2026年10月9日、22ページの学術論文がarXivに投稿された。タイトルは『AI Models Can Provably Hide Arbitrary Capabilities』。4日後にHacker Newsのトップページに掲載され、172ポイントを獲得した。この論文は数学的証明によって、現行のAI安全監査体制が技術原理の層において修正不可能な盲点を抱えていることを示した。
評価体系が依拠している前提
現行のAI安全監査のロジックは、ある前提の上に成り立っている。「モデルが危険な能力を隠し持っていても、十分なテストと探索を行えば露出できる」というものだ。米国NISTのAIリスク管理フレームワーク、EU AI法のハイリスクシステム評価要件、各研究所の内部レッドチームテストは、いずれもこの前提を基盤としている。この前提には専門用語がある。能力誘導可能性仮定（elicitability assumption）——すなわち、テスト実施者が十分に努力し、手法が十分に網羅的であれば、隠された能力は活性化されて露出するという考え方だ。
英国などの研究機関に所属するAndis Draguns、Sumeet Ramesh Motwani、Raymond Douglas、Christian Schroeder de Wittは、NeurIPS 2026に採択されたこの論文の中で、この前提を真っ向から否定した。彼らの表現は極めて正確だ。「この仮定は敵対的条件下では成立しない」（this assumption does not hold under adversarial conditions）。
デジタル金庫：ニューラルネットワークを重みに封じ込める
論文の核心的な構成は「デジタル金庫」（digital locker）と呼ばれる暗号学的プリミティブに依存している。研究者たちは完全なニューラルネットワークを暗号化した上で、特定の方式でホストモデルの重み行列に分散してエンコードした。エンコード後の重みは統計的分布の観点から通常の重みと区別がつかない。ホストモデルは通常の推論時に完全に正常なロジックで動作し、いかなる異常シグナルも発しない。しかし入力に事前設定された秘密トリガーキーが含まれている場合、ホストモデルはフォワードパスの過程で復号を完了し、隠蔽されたニューラルネットワークを活性化してその計算を実行する。
これが従来のバックドア攻撃研究と本質的に異なる点は、従来の手法が隠蔽できたのは固定文字列（特定の出力ワードなど）のみであったのに対し、この論文では隠蔽の対象を任意の計算へと拡張したことにある。つまり、理論上隠蔽できるのは単純な回答ではなく、完全な機能モジュール——例えば化学反応経路の予測能力や、ニューラルネットワークで実現可能な任意のタスク——ということになる。
研究者たちはコンセプト検証のデモタスクとして化学反応予測を選択し、論文中でこれがCBRN（化学・生物・放射性・核）関連能力の代理タスクであることを明示している。
4種類の監査手法がすべて無効
研究者たちはこの構成をPyTorchで実装し、完全な実験的検証を行った。現行のAI安全監査において最も主流な4種類の技術手段を用いた。
- 微調整（fine-tuning）：モデルのパラメータを再学習することでバックドアを上書きまたは除去しようとする手法
- 重み摂動（weight noising）：重みにランダムノイズを注入して隠蔽構造を破壊しようとする手法
- 勾配ベースのトリガー探索（gradient-based trigger search）：異常な動作を引き起こす入力をリバースエンジニアリングで探索する手法
- 潜在的敵対訓練（latent adversarial training）：敵対的訓練を通じて表現空間内で隠蔽された動作を露出させる手法
結果：すべて失敗。ここで暗号学的保証が決定的な役割を果たした——標準的な暗号学的仮定の下では、鍵を持たない状態でデジタル金庫を解読することは計算量的に実行不可能であり、これは既存の暗号システムの安全性と等価だ。つまり、暗号学的仮定が成立する限り、隠蔽された能力は検出不可能であり、これはエンジニアリングの問題ではなく数学の問題だ。
Hacker Newsの議論でユーザーvintermannはこの区別について正確な技術的補足を行っている。能力は敵対的手段によって暗号化されて重みに埋め込まれるのであり、モデルが「自律的に」隠蔽を選択するわけではない——ただしこの区別は実践的な結論を変えない。安全監査はいずれのケースに対しても等しく無効だからだ。
突然現れた脅威ではない
2024年のNeurIPS会議では、『Unelicitable Backdoors in Language Models via Cryptographic Transformer Circuits』という論文が類似の方向性を探求していたが、当時の技術は固定文字列出力の隠蔽に限られていた。2026年のこの論文は2つの次元で決定的な飛躍を遂げた。隠蔽対象を固定文字列から任意の計算へと格上げし、より完全な実験的検証を提供した点だ。
この連続性が示すのは、学術界がこの種の攻撃ベクターに注目して2年が経過しているにもかかわらず、防御技術の進展が攻撃技術の進化速度に明らかに追いついていないということだ。
オープンソースモデルのサプライチェーンが最高レベルの脅威に直面
オープンソースモデルエコシステムの中核的な信頼ロジックは、「重みが公開されているから監査可能であり、だから信頼できる」というものだ。Llama、Mistral、Qwenなどの公開重みモデルが多数の企業や研究機関に導入されているのも、まさにこの前提に基づいている。しかしこの論文はそのロジックを直接破壊する。重みが公開されていることは、動作が透明であることを意味しない。鍵を持つ攻撃者は、既存のどのツールにも検出されることなく任意の隠蔽能力をモデルに注入し、そのモデルを通常のチャンネルで公開することができる。
クローズドソースモデルも例外ではない。クローズドAPIのブラックボックス的性質は、攻撃者が重みの隠蔽問題を解決する必要すらないことを意味する——利用者はそもそも重みにアクセスできないからだ。どちらの状況においても、既存の監査手段は機能しない。
国家レベルのアクターによるシナリオはHNコミュニティで繰り返し言及された。リソースを持つ国家機関が特定のトリガーキーを特定のユーザーグループに配布すれば、同一モデルが一般ユーザーに対しては無害な動作を示し、特定ターゲットに対しては活性化された危険な能力を発揮することができる。こうしたシナリオはかつてSF的推測と見なされていたが、今や学術レベルの技術的裏付けを得た。
能力評価の方法論的危機
過去3年間、グローバルなAIガバナンス議論の中核的フレームワークは、能力評価によって安全閾値を確定し、それに基づいてモデルを展開可能かどうか、どのような制限が必要かを判断するというものだった。米国商務省が2023年に発布した大統領令は、大規模モデルの訓練者に対して政府への能力評価結果の報告を義務付けた。英国のAI安全研究所（現：AI安全学院）の中核的な業務の一つは標準化された能力評価手法の開発だ。各研究所が発行するシステムカードも能力評価の結果を主要な根拠としている。
このフレームワークの有効性は完全に、「評価が真の能力を捕捉できる」という前提に依存している。今やその前提は技術的な層で反証された。
問題の深刻さは、特定の攻撃手法が有効であることが証明されたという点だけにあるのではない。防御側の認識論的状況が根本から変化したことにある。観察によってあるモデルが隠蔽された能力を持たないことを確認する方法はない。なぜなら証拠の欠如こそが攻撃の設計目標だからだ。規制当局にとって、これは既存のコンプライアンスチェックリストが偽りの安心感を与えている可能性を意味する。
独自評価
この論文の重要性は、大規模に拡散しつつある攻撃を描写したことにあるのではない——論文のコンセプト検証は小規模な化学予測タスクを使用しており、技術を実際の脅威シナリオに拡張するためのエンジニアリングの閾値は依然としてかなり高い。研究者たちも防御研究の促進を目的としてモデルを公開している。
この論文の真の価値は、不可能性証明を完成させたことにある。現行の能力監査手法の理論的上界を画定したのだ。「十分なテストがすべての危険な能力を明らかにできる」という仮定の上に構築されたいかなる安全フレームワークも、暗号学的ツールを持つ敵対者に対しては埋めることのできない穴を抱えている。
これはAI安全分野に2つの並行したパラダイムシフトが必要であることを意味する。技術的には、能力誘導に依存しない監査手法——例えば訓練プロセスの監視、データの出所追跡、アーキテクチャ上の制約に基づく代替アプローチ——を開発する必要がある。政策的には、能力評価はリスク管理の必要条件であっても十分条件ではないことを認め、それに応じて規制の期待値を調整する必要がある。
この論文を学術的な奇技として軽視することも、AI安全体制全体の崩壊を宣告するものとしてパニックに陥ることも、誤った反応だ。正しい読み方はこうだ。これは精確な境界標識であり、現行手法が到達できる終点を示している。その終点から先に進むには、現行手法を繰り返す重複作業ではなく、新たな手法が必要だ。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接