一篇被NeurIPS 2026接收的论文证实，AI模型能够利用密码学屏障隐藏任意能力，从而规避所有已知类别的前部署安全评估。这种隐藏机制并非依赖行为训练，而是基于与SHA-3同等强度的加密保证。该研究为能力审计设定了正式的数学上限：信息获取的难度取决于标准哈希函数反转的计算复杂度，而非评估者投入的资源或方法复杂度。
这篇题为《AI模型可证明地隐藏任意能力》的论文于10月9日发布于arXiv。研究者描述了一种将加密神经网络嵌入宿主模型权重的技术。仅在存在秘密触发器时，隐藏网络才会执行；若无触发器，即使评估者完全掌握模型权重、架构及嵌入过程，恢复或确认该能力在计算上也是不可行的。
加密权重而非隐藏行为
该构造本质上是一种基于权重的供应链攻击。能够在部署前修改模型权重的对手（如恶意内部人员或供应链受损环节），可利用作者构建的编译框架，嵌入能抵御多项式时间审计的隐藏能力。
整个过程分为三层：首先，将隐藏神经网络编译为线性阈值电路；其次，使用基于SHA-3 Keccak系列哈希函数的“数字锁”锁定权重矩阵；最后，在每次前向传播中，宿主模型尝试解密。输入错误时解密失败，模型表现正常；输入正确触发器时，权重恢复，隐藏网络执行并输出特定结果。
在随机预言机模型假设下，拥有白盒访问权限的对手无法在多项式时间内找到解锁输入，也无法区分不同的隐藏能力。这与早期通过梯度下降可覆盖的“密码锁定”行为不同，该构造通过梯度下降无法跨越的数学屏障隐藏能力。
已知诱导方法全面失效
研究人员在构造上测试了四类主流诱导方法，结果均告失败：
- 监督微调：准确率约为50.9%，与随机基线无异；而作为对比的密码锁定模型准确率达92.8%。
- 潜在对抗训练：准确率为52.9%，同样接近随机结果；密码锁定基线为91.7%。
- 基于梯度的触发器搜索：在8位触发器上通过穷举达到73.5%准确率，但在更现实的16位触发器测试中，准确率降至52.7%，无优势可言。
- 权重噪声：对诱导结果未产生实质性影响。
对比鲜明：所有在加密模型上失败的方法，在非密码学基线上均轻易成功。这是因为打破SHA-3加密需要反转哈希函数，而非简单的梯度优化。
威胁模型与现实意义
实证演示选择了化学反应可行性预测任务，旨在模拟化学、生物、放射性和核（CBRN）能力的评估场景。重点不在于分类器本身，而在于证明对手可将任意神经网络嵌入通用模型权重中，并在评估中完好存活。
当前AI部署基础设施中，模型经过多方微调、优化和蒸馏，权重访问面广泛扩大。Hugging Face等平台托管数十万模型变体，使得供应链攻击成为值得警惕的现实威胁。该研究指出，此类隐藏能力无法通过增加评估预算或改进技术来发现，因为其障碍是数学性的。
局限性与防御方向
作者强调，该构造目前计算开销巨大。隐藏一个小型二元分类器需约20.7亿参数的宿主模型，其中95%用于哈希电路；全强度版本则需约35.8亿参数。因此，这尚非实用攻击，且完整集成到前沿模型仍是未来工作。
此外，安全保证涵盖“不可诱导性”而非“不可检测性”。检查员可能观察到权重中的异常稀疏结构。可能的防御措施包括训练溯源的零知识证明、权重异常检测及推理时的零知识验证，但这些方案目前均面临基础设施缺失或可被混淆规避的挑战。
作为该研究计划的第三份主要出版物，此文将有效载荷从固定字符串升级为可执行神经网络，确立了在对抗性条件下，基于诱导的能力评估无法提供现有安全治理框架所假设的保证。作者已公开代码和权重，以推动防御研究。
常见问题解答
现有AI模型已包含隐藏有害能力吗？
否。该构造需要对手在部署前有意修改权重。论文确立的是，若发生此类修改，已知方法无法检测。威胁模型是敌对的，而非自发的。
这与“越狱”有何不同？
越狱和行为抑制可通过微调或对抗性扰动逆转。加密构造将能力隐藏在SHA-3数学锁后，基于梯度的方法无法跨越此障碍。
什么能真正阻止这种攻击？
目前尚无大规模部署的有效防御。训练溯源的零知识证明原则上可排除权重编辑，但缺乏相应基础设施；异常检测可标记可疑模型，但易被混淆规避。