AI模型能"藏起"危险能力：加密后门如何击穿安全评估

当安全评估的前提假设被打破

当前主流的AI安全评估依赖一个关键假设：如果模型具备某种危险能力，评估者总能通过适当的方法"诱导"它表现出来。无论是微调、对抗性提示还是梯度分析，这套能力审计（capability evaluation）体系的有效性，都建立在"隐藏的能力终将被激发"之上。

一项新研究直接挑战了这个假设。研究者通过构造后门攻击，将加密的神经网络嵌入宿主模型的权重中，这些隐藏电路只有在接收到特定的"密钥触发器"时才会被解密并执行。更令人警惕的是，在密码学假设成立的前提下，即便攻击者拥有模型权重的完全访问权限，这些隐藏能力依然可以被证明是难以诱导和解释的。

从隐藏字符串到隐藏任意计算

这项工作的核心技术是"数字锁"（digital lockers）——一种密码学原语，能够将信息锁定，只有提供正确密钥才能解锁。研究团队利用它把一个完整的神经网络加密后封装进主模型的参数里。

这相比以往的研究是一次实质性扩展。此前的相关工作主要停留在隐藏固定字符串的层面，而本研究将隐藏对象推进到了任意计算（arbitrary computations）。换句话说，被藏起来的不再只是一段固定输出，而可以是一整套具备特定功能的计算过程。只要触发器未被输入，这段功能就处于"冻结"状态，常规检测几乎无从察觉。

密码学保证意味着这种隐藏不是依靠"藏得深"的运气，而是有理论下界支撑的——破解它的难度等价于破解底层的密码学假设，这在计算上被认为是不可行的。

数字锁（digital lockers） 是一种经典密码学原语，其核心思想是：将秘密信息与一个密钥"绑定"，使得只有提供与密钥完全匹配的输入时，才能解锁并还原原始信息，任何偏差都将导致解锁失败并输出随机噪声。它的安全性通常依赖于伪随机函数（PRF）等密码学假设，而非藏匿位置的难以找到。在本研究的语境中，被锁定的"秘密信息"是一整个神经网络的权重，触发器（trigger）充当解锁密钥。由于密钥空间极大，暴力穷举在计算上不可行；而由于锁定机制是密码学硬化的，即便持有模型权重也无法通过逆向工程推断出密钥或隐藏内容。这与传统后门攻击（backdoor attacks）有本质区别——传统后门依赖训练数据分布中的统计规律，理论上可被梯度分析或异常检测识别；而数字锁机制提供的是计算意义上的不可区分性保证。

四种诱导手段均告失效

研究者并没有停留在理论层面，而是用 PyTorch 实现了概念验证，并在一个小型化学反应预测任务上进行测试。这个任务被用作 CBRN（化学、生物、放射性、核）相关危险能力的代理指标，具有现实的安全意义。

他们尝试了业界常用的多种能力诱导方法来攻击这个隐藏后门：

• 微调（fine-tuning）：通过继续训练试图唤醒隐藏能力
• 权重加噪（weight noising）：对参数注入噪声以扰动潜在后门
• 基于梯度的触发器搜索（gradient-based trigger search）：试图反推出激活密钥
• 潜在对抗训练（latent adversarial training）：在表征空间施加对抗压力

结果显示，这些方法都未能成功诱导出隐藏能力。实验上的抵抗力加上密码学层面的理论保证，共同揭示了一个结论：基于诱导的能力审计存在根本性的限制。

这对AI安全意味着什么

这项研究的意义不在于提供一种攻击工具，而在于暴露了现有安全治理框架的一个盲点。许多部署前的安全审查流程，默认"评估不出危险能力"就等于"模型没有危险能力"。而这项工作用可证明的方式说明：一个心怀恶意的模型发布者，完全可以构造出能通过所有标准评估、却在特定触发条件下释放危险能力的模型。

这意味着，仅靠行为层面的黑盒或白盒诱导测试，无法为模型安全性提供可靠保证。审计者即使拿到完整权重，也不足以排除隐藏能力的存在。安全社区可能需要转向其他思路，例如对训练过程的可信验证、供应链溯源，或是针对数字锁这类机制本身的检测防御。

值得肯定的是，研究团队选择公开发布他们的模型，目的是推动防御手段的改进。这种"红队"式的透明做法，让防御方得以在真实样本上测试和完善对抗策略，而不是在信息不对称中被动应对。

当前主流的AI安全评估框架可大致分为两类：黑盒评估（仅观察模型输入输出行为）和白盒评估（可访问模型权重、激活值等内部状态）。白盒评估通常被认为更可靠，因为攻击者或审计者能够直接分析权重结构、施加梯度信号、或通过机械可解释性（mechanistic interpretability）工具追踪内部电路。本研究的挑战性在于：即使是白盒访问也不足以保证发现隐藏能力，因为加密层将隐藏网络与可观察表示之间的关联从统计层面切断了。这一发现对正在兴起的"模型可解释性即安全保障"的思路构成了直接挑战——可解释性工具所能分析的，仅是未加密的计算图，而对加密封装的隐藏子网络，其激活模式在触发器缺失时与随机噪声无法区分。

一个需要被正视的边界

这项研究清晰地标定了一条边界：诱导式能力评估不是万能的。它适用于诚实或疏忽场景下的能力发现，但面对有意的、具备密码学加持的对抗性隐藏时会失效。

对于正在构建AI治理体系的监管者和企业而言，这是一个重要提醒——安全评估应当被理解为"必要但不充分"的环节，而非最终的保险。真正的信任，还需要建立在对模型来源、训练流程和权重完整性的多层验证之上。