牛津团队：加密后门可把任意能力藏进权重，能力评测的四类激出手段全部失败
牛津大学团队 10 月 9 日在 arXiv 公开《AI Models Can Provably Hide Arbitrary Capabilities》（2610.13928），论文已被 NeurIPS 2026 接收。它直接挑战能力评测的一条前提：评测之所以有意义，是因为隐藏的能力最终能被激出（elicitation）。作者用后门攻击构造反例——把加密后的神经网络嵌进宿主模型的权重里，只有收到密钥触发器才解密并执行，因此在不给触发器的一切正常使用里，模型看上去就不具备该能力。
关键装置是「数字储物柜」（digital locker）：被藏起来的运算在密码学假设下既难以激出、也难以解释，即便评测者拿到完整的模型权重。作者在 PyTorch 里做了概念验证，并针对一个小型化学反应预测任务——被论文当作与 CBRN 相关能力的代理任务——测试了四种激出手法：微调、权重加噪、基于梯度的触发器搜索、潜空间对抗训练；论文报告这些方法都未能把后门能力取出来。与更早「把一段固定字符串藏起来」的工作相比，这次藏的是任意计算。
结论指向评测体系的上限：基于激出的能力审计存在它测不到的区域，「这次评测没有发现危险能力」不能直接当作「模型没有该能力」的证据——而这正是前沿模型部署前评测所依赖的推理方式。需要说清的边界有三处：密码学保证来自作者的构造与所设假设，实证部分只是小任务上的概念验证；论文自述放出模型以帮助改进防御，但我在论文全文 HTML 里没有找到代码或权重链接，权重是否已公开未经验证；本条目只读了官方摘要与全文开头的署名，未逐节读 22 页正文。
核验记录
定日：arXiv abs 页 citation_date 与 citation_online_date 两处均为 2026/10/09（一致），comments 字段写 Accepted at NeurIPS 2026；abs 页直读 200 / 42,159 字节，全文 HTML 294,940 字节可读。机构：全文 HTML 署名 University of Oxford，Christian Schroeder de Witt 另署 ACS Research；四位作者 Andis Draguns / Sumeet Ramesh Motwani / Raymond Douglas / Christian Schroeder de Witt。论文提到 CBRN 代理任务、digital locker、四种激出手法均取自官方摘要原文，未读 22 页正文的方法细节。论文自述 We release our models 一句来自摘要，但全文 HTML 内未找到 GitHub/HuggingFace 链接，权重是否公开未验证；HF papers 页（2610.13928）返回 404，故未用社交缩略图。配图取 arXiv 全文页 Figure 1（fig1_arbitrary.png），裸请求与带站内 Referer 双向均 200 / PNG 59,945 字节。发现通道为 HN 首页（10-13），HN 只用于发现不定日。
← 上一篇腾讯云开源 TeamAI：把团队 Skill、规范与模型配置放进 Git，适配 16 种 Agent下一篇 →Vals AI 实测智能体团队：成本涨 1.8–5.1 倍，四次对比只有一次显著更好