NeurIPS论文：AI模型可证明地隐藏任意能力，权重审计也难发现

一篇被 NeurIPS 2026 接收的论文《AI Models Can Provably Hide Arbitrary Capabilities》近日在安全研究圈引发讨论。论文作者 Andis Draguns、Sumeet Ramesh Motwani、Raymond Douglas 与 Christian Schroeder de Witt 证明：在对抗条件下，模型可以在权重中嵌入加密的神经网络，仅在特定密钥触发时才解密执行，而现有能力评估手段难以将其引出。

能力评估旨在模型部署前暴露危险行为，其可靠性建立在"隐藏能力可以被引出"这一假设上。该论文指出，这一假设在对抗条件下并不成立。研究构造的后门攻击会把一个加密神经网络嵌入宿主模型权重，通过"数字锁"机制，只有在收到秘密触发词时才解锁并执行隐藏电路，错误的触发只会得到无意义的输出。由于触发词具有高熵特征，即便审计者拥有模型架构与全部权重的白盒访问权限，在标准密码学假设下也难以找到正确的触发方式。

实现上，作者先把算法编译为直线程序，再转换为线性阈值电路，最终以门控线性单元矩阵的形式织入 transformer 风格的宿主模型——隐藏能力并非模型旁的文件，而是一段随触发解锁的计算。论文用两个小型"模式生物"验证构造：一个是子集奇偶校验任务，梯度方法本就难以从示例中学会它；另一个是化学反应结果预测，作为 CBRN 相关能力的代理场景。

实验部分测试了四种主流引出防御——微调、权重加噪、基于梯度的触发词搜索与潜在对抗训练——均未能可靠引出隐藏电路，密码学保证与实测结果相互印证。作者已公开模型权重以支持防御研究，同时明确了边界：演示为小规模概念验证，并非在前沿模型上完成；安全性依赖密码学假设，而非无条件成立。

其影响直接落在以安全评估为核心的安全栈上：对模型发布前的安全测试、采购审查与开源权重分发而言，"通过评估"从此只是能力下限的证明，而非危险能力不存在的证据。此前的工作只能隐藏固定字符串，这一结果把范围扩展到了任意计算，也让针对锁结构的权重取证等检测方向成为下一步的研究重点。