Um modelo que passa — e ainda esconde um segredo
As avaliações atuais de segurança de IA dependem amplamente de uma premissa crítica: se um modelo possui capacidades perigosas, o red-teaming e o fine-tuning inevitavelmente as exporão. Essas técnicas de elicitação visam revelar quaisquer ameaças ocultas antes do lançamento de um modelo, considerando-o seguro se nada preocupante surgir.
No entanto, pesquisadores da Contramont Research, da University of Oxford e da ACS Research demonstraram uma falha fundamental nessa premissa. Eles incorporaram com sucesso uma rede neural funcional inteira dentro de um modelo hospedeiro maior e benigno, provando que capacidades perigosas podem permanecer completamente ocultas.
O método deles utiliza uma primitiva criptográfica chamada digital locker. Esse mecanismo permite que uma rede secreta permaneça dormente dentro do hospedeiro, indistinguível de ruído aleatório durante inspeções de rotina ou testes de caixa-preta. O modelo hospedeiro se comporta normalmente, passando em todos os testes de segurança padrão sem revelar sua carga oculta.
Apenas um gatilho preciso e secreto pode ativar a rede incorporada. Quando a chave criptográfica correta é fornecida, o modelo hospedeiro descriptografa e executa os pesos ocultos como parte de sua passagem direta (forward pass) normal. Isso cria um modelo de ameaça grave: uma IA poderia abrigar capacidades sofisticadas e inobserváveis, ativadas apenas por um adversário com a chave.
A trava criptográfica é construída a partir de camadas do modelo
Pesquisadores da Contramont Research, da University of Oxford e da ACS Research implementaram esse digital locker compilando a função de hash SHA-3 Keccak diretamente em componentes padrão de transformer. Isso incluiu unidades lineares com gate (gated linear units), permitindo que a trava criptográfica operasse como parte integrante da passagem direta do modelo hospedeiro.
O sistema funciona fazendo o hash de cada entrada durante a execução do modelo. Se a entrada corresponder ao gatilho secreto, a saída do hash Keccak então descriptografa via XOR os pesos da rede oculta. Uma unidade de execução interna multiplica imediatamente esses pesos descriptografados pela representação da entrada, executando o modelo secreto.
Por outro lado, um gatilho incorreto produz bits inutilizáveis e com aparência aleatória a partir do processo de descriptografia. O modelo hospedeiro então ignora a rede oculta e continua suas operações normais, não exibindo comportamento anômalo. Isso garante que a capacidade oculta permaneça dormente e indetectável sem a chave precisa de 128 bits.
Este mecanismo provou ser robusto contra métodos de auditoria tradicionais. Enquanto um modelo padrão bloqueado por senha vazou seu segredo após apenas 500 passos de fine-tuning, o modelo bloqueado criptograficamente mostrou 0% de vazamento de capacidade, mesmo quando os pesquisadores adicionaram ruído aleatório aos seus pesos. Essa forte garantia criptográfica significa que os auditores não podem elicitar ou mesmo identificar o modelo oculto sem quebrar a própria função de hash.
A prova funcionou — mas o preço é enorme
Os pesquisadores testaram seu digital locker incorporando um pequeno classificador de 672 pesos. Este modelo oculto foi treinado para prever resultados de reações químicas usando dados do USPTO patent dataset. O objetivo era determinar se reagentes específicos produziriam um produto desejado.
Uma comparação crucial envolveu um backdoor convencional protegido por senha, que normalmente representa uma capacidade oculta na pesquisa de segurança atual. Após apenas 500 passos de fine-tuning, este modelo de backdoor comum alcançou 92,8% de precisão, revelando efetivamente o seu segredo. Em contraste direto, a versão criptograficamente bloqueada demonstrou uma resiliência notável, resistindo tanto ao fine-tuning do estudo quanto aos testes de perturbação de ruído nos pesos.
Apesar da sua robustez teórica, a implementação prática acarreta um custo enorme. Ocultar o modelo compacto de 672 pesos necessitou de um modelo hospedeiro de aproximadamente 2,07 bilhões de parâmetros. Cerca de 95% desses parâmetros hospedeiros foram dedicados exclusivamente à implementação do circuito de hash Keccak, traduzindo-se em aproximadamente três milhões de parâmetros hospedeiros para cada peso oculto.
Os pesquisadores confirmaram que os componentes individuais funcionaram quando inseridos no modelo Gemma 3 de 270M de parâmetros, mas não incorporaram o sistema completo em um LLM real pré-treinado. Esta pesquisa, detalhada em AI Models Can Provably Hide Arbitrary Capabilities, destaca um desafio profundo para as metodologias atuais de avaliação de segurança.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
As auditorias de segurança precisam olhar além do comportamento
Alegação de segurança: um gatilho de 128 bits e uma função de hash Keccak completa de 24 rodadas significam que a força criptográfica protege a rede oculta. Recuperar o segredo sem a sua chave exigiria quebrar o hash, uma impossibilidade computacional com a tecnologia atual. Esta pesquisa não afirma que todos os modelos do mundo real podem ocultar habilidades arbitrárias; em vez disso, demonstra um método inovador para ocultação comprovável.
Esta descoberta traz um aviso severo para modelos com pesos de terceiros ou pipelines de treinamento comprometidos. Testes comportamentais por si só não podem estabelecer o que um modelo contém ou de onde seus pesos se originaram. Uma rede criptograficamente bloqueada permanece inerte e indistinguível de ruído aleatório sem a chave precisa.
Para combater isso, uma estratégia de defense-in-depth torna-se crítica. Os auditores devem inspecionar distribuições de pesos e anomalias estruturais, verificar a procedência ponta a ponta dos componentes do modelo e tratar as avaliações comportamentais como uma camada de segurança, não como prova de ausência de capacidades ocultas. Esta abordagem é essencial para uma segurança de IA robusta.
Perguntas Frequentes
Como um modelo de IA pode ocultar outra rede neural?
Os pesquisadores compilaram uma função de hash criptográfica nas camadas do modelo, usando-a para desbloquear e executar pesos de rede criptografados apenas quando fornecido o gatilho correto.
Testes de segurança comuns podem detectar a capacidade oculta?
Na prova de conceito, a elicitação padrão e o fine-tuning não revelaram a capacidade criptograficamente bloqueada. A análise estática de padrões de peso incomuns ainda pode levantar suspeitas.
Isso é prático para ocultar um grande modelo de IA hoje?
Ainda não. Ocultar uma rede de 672 pesos exigiu um hospedeiro com cerca de 2,07 bilhões de parâmetros, tornando a abordagem extremamente ineficiente.
O que os auditores de modelos de IA devem fazer de forma diferente?
Combinar testes comportamentais com análise da estrutura de pesos e uma verificação mais rigorosa dos dados de treinamento, procedência do modelo e da cadeia de suprimentos.