AI 模型可被证明地隐藏任意能力
AI Models Can Provably Hide Arbitrary Capabilities
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出一类后门攻击，可将加密的神经网络嵌入宿主模型权重，仅在收到秘密触发词时解密并执行，且在给定密码学假设下可证明难以被激发或识别。
- 能力评估依赖隐藏能力可被激发这一假设，但对抗条件下模型可能故意隐藏能力（sandbagging），使审计无法确认能力是否存在。作者关注供应链攻击场景：攻击者可在部署前修改权重，植入只在秘密触发下激活的能力，而防御者拥有完整白盒访问权。
- 作者用 digital locker 把隐藏神经网络的权重加密后嵌入宿主模型权重，收到秘密触发时才解密并执行；基于线性阈值电路编译框架，把算法编译成 SwiGLU/RMSNorm 可用的 PyTorch 电路，并给出白盒不可激发性的密码学论证。
- 在化学反应用预测（CBRN 代理任务）和 subset parity 上测试：SFT、权重加噪、GCG 触发搜索、LAT 均未能激发隐藏能力，加密模型接近随机基线，而密码锁基线可被 SFT 激发到高准确率；正确触发下加密模型仍能执行隐藏分类器。
- 单次执行单元有 O(n²) 宽度开销，隐藏电路规模受限；编译权重统计上明显异常（稀疏、整数化），可被检测出存在性，只是无法确定能力内容；完整构造尚未集成进预训练模型，作者不主张这类电路会由普通训练产生。
研究者提出一类后门攻击，可将加密的神经网络嵌入宿主模型权重，仅在收到秘密触发词时解密并执行，且在给定密码学假设下可证明难以被激发或识别。构造用数字锁加密隐藏网络权重，在 PyTorch 中以 SwiGLU MLP 和 RMSNorm 实现，隐藏一个化学反应可行性二分类器作为 CBRN 相关能力的代理任务。实验显示监督微调、权重加噪、基于梯度的触发词搜索和潜空间对抗训练均未能激发隐藏能力，而密码锁定基线模型在微调下被成功激发。作者称该概念验证只隐藏小型二分类器且开销很大，尚非可直接使用的攻击，并发布了模型供防御研究测试。
推荐理由论文给出可证明难以被激发的能力后门构造，并实测微调、加噪与梯度搜索均无法将其激发，为能力审计的可靠性划出边界。