知识卡片：AI 模型可证明地隐藏任意能力

一句话结论

在对抗条件下，模型可以借助密码学手段将任意计算能力加密嵌入权重中，除非收到秘密触发器，否则这些能力在可证明意义上难以被激发或解释，从而动摇了基于“激发式”能力审计的可靠性。

事件概述或研究问题

能力评估（capability evaluations）试图在部署前暴露模型的有害行为，但其可靠性依赖于一个假设：隐藏的能力可以被激发（elicited）。该研究检验这一假设是否成立，并给出去否定答案的构造：作者构建后门攻击，将加密的神经网络嵌入宿主模型权重中，只有接收到秘密触发器时才解密并执行，从而把先前“隐藏固定字符串”的研究扩展到“隐藏任意计算”。

方法/产品要点

• 使用“数字储物柜”（digital lockers）将隐藏电路加密嵌入宿主权重中。
• 隐藏能力仅在收到秘密触发器时才被解密并执行。
• 在密码学假设下，即使攻击者拥有完整的模型权重，这些隐藏电路也被证明难以被激发和解释。
• 在 PyTorch 中实现了概念验证构造。
• 在一项小型化学反应预测任务（作为 CBRN 相关能力的代理）上，评估了多种激发手段：微调、权重加噪、基于梯度的触发器搜索、潜在对抗训练。
• 作者公开了模型以支持防御研究。

主要结果或产业意义

实验结果显示，上述激发方法均难以奏效；结合密码学保证，说明基于激发的能力审计存在本质局限。研究意义在于：即使拥有完整权重访问权限，也无法在密码学意义上保证能发现被隐藏的任意计算能力，这为能力评估、模型审计与后门检测的可靠性边界提供了证据。

为什么重要

部署前的安全评估通常预设“隐藏能力可被激发”，而该研究在对抗条件下反驳了这一预设，并给出可证明的构造与实验验证。它对依赖激发式审计的 AI 安全治理具有直接的政策与方法论含义：需要补充或替代性的检测与审计手段（具体可行的替代方案在本材料中未展开，待核实）。

局限与不确定性

• 实验规模为概念验证，仅使用一个小型化学反应预测任务作为代理，尚不清楚在更大模型、更复杂任务上的表现（待核实）。
• 隐藏与激发均基于特定的密码学假设，这些假设在实际部署条件下的强度需进一步评估（待核实）。
• 论文聚焦于对抗性构造的隐藏能力，未说明这类构造在自然训练模型中出现的概率（待核实）。
• 关于防御改进的具体方案，材料称公开发布模型以支持研究，但未给出防御有效性的结论（待核实）。

可用于图书/PPT/简报的角度

• 能力审计的“激发假设”为何在对抗条件下不成立。
• 密码学（数字储物柜）如何被用于模型后门与能力隐藏。
• “可证明安全”思路在 AI 模型审计中的双刃剑作用。
• CBRN 相关能力代理任务与红队评估方法。
• 从隐藏固定字符串到隐藏任意计算：后门研究的演进脉络。

与既有脉络的关系

本卡片属于能力评估与模型安全审计脉络，与所列已有卡片（ENSO 气候模型智能体、Embodied.cpp 推理运行时、ColBERT 正则化检索）在主题上不重叠，未与它们陈述同一事实，也不构成对其的延续或更新。

原始材料

• 标题：AI Models Can Provably Hide Arbitrary Capabilities
• arXiv ID：2610.13928v1
• 作者：Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas, Christian Schroeder de Witt
• 发布时间：2026-10-09T17:55:06Z
• 分类：cs.LG（主），cs.LG, cs.CR
• Abstract URL：https://arxiv.org/abs/2610.13928v1
• PDF URL：https://arxiv.org/pdf/2610.13928v1
• 关键词（英文）：capability evaluation, backdoor attack, digital lockers, cryptographic guarantees, elicitation, CBRN, latent adversarial training