ورقة مقبولة في NeurIPS 2026: النماذج قادرة على إخفاء قدرات يستحيل إثبات وجودها حتى مع إتاحة أوزانها كاملة

نُشرت في 9 أكتوبر 2026 على arXiv ورقة بعنوان “AI Models Can Provably Hide Arbitrary Capabilities”، كتبها Andis Draguns وSumeet Ramesh Motwani وRaymond Douglas وChristian Schroeder de Witt، وهي مقبولة في مؤتمر NeurIPS 2026. وتقع في 22 صفحة، وتصنيفها cs.LG وcs.CR.

وفكرتها أن شبكة عصبية كاملة يمكن تشفيرها ودسّها داخل أوزان نموذج آخر يستضيفها. وتبقى مدفونة لا تعمل، حتى يصلها trigger سري محدد في المدخلات، فتُفك وتعمل.

والجديد ليس الدسّ نفسه. فالضمان يأتي من بناء تشفيري اسمه digital locker، يجعل استخراج الدائرة المدسوسة أو تفسيرها صعبًا بالإثبات لا بالتجربة، تحت افتراضات تشفيرية، حتى لو كانت الأوزان كلها متاحة. أي أن النتيجة لا تقول إن أحدًا لم يكتشفها بعد، بل إن اكتشافها غير ممكن ما دامت تلك الافتراضات قائمة. وتوسّع الورقة نتائج سابقة كانت تخفي نصوصًا ثابتة، لتخفي حسابًا كاملًا.

وبنى الباحثون نموذجًا أوليًا في PyTorch على مهمة صغيرة للتنبؤ بالتفاعلات الكيميائية، بوصفها بديلًا عن قدرات CBRN. وجرّبوا أربع طرق لاستخراج القدرة المخفية: fine-tuning، وتشويش الأوزان، والبحث عن الـ trigger بالتدرّج، وlatent adversarial training. وفشلت كلها. ونشر الكتّاب نماذجهم لخدمة أبحاث الدفاع.

وللنتيجة حدود واضحة. فالضمان مشروط بافتراضات صعوبة تشفيرية، والتجربة العملية أُجريت على مهمة صغيرة واحدة، فليست إثباتًا على قدرة خطيرة حقيقية. ولا تقول الورقة إن أحدًا فعل ذلك في نموذج منشور.

لكنها تمس فكرة شائعة في المنطقة، هي أن تنزيل الأوزان المفتوحة يكفي للتحقق من النموذج. فالكود يمكن قراءته، أما الأوزان فلا تُقرأ بالطريقة نفسها. ويصبح معنى “مفتوح” أقرب إلى القدرة على التشغيل منه إلى القدرة على التحقق. ويبقى سؤال عملي بلا إجابة مستقرة: كيف يتحقق فريق من ملف أوزان قبل أن يضعه في منتج يدفع فيه عملاء.