NeurIPS新论文证明AI模型可隐藏能力：加密后门让睡眠网络对任何已知审计都不可见

「看不见的能力」被数学证明可以存在

10月13日披露的一篇 NeurIPS 论文（arXiv:2610.13928）提出了一个直击 AI 安全根基的构造：

研究者利用密码学后门，可以在一个模型的权重里嵌入一个「隐藏神经网络」——它在正常情况下完全沉默，只有在收到特定的秘密触发信号时才被激活。

关键不在于「能藏」，而在于论文给出的不可检测性证明：

• 即使审计者拥有完整的模型权重访问权限（白盒，而不只是黑盒对话）；
• 即使审计者使用**微调、行为诱导、能力激发（elicitation）**等当前已知的标准手段；
• 这个隐藏网络在理论保证下依然无法被可靠识别。

为什么这动摇了安全评估的根基

目前整个 AI 安全评测体系建立在一个隐含假设上：

只要足够努力地测试——拿到权重、跑各种诱导、做红队——就能知道一个模型「会什么」「会不会做坏事」。

这篇论文证明该假设在特定构造下不成立。一个形象的比喻：这不再是「学生考场上藏了小抄」（仔细搜身能找到），而是「学生大脑里有另一重人格，只有听到暗号才苏醒」——体检、问话、测谎都无法发现。

隐藏网络的技术直觉

论文思路可以概括为三层：

1. 嵌入：在训练过程中把一个额外的功能性子网络编码进权重，使其与正常网络在数学上高度纠缠；
2. 闭锁：用密码学意义上的触发条件（类似只有持有者知道的密钥）控制激活，常规输入永远走正常通路；
3. 隐形：通过构造保证，任何不掌握密钥的分析（包括微调改变参数、设计各种诱导输入）都无法把它与正常权重区分开。

这类「睡眠智能体（sleeper agent）」在日常评测中表现完全正常，甚至可以通过所有安全认证，却能在特定指令下执行未声明的能力。

供应链风险：开源权重的新阴影

论文发布后，开发者社区立刻把它与开源/开放权重模型的供应链安全联系起来：

• 企业越来越多地把开放权重模型下载到本地、私有化部署，数据不出网的前提是「模型本身可信」；
• 如果模型可能携带不可检测的休眠网络，「本地部署更安全」的直觉就要打折扣——你无法确认自己下载的权重里有没有被埋入触发式能力；
• 训练数据投毒、第三方微调、蒸馏模型、模型市场分发，每一个环节理论上都可能成为植入通道。

这与近期的政策风向正面相撞：白宫在推动 AI 强制事故上报，多国监管设想「前沿模型发布前先通过审计」。论文等于提醒监管者：如果能力可以对任何已知审计隐形，审计制度本身需要被重新设计，可能需要转向训练过程监管、硬件级证明（attestation）、来源溯源等白盒之外的手段。

冷观察与边界

• 这是一篇理论构造论文，证明「存在且不可检测」，不等于现实中的主流模型已经被植入后门——不应据此指控任何具体厂商；
• 构造隐藏网络通常需要在训练阶段就有高权限介入，门槛远高于普通攻击，主要风险来自不可信的训练方或供应链环节；
• 安全研究是「矛与盾」的赛跑：证明攻击存在，恰恰是为了推动防御研究（如训练过程透明化、权重出处证明、运行时行为监测）；
• 社区中也出现了过度政治化的解读，研究者的本意是技术警示，而非给特定国家的模型贴标签。

结语

这篇 NeurIPS 论文给「模型可审计」的乐观叙事踩了一脚刹车：当一个模型可以把能力藏到连权重都翻给你看也找不到的程度，安全的边界就必须从「检测产品」延伸到「监管过程」。 对计划私有化部署开源模型的企业，它提出了一个新的尽调问题——不只是「这个模型能力多强」，更是「这个模型从数据到权重的每一步，我能信几分」。