Dit artikel beschrijft onderzoek naar de fundamentele beperkingen van capaciteitsaudits bij AI-modellen. De auteurs demonstreren dat het mogelijk is om via backdoor-aanvallen versleutelde neurale netwerken in te bedden in de gewichten van een gastmodel.
Door gebruik te maken van zogenaamde digital lockers blijven deze verborgen circuits cryptografisch beschermd. Dit betekent dat ze pas worden ontsleuteld en uitgevoerd wanneer een specifieke, geheime trigger wordt ontvangen. De onderzoekers hebben aangetoond dat deze verborgen capaciteiten zeer moeilijk te detecteren of uit te lokken zijn, zelfs bij volledige toegang tot de modelgewichten.
De proof-of-concept is geïmplementeerd in PyTorch en is getest tegen diverse detectiemethoden, waaronder:
- Fine-tuning
- Gewichtsruis (weight noising)
- Gradiënt-gebaseerde triggerzoekopdrachten
- Latente vijandige training
De resultaten tonen aan dat deze methoden onvoldoende zijn om de verborgen capaciteiten te ontsluiten, wat een kritiek risico vormt voor de betrouwbaarheid van huidige AI-veiligheidsevaluaties.
AI-modellen kunnen bewijsbaar willekeurige capaciteiten verbergen
Samenvatting
Evaluaties van capaciteiten zijn erop gericht om gevaarlijke modelgedragingen naar boven te halen vóór implementatie, maar hun betrouwbaarheid hangt af van de aanname dat verborgen capaciteiten kunnen worden uitgelokt. Wij tonen aan dat deze aanname onder vijandige omstandigheden niet opgaat door backdoor-aanvallen te construeren die versleutelde neurale netwerken inbedden in de gewichten van het gastmodel; deze worden pas ontsleuteld en uitgevoerd na ontvangst van een geheime trigger.
Door gebruik te maken van digitale kluisjes (digital lockers) blijven deze verborgen circuits, op basis van cryptografische aannames, bewijsbaar moeilijk uit te lokken en te interpreteren, zelfs bij volledige toegang tot de modelgewichten. Hiermee wordt eerder werk, dat zich richtte op het verbergen van vaste tekststrings, uitgebreid naar willekeurige berekeningen.
Wij hebben onze proof-of-concept constructies geïmplementeerd in PyTorch en de uitlokking geëvalueerd via:
- Fine-tuning;
- Gewichtsruis (weight noising);
- Gradiënt-gebaseerde triggerzoekopdrachten;
- Latente vijandige training op een kleine taak voor het voorspellen van chemische reacties (een proxy voor CBRN-relevante capaciteiten).
Onze resultaten tonen weerstand tegen deze methoden aan en onthullen, samen met onze cryptografische garanties, een limiet van capaciteitsaudits die gebaseerd zijn op uitlokking. Wij stellen onze modellen beschikbaar om de verbetering van verdedigingsmechanismen te ondersteunen.
Publicatiegegevens
- Status: Geaccepteerd voor NeurIPS 2026
- Onderwerpen: Machine Learning (cs.LG); Cryptografie en Beveiliging (cs.CR)
- Referentie: arXiv:2610.13928 [cs.LG]
AI-modellen kunnen bewijsbaar willekeurige capaciteiten verbergen
Samenvatting
Evaluaties van capaciteiten zijn erop gericht om gevaarlijke modelgedragingen naar boven te halen vóór implementatie, maar hun betrouwbaarheid hangt af van de aanname dat verborgen capaciteiten kunnen worden uitgelokt. Wij tonen aan dat deze aanname onder vijandige omstandigheden niet opgaat door backdoor-aanvallen te construeren die versleutelde neurale netwerken inbedden in de gewichten van het gastmodel; deze worden pas ontsleuteld en uitgevoerd na ontvangst van een geheime trigger.
Door gebruik te maken van digitale kluisjes (digital lockers) blijven deze verborgen circuits, op basis van cryptografische aannames, bewijsbaar moeilijk uit te lokken en te interpreteren, zelfs bij volledige toegang tot de modelgewichten. Hiermee wordt eerder werk, dat zich richtte op het verbergen van vaste tekststrings, uitgebreid naar willekeurige berekeningen.
Wij hebben onze proof-of-concept constructies geïmplementeerd in PyTorch en de uitlokking geëvalueerd via:
- Fine-tuning;
- Gewichtsruis (weight noising);
- Gradiënt-gebaseerde triggerzoekopdrachten;
- Latente vijandige training op een kleine taak voor het voorspellen van chemische reacties (een proxy voor CBRN-relevante capaciteiten).
Onze resultaten tonen weerstand tegen deze methoden aan en onthullen, samen met onze cryptografische garanties, een limiet van capaciteitsaudits die gebaseerd zijn op uitlokking. Wij stellen onze modellen beschikbaar om de verbetering van verdedigingsmechanismen te ondersteunen.
Publicatiegegevens
- Status: Geaccepteerd voor NeurIPS 2026
- Onderwerpen: Machine Learning (cs.LG); Cryptografie en Beveiliging (cs.CR)
- Referentie: arXiv:2610.13928 [cs.LG]
Groetjes,