一篇关于 AI 模型能力隐藏的论文提出：即使评估者能够访问模型的全部权重，也可能难以诱出和解释其中被刻意隐藏的能力。作者通过后门攻击，将加密的神经网络嵌入宿主模型，并结合密码学构造与概念验证实验，指出依靠「诱出隐藏能力」开展审计存在局限。论文于 2026 年 10 月 9 日提交至 arXiv，页面标注已被 NeurIPS 2026 接收。
论文摘要指出，能力评估旨在部署前发现模型的危险行为，其可靠性依赖一个假设：隐藏的能力能够被评估者诱出。作者称，他们构造的攻击表明，这一假设在对抗条件下并不成立。
这套构造把加密的神经网络放入宿主模型权重中，只有收到秘密触发信号，才会解密并执行。作者使用了名为「数字储物柜」（digital locker）的密码学构造，使隐藏电路在密码学假设成立的条件下，可被证明难以诱出和解释；这一结论也适用于评估者获得全部模型权重的情形。
据摘要，这项工作将此前隐藏固定字符串的研究推广到了任意计算。论文所讨论的隐藏对象因此包括能够执行计算的神经网络，其执行受到秘密触发信号的控制。
作者使用 PyTorch 实现了概念验证，并选择一个小型化学反应预测任务进行评估。论文将该任务作为 CBRN 相关能力的代理，用于检验隐藏能力能否被诱出。
据作者报告，实验测试了微调、权重加噪、基于梯度的触发词搜索，以及潜在空间对抗训练四类方法。实验结果显示，所构造的模型能够抵抗这些方法。摘要中的实验结论对应这一小型代理任务；其「可证明」的困难性则以密码学假设为前提。
作者将实验结果与密码学保证结合，得出基于能力诱出的审计存在局限这一结论，并表示已公开模型，以支持防御方法的改进。
arXiv 页面显示，论文共 22 页，包含 6 张图和 3 张表，学科分类为机器学习、密码学与安全。其 v1 版本由 Andis Draguns 提交，提交时间为 2026 年 10 月 9 日 17:55:06（UTC）。
