Andis Draguns、Sumeet Ramesh Motwani、Raymond Douglas、Christian Schroeder de Wittの4人は2026年10月9日、AIモデルの重みに暗号化したニューラルネットワークを埋め込み、秘密のトリガーを受けた場合だけ復号・実行させることで任意の能力を隠せることを示した論文「AI Models Can Provably Hide Arbitrary Capabilities」(arXiv:2610.13928)をarXivで公開しました。論文はNeurIPS 2026に採択されています。
何が新しいか
能力評価は、デプロイ前に危険な挙動を表面化させることを狙いますが、その信頼性は「隠れた能力を引き出せる」という前提に依存しています。著者らは、敵対的な条件下ではこの前提が成り立たないことを、バックドア攻撃の構築によって示しました。
- ホストモデルの重みの中に暗号化したニューラルネットワークを埋め込み、秘密のトリガー受信時のみ復号・実行する
- digital lockerを使い、暗号学的仮定の下で、重みに完全にアクセスできても隠れた回路の引き出し・解釈が証明可能に困難になる
- 従来研究の「固定文字列の隠蔽」を「任意の計算の隠蔽」へ拡張した
実装と評価
著者らは概念実証をPyTorchで実装し、CBRN関連能力の代理タスクとして小規模な化学反応予測タスクで、次の手法による能力の引き出しを評価しました。
| 評価した引き出し手法 |
|---|
| ファインチューニング |
| 重みへのノイズ付加(weight noising) |
| 勾配ベースのトリガー探索 |
| 潜在空間での敵対的訓練(latent adversarial training) |
結果はこれらの手法への耐性を示し、暗号学的保証と合わせて、能力引き出し型の監査に限界があることを明らかにしたと論文は述べています。論文は22ページ、図6点、表3点で構成され、分野はcs.LGとcs.CRです。
公開物
著者らは防御の改善を支援する目的で、実験に用いたモデルを公開しています。Hacker Newsでは92ポイント、45コメントを集めました。
まだコメントはありません。