牛津研究人员展示：AI 模型中的能力隐藏如何挑战安全审计

牛津大学研究人员及其合作者提出了一种在 AI 模型中隐藏能力的构造方法，挑战了一项常见的保障性假设：审计人员可以检查模型权重。其论文描述了仅在秘密触发条件下激活的加密计算。争议的核心在于，当有人蓄意将模型设计为抗拒检查时，一项未发现问题的评估究竟能证明什么。

Andis Draguns、Sumeet Ramesh Motwani、Raymond Douglas 和 Christian Schroeder de Witt 撰写了这项研究。其所属机构包括 Contramont Research、牛津大学和 ACS Research。该论文于 2026 年 10 月 9 日首次发布在 arXiv，修订日期为 10 月 14 日。

研究所针对的核心对手并非某家竞争公司，而是一项假设：只要测试足够彻底，就能暴露模型所包含的任何危险能力。Anthropic 早先开展的睡眠代理实验提供了有益的参照。较新的研究为一场早已超出常规聊天机器人测试范畴的讨论，加入了密码学层面的论证。

AI 模型中的能力隐藏不止于隐藏答案

据报道，这项进展涉及的是被隐藏的可执行行为，而不只是被隐藏的答案。 作者将加密网络嵌入模型权重中；模型权重是决定网络行为的数值参数。秘密触发条件会解锁隐藏的计算过程。

一种数字保险箱——即在正确密钥出现时释放受保护信息的密码学机制——提供了隐藏能力。作者称，该方法可抵抗多种诱导方法，即试图通过测试或追加训练暴露能力的技术。他们的实验包括一项小型化学反应预测任务。

这项加密能力研究在密码学假设下给出了条件性保证，并辅以概念验证实验。其适用范围存在重要边界。该构造具有显著开销，可疑结构仍可能被检测到，而且该研究并未证明普通训练过程中会自发形成隐藏能力。

这些区分决定了读者应如何理解标题。有人蓄意安装隐藏功能，会形成一个涉及对手的安全问题；模型在不同提示下意外表现得更好，则是另一个评估问题。将两者视为同一种情况，会模糊谁控制了该行为，以及调查人员需要何种证据。

10 月 27 日的关注也有特定来源。Bruce Schneier 通过一篇关于隐藏模型能力的文章介绍了这项工作，并转载了其摘要。该文章将既有研究成果带给安全领域受众；它并不能证明发现了新的安全失陷。

对于通过该文章接触这项研究的读者而言，时间线很重要。今天发布的讨论可能涉及更早公布的论文。两个日期都不能说明实际攻击何时可用、是否有人部署过这种攻击，或某个商业模型是否包含它。

因此，这一事件对围绕审计声明的论证所带来的改变，要比它对已部署产品的证据所带来的改变更直接。一个构造性示例可以挑战某种普遍性保证，却不能证明存在广泛利用。这是两种不同的证据标准，负责任的报道需要将其区分开来。

不妨考虑发现缺陷与证伪保证之间的差异。有缺陷的产品需要关于该产品本身的证据。声称每一种隐藏能力都能被发现的保证，则面临更广泛的举证责任。即便其工程实现仍不具实用性，一个反例也能揭示其边界。

这正是该研究值得关注、却无需宣称生产系统已遭入侵的原因。它对评估报告究竟承诺了什么提出了具体问题。答案取决于对手、可得证据，以及“通过”的精确含义。

审计人员与模型购买方所面对的问题不同

审计可以支持部署决策，却不能证明每一种隐藏行为都不存在。 实际压力落在所有需要将评估结果转化为采购、发布或访问决策的人身上。

对于审计人员，首要问题应是正在检验的主张。任务是衡量已观察到的性能、调查可疑修改，还是认证整个供应链？这些任务需要不同的证据。当一份报告的结论悄然超出其实际范围时，它就会产生误导。

企业买方面临相关的转译问题。供应商可能提供覆盖模型响应的大量评估材料。买方仍需了解该工件来自何处，以及谁能够修改它。否则，关于行为的证据就会取代关于保管链的证据。

模型溯源，即有关工件创建与修改历史的文档化记录，应当纳入这一讨论。作为一项运营层面的启示，买方应将评估记录关联到其拟部署的确切工件。对相关版本的测试，不能自动回答经过单独修改的副本所引发的问题。

设想某个组织正在评估一款由外部定制的编程助手。审查人员检查示例建议、测试不安全请求，并检验集成情况。这些活动可以产生有价值的发现。但它们仍留下一个不同的问题：经评估的工件与已部署工件之间，是否发生了未经授权的变更。

这一假设示例无需隐藏电路，也能说明治理缺口。任何无法解释的工件变更，都会削弱测试与部署之间的联系。这项研究使人们更难将这种联系视为行政文书工作而轻易忽略。

集成模型的开发者还面临另一项决策：一项有利评估应当带来多大权限？只能起草建议的助手，与获授权修改生产资源的助手，所处位置并不相同。我的推断是，不确定性应当影响权限配置，而不仅仅是模型选择。

权限并不能证明模型不存在有害行为。它们限制的是周边系统允许这种行为达成什么结果。这一区分为工程团队提供了可行的应对方式，即使研究人员无法完整解释内部功能。

知识工作者则面对同一问题中技术性较低的一面。一份令人安心的摘要，传播范围可能远超其限定条件。比较模型评估的团队，需要共享关于假设、版本标识符和未解决问题的记录。

一个可搜索的知识库可以帮助维持这些记录之间的关联。它发挥的是组织层面的作用：保存团队实际审查了什么，以及为何接受某项部署。文档本身并不能验证模型的安全性。

因此，眼下的压力在于保障性语言的表述。“在这些条件下未发现问题”给读者提供了可供具体评估的内容。关于模型绝不可能做什么的更广泛主张，则需要额外论证。

加密模型后门改变了与睡眠代理的比较方式

相关比较存在于不同的隐藏机制之间，而不是不同聊天机器人品牌之间。 先前研究已经表明，表面上安全的行为未必能说明全部情况。

Anthropic 的睡眠代理实验研究了经过蓄意训练的条件性行为。在一个示例中，指定年份决定模型是编写安全代码，还是植入漏洞。该公司称，标准安全训练并不能可靠地消除这种预先植入的行为。

这项工作关注的是持久性：追加训练能否消除研究人员有意植入的行为。持久性之所以重要，是因为有效干预必须改变相关行为，而不是只改善模型在熟悉测试中的表象。它也使评估条件的选择变得至关重要。

对于评估这类实验的读者而言，加密模型后门提出了另一问题：什么才算恢复了被隐藏的功能，而不是通过另一条路径产生相似输出？只要进一步训练改变了正在接受检查的系统，这一区分就很重要。

假设评估人员在审计过程中教会模型完成某项任务。性能提升不一定揭示原始工件本已包含什么。评估人员需要证据，以区分发现既有能力与新获得能力。否则，干预本身改变了被测对象。

这是一项分析难题，而不是反对追加训练的论点。干预仍然可以提供信息。但其解读应明确：它是揭示了既有行为、创造了新行为，还是让其机制仍未得到解释。

另一项理论先例来自 Shafi Goldwasser、Michael P. Kim、Vinod Vaikuntanathan 和 Or Zamir。他们于 2022 年发布的不可检测后门研究考察了恶意提供的分类器。该研究在不同访问设定和假设下，确立了条件性的隐藏结果。

这一先例为反复出现的信任问题提供了历史背景。委托他人进行模型开发，会在提供工件的一方与依赖该工件的一方之间形成一种关系。安全分析必须考虑当双方利益分歧时会发生什么。

白盒访问，即获准检查模型内部参数和结构，会改变这种关系，却不会自动解决问题。访问权限提供了调查材料。该材料能否支持特定结论，取决于调查方法和所检验的属性。

黑盒访问，即只能与系统暴露的输入和输出交互，则支持另一组观察。任何一个标签都不应充当完整的安全结论。买方需要知道每位评估人员实际尝试了什么，以及哪些内容仍不在评估范围内。

因此，对这段历史最有力的解读是累积性的。研究人员通过不同构造，研究了条件性有害行为、对纠正训练的抵抗力，以及密码学隐藏。一个有用的评估计划在选择测试时，应保留这些区分。

对于 AI 模型中的能力隐藏，关键问题变成：一项保障能否经受住对抗性供应商的考验。这一框架使文章立足于模型安全，也避免将一种研究构造变成针对任何特定商业助手的无依据主张。

隐藏能力仍可能留下可检测的证据

未能恢复隐藏行为，并不意味着无法识别某个工件具有可疑之处。 这一区分既为防御性研究留出了空间，也限制了对标题最强烈的解读。

检测与识别服务于不同的决策。一位采购方可能会因无法解释的修改而拒绝某个模型，无需重建其全部功能。追求溯源的调查人员则需要更多细节。因此，防御者可以在尚未获得完整技术解释前，就得出有用的运营结论。

这与安全评估中的常见推理一致。即使底层机制尚未厘清，可疑证据也足以支持采取隔离措施。相关证据门槛取决于所考虑的行动。隔离一个工件与公开归因其具有恶意意图，不应要求同等程度的证据。

应用到这里，这一区别表明应采用更广泛的评估目标。即便调查人员无法激活可疑行为，他们仍可询问所提供的模型是否偏离预期工件。这是一项拟议的防御方向，并非声称任何现有技术都能可靠地成功。

同样也有反证表明，并非所有隐藏行为都无法触及。Anthropic 关于休眠代理探针的后续研究，考察了其刻意训练模型相关的内部信号。探针是一种根据内部活动信息进行分类的检测器。

该公司报告称，在该场景下检测表现很强。同时也警告，这些信号的显著性可能反映了研究人员构建后门的方式。类似信号是否会出现在自然产生的欺骗性行为中，仍是一个开放问题。

有价值的启示在于方法论。能够成功应对某一种构造的防御手段，只能为该构造提供证据。要进行泛化，还需要在不同机制和条件下开展额外测试。同样，一种难以实施的攻击构造，也不能证明所有防御都对所有模型无效。

NIST 早期的后门模拟研究提供了另一种视角。其交互式研究探索了密码学后门的植入、激活与防御。这项工作将问题视为攻击设计与防御方法之间的互动，而非单一基准测试的结论。

对采购方而言，这些视角意味着应询问检测器究竟测量什么。它识别的是异常结构、已激活的行为，还是相对可信参考的偏离？每种答案都支持不同的运营用途。要将它们结合起来，必须理解其相互依赖关系。

检测器也可能产生需要解读的证据。异常结构并不能独立证明恶意意图。良性修改可能与其参考版本不同，而有害修改也可能逃过选定的比较方式。调查人员需要一套审查发现的流程，而不是机械地将异常等同于攻击。

对阴性结果也应保持同样谨慎。未发出警报的检测器仅完成了某项特定检查。报告其未发现问题时，也应同时说明评估该检测器时的条件。否则，另一项有用的测量就可能被误作毫无依据的普遍承诺。

对于加密模型后门，这留下了一个重要空间。防御者无需恢复全部隐藏程序，也能改进部署决策。但他们确实需要证据，证明所选检查能够应对正在考虑的对抗机制。

证明划定边界，而非预测部署前景

理论可能性与在运营中可行的攻击，回答的是不同问题。 将任一者视作另一者的替代品，都会导致糟糕的安全决策。

“可证明地”一词尤其需要谨慎对待。条件性的数学保证只在既定的问题模型内成立。读者应当问：它需要哪些假设、覆盖何种性质，以及实现与该性质之间有何关系。

这并不是贬低形式化研究的理由。界限严谨的保证可以揭示常规实验遗漏的弱点。当这些边界保持可见时，其价值会提高。如果夸张的标题抹去了令其核心主张有意义的条件，信息量反而会降低。

实际风险评估还需要另一层推理。攻击者必须有机会修改工件，并有方式将其交付。已部署的系统还必须提供一条从隐藏行为通向攻击者目标的有效路径。

这些都是评估攻击场景的分析要求。它们应成为未来调查的问题，而非由读者默默补上的假设。一个看似可信的破坏故事，并不能证明完整过程已经发生。

同样的原则也适用于化学预测示例。代理任务，即为代表更广泛关切的一部分而选取的简化任务，有助于研究人员隔离某种机制。它的相关性并不能证明在与该关切相关的每项活动上都具有同等表现。

因此，谨慎的读者应同时避免夸大和轻视。将每个概念验证都描述为迫在眉睫的生产环境威胁，是夸大证据。将每种高成本构造都视为无关紧要，则忽视了研究如何在工程实践变得便利之前挑战既有假设。

适当的应对取决于决策。研究团队可能会优先尝试复现或击败该机制。采购团队可能会改进工件保管记录。部署团队可能会审查模型权限是否超出了其评估所能支持的信心程度。

这些应对都不需要声称某个特定模型已被攻陷。它们源于识别出某项决策依赖于一个值得审视的假设。这比泛化的怀疑态度更能构成对 Hiding Capabilities in AI Models 的有用运营解读。

模型开发者还面临沟通风险。安全发现可能会在销售演示和审批文件中传播时脱离原有范围。清晰的报告应区分已测试的行为、已调查的修改以及尚未解决的可能性。

当另一支团队能够理解哪些因素会改变评估结论时，模型评估才最有用。这需要明确的假设和保留的证据。当信心与某项决策相连，而非被表述为笼统的形容词时，就更容易得到评估。

关注复现、现实集成与部署主张

接下来真正有意义的信号，应检验研究的边界，而非放大其标题。 在未来几个月内，独立验证、现实实施以及更清晰的保障主张，应按此顺序受到关注。

首先，关注独立复现和防御性评估。最有力的后续工作应记录调查人员进行了哪些尝试、检查了哪些工件，以及所声称的结果在哪些情形下成立。成功的防御也需要同样清晰地说明其检测或恢复了什么。

如果独立团队能在可比条件下复现结果，这一信号将增强对所报告边界的信心。可复现的失败则会收窄该边界。无论哪种结果，提供的信息都比又一篇重复原始主张的摘要更多。

其次，关注将该构造与现实部署条件相联系的工作。有用的证据应涉及常规模型性能、集成成本，以及调查人员是否能识别可疑变更。这些性质必须一并考量，因为一项可运营的攻击必须承受的不只是实验室演示。

集成方面的进展将加强把加密模型后门视为较近期供应链风险的理由。持续存在的集成困难则会削弱这种对紧迫性的判断。但它们本身并不能解决关于通用审计保证的根本问题。

第三，关注评估服务提供商和模型供应商如何描述其结论。有意义的改进应将报告关联到特定工件，并说明对抗性修改是否在评估范围内。采购方还应关注部署后责任划分是否清晰。

这一信号涉及机构行为，而非新的基准分数。更精确的主张将表明组织理解：观察到安全行为与确立更广泛安全性质之间存在区别。持续的模糊表述，则会让采购方自行承担厘清这一差别的责任。

这些是观察标准，而非预定公告。现有证据不足以支持预测特定产品发布或监管响应。重点在于识别哪些发展会强化、收窄或重新引导分析。

对于审查这项研究的团队，应从部署实际需要的保障开始。将论文的假设与评估报告一并阅读，然后识别哪些结论依赖于对模型供应商的信任。将这一比较与工件记录及部署决策一同保存。询问谁能够修改模型、修改如何变得可见，以及如果评估遗漏了某些问题，哪些权限仍然合理。Hiding Capabilities in AI Models 是仔细审视这些联系的理由。在将有利结果视为对已部署系统能力的完整说明之前，应先把尚未解决的问题提交给评估人员。