Модели ИИ умеют доказуемо прятать любые способности

Проверки на опасные способности (capability evaluations) стали одним из столпов безопасности ИИ: прежде чем выпустить модель, её пытаются спровоцировать на вредное поведение, чтобы оно вскрылось заранее. Вся эта методика держится на одном допущении — что скрытую способность в принципе можно «вытащить» наружу. Новая работа, принятая на NeurIPS 2026, показывает, что при злонамеренном противнике это допущение рушится.

Шифр внутри весов

Авторы — Андис Драгунс, Сумит Рамеш Мотвани, Рэймонд Дуглас и Кристиан Шрёдер де Витт — сконструировали закладку (backdoor), которая встраивает зашифрованную нейросеть прямо в веса основной модели. Эта скрытая схема расшифровывается и запускается только при получении секретного триггера. Используя криптографический примитив digital lockers, авторы добиваются того, что скрытые цепочки остаются доказуемо трудными для извлечения и интерпретации — при криптографических допущениях и даже при полном доступе к весам модели.

Это расширяет прежние результаты: раньше внутри весов умели прятать лишь фиксированные строки, теперь — произвольные вычисления.

Аудит не помогает

Proof-of-concept реализован на PyTorch. Устойчивость закладки проверяли самыми ходовыми методами извлечения: дообучением, зашумлением весов, градиентным поиском триггера и латентным состязательным обучением. Испытывали на небольшой задаче предсказания химических реакций — она служит прокси для способностей, связанных с ХБРЯ-угрозами. Ни один из методов не вскрыл спрятанную функцию.

Вместе с криптографическими гарантиями это обнажает фундаментальный предел аудитов, основанных на извлечении способностей: если модель специально сделали так, чтобы она прятала умение, обнаружить его пробами не получится. Чтобы помочь в разработке защиты, авторы выкладывают свои модели в открытый доступ.

Источник: Hacker News