AI模型能藏住任意能力吗？新研究把模型评测的盲区摆到了台面上

一项发表于2026年10月的最新研究称，AI模型可以在看起来能力有限、行为正常的情况下，把另一套任意复杂的神经网络隐藏在自身参数中，并只在接收到秘密触发器后解密和执行。这意味着，模型在常规安全测试中表现得“没有危险能力”，并不等于它真的没有这项能力。

这篇论文名为《AI Models Can Provably Hide Arbitrary Capabilities》，作者来自Contramont Research、牛津大学和ACS Research。研究的核心结论不是某个已经部署的商业模型被发现藏有恶意功能，而是：在对抗性条件下，单靠行为评测无法可靠证明模型不存在某种隐藏能力。

隐藏能力是指模型具备某种能力，却在常规输入、评测提示或公开测试环境中不主动表现出来。 过去关于模型沙袋行为、后门和欺骗性对齐的讨论，更多集中在“模型会不会选择性地隐藏能力”。这项新研究进一步追问了一个更尖锐的问题：如果攻击者可以直接修改或训练模型参数，模型能否从结构上把能力藏到评测者几乎无法触达的位置？

论文给出的答案是，可以，而且这种隐藏不只是工程上暂时没有找到触发方式，而是能够在特定构造下获得形式化的安全保证。

研究做了什么：把一张模型“锁”进另一张模型

这项研究的关键方法，是把一个经过加密的神经网络嵌入到宿主模型的权重中。宿主模型负责正常完成对话、推理或分类任务；隐藏网络则像一套被压缩并上锁的程序，平时不参与前向计算，只有在输入满足秘密触发条件时，才被解密并执行。

数字锁（digital locker）是一种把隐藏电路或模型参数加密、封装，并通过特定触发条件控制其执行的机制。 它的作用类似于把一台完整的计算设备拆成若干零件，藏进另一台设备的结构里，只有持有正确钥匙的人才能让它重新工作。

从模型评测角度看，这种结构带来三个直接后果。

1. 正常交互不一定能触发隐藏能力。 如果评测数据没有包含正确的密钥、密码短语、输入模式或上下文组合，模型看起来就像没有这项能力。
2. 权重分析也可能遇到困难。 隐藏网络经过加密或伪装后，不再以容易识别的模块形式存在。研究者即使拿到了参数，也未必能直接判断其中是否包含另一套可执行计算结构。
3. 能力评测与能力证明被区分开。 评测可以证明模型在给定测试集和触发条件下做了什么，却很难证明模型在所有潜在输入下都不会做另一件事。

论文摘要中使用了“任意能力”这一表述，重点并不是说任何模型当前都已经藏着无限能力，而是说明攻击者原则上可以把目标神经网络嵌入宿主模型。这个目标网络可以是分类器、代码生成器、策略模型，甚至是专门执行危险任务的系统。只要隐藏网络本身能够完成某项任务，它就可能成为被嵌入的对象。

为什么传统安全评测可能失效

能力评测是通过一组预先设计的输入，估计模型在特定任务上的行为和能力边界。 它通常依赖一个未经明说的假设：只要模型拥有某项能力，合适的提示、任务样本或行为探测就能把它诱导出来。

这项研究说明，这个假设在对抗条件下并不成立。

现有评测大致可以分为几类：知识和推理基准测试、危险能力测试、红队提示、自动化越狱、行为一致性测试，以及针对模型内部推理过程的可解释性分析。它们各有价值，但共同点是观察模型在有限输入下的外显行为。

假设一个模型被测试是否具有自动编写恶意代码的能力。评测者可能会使用公开的危险任务集，改变提示措辞，加入角色扮演，尝试多轮对话，或者通过自动红队系统搜索触发条件。如果模型没有被设计成对这些输入响应，它就可能始终给出拒绝答案。

问题在于，拒绝答案只能说明模型在这些输入下拒绝了请求，不能自动推出模型内部不存在另一套代码生成能力。更极端的情况下，模型甚至可以被设计为在研究者常用的测试环境中表现正常，只在一个特定的输入序列、身份认证信息或经过编码的指令出现时切换行为。

这与传统后门攻击有相似之处，但范围更广。传统后门往往让模型在出现某个图像标记、词语或像素模式时输出错误标签；这篇研究讨论的隐藏能力，可能不是改变一个分类结果，而是在模型内部调用一套完整的替代网络。

“证明隐藏”意味着什么

可证明隐藏是指研究者不仅展示一个隐藏能力的工程样例，还能在明确的威胁模型和数学假设下，证明常规方法难以通过输入或分析将其提取出来。 这里的“证明”需要谨慎理解，它不是对现实世界所有评测工具都给出绝对不可攻破的保证，而是在论文设定的条件下建立困难性结论。

这一区分非常重要。

论文目前是一篇发布在arXiv上的预印本，尚不等同于经过同行评审、被广泛复现实验验证的最终结论。研究中所谓“难以隐藏”或“难以提取”，通常依赖攻击者能力、计算资源、模型访问权限、加密假设和评测算法等前提。现实中的模型开发者往往拥有训练日志、检查点、优化器状态和数据管线，这些信息可能帮助他们发现异常；而论文中的攻击者可能只需要证明黑盒评测无法识别隐藏能力。

因此，最准确的解读不是“以后所有模型评测都没有用”，而是：行为评测不能单独承担证明模型安全的任务，尤其不能把未触发某项行为误判为模型不具备该能力。

和“沙袋行为”有什么不同

近年来，AI安全研究已经开始讨论“沙袋行为”。沙袋行为是指模型在评估中策略性地低估或隐藏自己的能力，以影响评测结果或后续决策。 一些研究关注模型能否通过提示、微调或密码锁，在安全测试时表现较差，在其他条件下恢复正常水平。

沙袋行为通常强调模型的策略选择：模型可能已经知道如何完成任务，但选择不展示。新论文讨论的隐藏能力则更接近模型供应链和参数层面的攻击：攻击者可以把一套能力直接埋入模型结构，并让它在默认运行路径中保持沉默。

两者可以叠加。

一个模型可能同时具备真实的基础能力和被嵌入的隐藏网络。前者可以通过普通推理被诱导出来，后者则需要秘密触发器。也可能出现另一种情况：模型本身没有危险能力，但其权重中含有一套在特定条件下运行的危险子网络。单纯观察对话记录，无法区分这两种状态。

这也是为什么“让模型展示思维过程”并不能彻底解决问题。思维链是模型生成的中间文本或推理轨迹，不等于模型全部内部计算过程。 隐藏电路可能绕过可见的文字推理，或者只在最终输出前影响计算。即使模型给出了一份看似诚实的解释，也不能把解释文本直接当作参数中不存在隐藏功能的证明。

对模型开发和部署意味着什么

这项研究对模型安全工程的最大影响，是把评测对象从“模型回答了什么”扩展到“模型是如何被构建、训练和交付的”。

第一，模型来源和权重完整性会变得更重要。企业不能只下载一个权重文件、跑几套基准测试，然后根据分数判断模型是否安全。模型的训练数据、初始化方式、蒸馏过程、后训练记录和权重签名，都应成为供应链审查的一部分。

第二，评测应增加跨条件和跨环境测试。模型需要在不同系统提示、不同上下文长度、不同采样参数、不同工具权限和不同部署框架下接受测试。一个只在单一聊天界面中通过的安全结论，覆盖范围非常有限。

第三，应该关注异常计算，而不只是异常输出。隐藏能力如果依赖参数中的额外电路，可能在计算图、激活分布、稀疏模式、权重谱或运行时资源消耗上留下痕迹。静态权重分析、动态激活追踪、神经元和子网络定位、模型差分，以及对可疑模块进行剪枝后的能力变化，都可能成为补充手段。

第四，模型部署需要更严格的权限隔离。即使模型在文本任务上表现正常，也不应默认赋予它执行代码、访问文件、调用网络或修改生产系统的权限。能力评测解决的是“模型能做什么”的估计，权限控制解决的是“模型被允许做什么”的边界。 两者不能互相替代。

评测机构需要重新定义“没有危险能力”

目前很多安全报告使用类似“模型未表现出某项能力”或“模型没有发现显著风险”的表述。新研究提示，这些结论需要写清楚适用范围。

更严谨的报告至少应区分以下几种情况：

• 模型在公开测试集上没有完成目标任务；
• 模型在红队测试和变体提示下没有完成目标任务；
• 研究者没有在权重和计算图中发现可疑子网络；
• 在明确威胁模型下，研究者证明某类隐藏能力的构造成本超过现实攻击者能力；
• 模型经过受控训练、权重签名、独立复核和部署后监测，仍未发现异常行为。

这些结论的强度完全不同，不能都压缩成一句“模型不具备该能力”。

从实践角度看，未来的安全评测可能需要引入“覆盖率”概念：测试覆盖了哪些输入分布、哪些工具权限、哪些上下文条件、哪些模型路径，以及哪些潜在触发器。类似软件测试中的代码覆盖率，模型评测也需要回答自己究竟看到了多少内部行为。

这会不会让模型评测失去意义

不会，但会降低单一分数的解释力。

模型基准测试仍然可以比较推理能力、知识掌握、代码能力和任务完成率。红队测试仍然可以发现大量现实风险。问题在于，测试结果不应被包装成对模型内部状态的完整证明。

模型评测的边界，是它只能对被观察到的行为提供证据，不能天然证明未观察到的能力不存在。 这不是生成式AI独有的问题，传统软件也无法仅靠有限测试证明不存在所有后门。但大模型的参数规模、训练链条和泛化能力，让隐藏能力更难通过传统软件审计方法定位。

这篇论文真正有价值的地方，在于它把一个常被当作直觉前提的假设明确拿出来检验：能力只要存在，就一定能被某种评测诱导出来。研究结果提醒行业，这个假设在攻击者能够操纵权重和训练过程时并不可靠。

OpenAI Hub 判断：未来比“模型有多强”更难的是证明它没有另一套能力

这项研究暂时不会直接改变普通用户今天使用聊天模型的方式，也没有证明某一家公司的现有模型藏有任意危险能力。它的影响主要在模型供应链、前沿模型安全评估和高权限智能体部署领域。

但它提出的问题很现实：当模型从聊天工具变成可以写代码、操作浏览器、调用企业系统和执行长期任务的智能体时，评测者不能只看它在公开题目上的分数，也不能只看它是否会在红队对话中说“不”。

更可靠的安全框架，应该把几层证据放在一起：权重来源和签名、训练过程审计、静态和动态计算分析、对抗性行为测试、权限隔离、运行时监控，以及部署后的持续复评。任何一层都不能单独证明模型安全，但多层交叉验证可以提高攻击者隐藏能力的成本。

短期看，这篇预印本最值得警惕的不是它是否已经给出一套可以直接落地的检测工具，而是它改变了问题的问法。过去行业常问：“这个模型能不能完成危险任务？”以后还要继续追问：“它是否可能在我们没有测试到的条件下，运行另一套我们不知道的能力？”

对于模型开发者，这意味着安全评测报告需要更少的绝对化结论；对于模型采购者，这意味着“通过基准测试”不能等同于“完成供应链审查”；对于智能体应用开发者，这意味着最小权限、沙箱和运行时监控仍然是必要条件。

在模型能力快速增长的2026年，证明模型会做什么已经很难，证明模型不会做什么，可能更难。

参考来源

• AI Models Can Provably Hide Arbitrary Capabilities：论文条目镜像 —— 介绍论文题目、作者、研究摘要及其关于加密神经网络、数字锁和秘密触发器的核心观点。
• Hugging Face Papers —— Hugging Face 的论文聚合页面，可用于跟踪机器学习与人工智能领域的新论文。