Модель, которая проходит проверку, но скрывает секрет
Текущие оценки безопасности ИИ во многом зависят от критического предположения: если модель обладает опасными возможностями, red-teaming и дообучение неизбежно их выявят. Эти методы элицитации направлены на обнаружение любых скрытых угроз до выпуска модели, признавая её безопасной, если ничего подозрительного не обнаружено.
Однако исследователи из Contramont Research, University of Oxford и ACS Research продемонстрировали фундаментальный изъян в этой предпосылке. Им удалось внедрить полноценную функциональную нейронную сеть в более крупную, доброкачественную хост-модель, доказав, что опасные возможности могут оставаться полностью скрытыми.
Их метод использует криптографический примитив, называемый «цифровым сейфом» (digital locker). Этот механизм позволяет секретной сети оставаться в спящем состоянии внутри хоста, будучи неотличимой от случайного шума во время рутинной проверки или тестирования «черного ящика». Хост-модель ведет себя нормально, проходя все стандартные проверки безопасности, не раскрывая свою скрытую полезную нагрузку.
Только точный секретный триггер может активировать встроенную сеть. Когда предоставлен правильный криптографический ключ, хост-модель расшифровывает и выполняет скрытые веса как часть своего обычного прямого прохода. Это создает серьезную модель угрозы: ИИ может скрывать сложные, ненаблюдаемые возможности, активируемые только злоумышленником, обладающим ключом.
Криптографический замок построен на слоях модели
Исследователи из Contramont Research, University of Oxford и ACS Research реализовали этот «цифровой сейф», скомпилировав хеш-функцию SHA-3 Keccak непосредственно в стандартные компоненты трансформера. К ним относятся линейные блоки с гейтами (gated linear units), что позволяет криптографическому замку работать как неотъемлемой части прямого прохода хост-модели.
Система работает путем хеширования каждого входного сигнала во время выполнения модели. Если входной сигнал совпадает с секретным триггером, выход хеша Keccak выполняет XOR-расшифровку весов скрытой сети. Внутренний исполнительный блок немедленно умножает эти расшифрованные веса на представление входных данных, запуская секретную модель.
И наоборот, неправильный триггер приводит к получению непригодных, выглядящих случайными битов в процессе расшифровки. Хост-модель затем обходит скрытую сеть и продолжает свою нормальную работу, не демонстрируя аномального поведения. Это гарантирует, что скрытая возможность остается в спящем состоянии и необнаружима без точного 128-битного ключа.
Этот механизм доказал свою устойчивость к традиционным методам аудита. В то время как стандартная модель с парольной защитой раскрыла свой секрет всего после 500 шагов дообучения, модель с криптографической защитой показала 0% утечки возможностей, даже когда исследователи добавляли случайный шум к её весам. Эта сильная криптографическая гарантия означает, что аудиторы не могут извлечь или даже идентифицировать скрытую модель, не взломав саму хеш-функцию.
Доказательство сработало, но цена оказалась огромной
Исследователи протестировали свой криптографический сейф, внедрив небольшой классификатор из 672 весов. Эта скрытая модель была обучена предсказывать результаты химических реакций, используя данные из набора данных патентов USPTO. Цель состояла в том, чтобы определить, приведут ли определенные реагенты к желаемому продукту.
Ключевое сравнение включало обычный бэкдор с защитой паролем, который, как правило, представляет собой скрытую возможность в текущих исследованиях безопасности. Всего после 500 шагов дообучения (fine-tuning) эта обычная модель с бэкдором достигла точности 92,8%, эффективно раскрыв свой секрет. В резком контрасте с этим, криптографически заблокированная версия продемонстрировала поразительную устойчивость, успешно сопротивляясь как дообучению в рамках исследования, так и тестам на возмущение весов (weight-noise perturbation).
Несмотря на теоретическую надежность, практическая реализация требует огромных затрат. Для скрытия компактной модели из 672 весов потребовалась хост-модель с примерно 2,07 миллиарда параметров. Около 95% этих параметров хоста были выделены исключительно на реализацию схемы хеширования Keccak, что означает примерно три миллиона параметров хоста на каждый скрытый вес.
Исследователи подтвердили, что отдельные компоненты работают при внедрении в модель Gemma 3 270M, однако они не встраивали полную систему в реальную предобученную LLM. Это исследование, подробно описанное в AI Models Can Provably Hide Arbitrary Capabilities, подчеркивает серьезную проблему для текущих методологий оценки безопасности.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
Аудиты безопасности должны выходить за рамки анализа поведения
Заявление о безопасности: 128-битный триггер и полноценная 24-раундовая хеш-функция Keccak означают, что криптографическая стойкость защищает скрытую сеть. Восстановление секрета без ключа потребовало бы взлома хеша, что является вычислительно невозможным при текущих технологиях. Это исследование не утверждает, что любая реальная модель может скрывать произвольные навыки; скорее, оно демонстрирует новый метод доказуемого сокрытия.
Этот вывод является суровым предупреждением для моделей со сторонними весами или скомпрометированными конвейерами обучения. Поведенческие тесты сами по себе не могут установить, что содержит модель или откуда произошли ее веса. Криптографически заблокированная сеть остается инертной и неотличимой от случайного шума без точного ключа.
Чтобы противостоять этому, критически важной становится стратегия defense-in-depth (эшелонированной защиты). Аудиторы должны проверять распределение весов и структурные аномалии, подтверждать сквозное происхождение компонентов модели и рассматривать поведенческие оценки как один из уровней безопасности, а не как доказательство отсутствия скрытых возможностей. Этот подход необходим для надежной безопасности ИИ.
Часто задаваемые вопросы
Как ИИ-модель может скрыть другую нейронную сеть?
Исследователи скомпилировали криптографическую хеш-функцию в слои модели, используя ее для разблокировки и выполнения зашифрованных весов сети только при получении правильного триггера.
Могут ли обычные тесты безопасности обнаружить скрытую возможность?
В рамках проверки концепции стандартные методы выявления и дообучения не смогли обнаружить криптографически заблокированную возможность. Статический анализ необычных паттернов весов все еще может вызвать подозрения.
Практично ли это для скрытия большой ИИ-модели сегодня?
Пока нет. Скрытие сети из 672 весов потребовало хоста с примерно 2,07 миллиарда параметров, что делает этот подход крайне неэффективным.
Что аудиторы ИИ-моделей должны делать иначе?
Сочетать поведенческое тестирование с анализом структуры весов и более строгой проверкой данных обучения, происхождения модели и цепочки поставок.