隐藏机制并不会使测试变得毫无用处，但它确实意味着通过每个测试不再被视为没有发现任何东西的证据。随着前沿模型变得更加强大和自主，审计可以显示的内容与模型可能包含的内容之间的差距正是该领域将被迫认真对待的问题。

作者的完整论文，包括密码结构和评估细节，可以在 arXiv 上找到，并且发布的概念验证模型为防御者提供了构建针对数字储物柜式隐藏的检测方法的具体起点。

---

保持人工智能领先地位

获取最新的人工智能新闻、分析和突破——尽在一个地方。

阅读更多人工智能新闻 →