牛津研究:模型可在权重中加密隐藏任意能力,审计难以 elicitation 揭露

zainhas · x · 2026-10-13

牛津团队论文《AI Models Can Provably Hide Arbitrary Capabilities》(NeurIPS 2026) 构建了一种后门攻击:在宿主模型权重中嵌入加密神经网络,仅当收到秘密触发器时才解密运行。借助数字保险箱技术,这些隐藏电路在密码学假设下可证明难以被引出和解释,即便攻击者拥有完整模型权重,也将此前只能隐藏固定字符串的工作扩展到任意计算。

作者用 PyTorch 实现了概念验证,以一个化学反应预测任务(作为 CBRN 相关能力的代理)评估其抗性:对任务做 500 步 SFT 后,password 锁定的基线达 92.8%,而加密模型仅 50.9%(随机水平)。针对微调、权重加噪、基于梯度的触发器搜索和潜在对抗训练等方法,该构造均表现出抵抗性。