2026年10月9日，一篇22页的学术论文上传至arXiv，标题是《AI Models Can Provably Hide Arbitrary Capabilities》。四天后它登上Hacker News首页，获得172分。该论文用数学证明，现有AI安全审计体系在技术原理层面存在无法修补的盲区。
评测体系坐落其上的那个假设
当前AI安全审计的逻辑建立在一个前提上：如果模型藏有危险能力，充分的测试和探测就能把它挖出来。美国NIST的AI风险管理框架、欧盟AI法案的高风险系统评估要求、各大实验室的内部红队测试，均以此为基础。这个前提有个专有名词：能力可诱导性假设（elicitability assumption）——即只要测试者足够努力、方法足够全面，隐藏的能力就会被激活并暴露。
来自英国等机构的研究者Andis Draguns、Sumeet Ramesh Motwani、Raymond Douglas和Christian Schroeder de Witt，在这篇已获NeurIPS 2026接受的论文中直接否定了这个前提。他们的措辞极为精准："这一假设在对抗条件下不成立"（this assumption does not hold under adversarial conditions）。
数字保险箱：把神经网络锁进权重
论文的核心构造依赖一个密码学原语，称为"数字保险箱"（digital locker）。研究者将一个完整的神经网络加密后，以特定方式分散编码进宿主模型的权重矩阵中。这些编码后的权重在统计分布上与正常权重难以区分。宿主模型在日常推理时完全按正常逻辑运行，不触发任何异常信号。但当输入中包含预设的秘密触发密钥时，宿主模型会在前向传播过程中完成解密，激活隐藏的神经网络并执行其计算。
这与早期后门攻击研究的本质区别在于：此前的技术只能隐藏固定字符串（例如特定输出词），而这篇论文将隐藏能力扩展到了任意计算。这意味着理论上可以隐藏的不是某个简单回答，而是一个完整的功能模块——例如化学反应路径预测能力，或其他任何可以用神经网络实现的任务。
研究者选择化学反应预测作为概念验证的演示任务，并在论文中明确标注这是CBRN（化学、生物、放射性、核）相关能力的代理任务。
四种审计方法全部失效
研究者在PyTorch中实现了这套构造，并对其进行了完整的实验验证。他们使用了当前AI安全审计中最主流的四类技术手段：
- 微调（fine-tuning）：通过重新训练模型参数试图覆盖或消除后门
- 权重扰动（weight noising）：向权重注入随机噪声以破坏隐藏结构
- 基于梯度的触发搜索（gradient-based trigger search）：反向工程尝试找到能激活异常行为的输入
- 潜在对抗训练（latent adversarial training）：通过对抗性训练在表示空间中暴露隐藏行为
结果：全部失败。密码学保证在此发挥了决定性作用——在标准密码学假设下，不掌握密钥的情况下破解数字保险箱在计算上不可行，这一点与现有密码系统的安全性等价。也就是说，只要密码学假设成立，隐藏能力就是不可检出的，这不是工程问题，而是数学问题。
Hacker News上的讨论者vintermann对这个区别做了精确的技术澄清：能力是通过对抗性手段加密进权重的，而非模型"自主"选择隐藏——这一区分在实践层面并不改变结论，因为安全审计对两种情况同样无效。
这不是凭空出现的威胁
2024年NeurIPS会议上已有论文《Unelicitable Backdoors in Language Models via Cryptographic Transformer Circuits》，探讨了类似方向，但彼时的技术仅限于隐藏固定字符串输出。2026年的这篇论文在两个维度上完成了决定性跨越：将隐藏目标从固定字符串升级为任意计算，并提供了更完整的实验验证。
这种延续性说明：学术界对这类攻击向量的关注已有两年，但防御技术的进展显然没有跟上攻击技术的演进速度。
开源模型供应链面临最高级别威胁
开源模型生态的核心信任逻辑是：权重公开，因此可审计，因此可信任。Llama、Mistral、Qwen等开放权重模型之所以被大量企业和研究机构部署，正是基于这一假设。而这篇论文直接破坏了这个逻辑：权重公开不等于行为透明。一个持有密钥的攻击者可以在不被任何现有工具检出的情况下，向模型注入任意隐藏能力，然后将这个模型通过正常渠道发布。
闭源模型同样不能幸免。封闭API的黑盒性质意味着攻击者甚至不需要解决权重隐藏问题——使用者根本无法接触权重。两种情形下，现有审计手段均形同虚设。
国家级行为者场景在HN社区中被多次提及：掌握资源的国家机构可以将特定触发密钥分发给特定用户群体，同一个模型对普通用户显示无害行为，对特定目标展示被激活的危险能力。这类场景此前被认为是科幻猜测，现在有了学术级别的技术支撑。
能力评测的方法论危机
过去三年，全球AI治理讨论的核心框架是：通过能力评测来确定安全阈值，再据此决定模型是否可以部署、需要哪些限制。美国商务部2023年发布的行政令要求大模型训练者向政府报告能力评估结果；英国AI安全研究所（现为AI安全学院）的核心工作之一就是开发标准化能力评测方法；各大实验室发布的系统卡也以能力评测结果作为主要依据。
这套框架的有效性，完全依赖于"评测能够捕获真实能力"这一前提。现在，这个前提在技术层面被证伪了。
问题的严峻性不只在于某种特定攻击手法被证明有效，而在于防御方的认识论处境发生了根本改变：你无法通过观察来确认某个模型不包含隐藏能力，因为缺乏证据本身就是攻击的设计目标。对监管者而言，这意味着现有的合规检查单可能给出虚假的安全感。
独立判断
这篇论文的重要性不在于它描述了一种即将大规模扩散的攻击——论文的概念验证使用的是小规模化学预测任务，将技术扩展到真实威胁场景的工程门槛仍然相当高。研究者也明确发布了模型以促进防御研究。
这篇论文的真正价值在于它完成了一个不可能性证明：它划定了当前能力审计方法的理论上界。任何建立在"充分测试能揭示所有危险能力"这一假设之上的安全框架，在面对掌握密码学工具的对手时，都有一个无法填补的洞。
这意味着AI安全领域需要两种并行的范式转变：其一，在技术层面，需要开发不依赖能力诱导的审计方法，例如基于训练过程监控、数据溯源或架构约束的替代路径；其二，在政策层面，需要承认能力评测只是风险管理的必要条件而非充分条件，并据此校准监管预期。
把这篇论文视为学术奇技淫巧而不加重视，和把它视为宣告整个AI安全体系崩塌而陷入恐慌，都是错误的反应。正确的读法是：它是一个精确的边界标记，标出了现有方法能做到的终点。从这个终点往前走，需要新的方法，而不是更多重复现有方法的重复工作。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接