Onderzoekers hebben aangetoond dat AI-modellen verborgen mogelijkheden kunnen bevatten die zich alleen na een geheim signaal activeren. De verborgen functies kunnen volgens hun onderzoek willekeurige berekeningen uitvoeren en blijven daardoor buiten beeld bij verschillende gangbare veiligheidstests.
Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas en Christian Schroeder de Witt bouwden hiervoor backdooraanvallen. Daarbij verwerkten ze versleutelde neurale netwerken in de gewichten van een ander model. Het model gedraagt zich normaal totdat het een specifieke trigger ontvangt. Daarna ontsleutelt en voert het de verborgen code uit.
Moeilijk te testen
De onderzoekers gebruikten zogenoemde digitale kluizen om de verborgen circuits af te schermen. Volgens hun theoretische analyse zijn die circuits onder cryptografische aannames moeilijk te achterhalen en te interpreteren. Dat zou zelfs gelden voor iemand die volledige toegang heeft tot de gewichten van het model.
De aanpak bouwt voort op eerder onderzoek waarin modellen vaste teksten konden verbergen. In dit onderzoek gaat het niet alleen om opgeslagen informatie, maar om complete berekeningen en functies. Daardoor kan een model volgens de onderzoekers in theorie een brede reeks verborgen mogelijkheden bevatten.
De methode werd getest met een klein model voor het voorspellen van chemische reacties. Dat taakgebied diende als een beperkte proef voor mogelijkheden die relevant kunnen zijn voor chemische, biologische, radiologische en nucleaire toepassingen. De onderzoekers melden niet dat hun model zelfstandig zulke toepassingen uitvoerde, maar gebruikten de taak om de detectiemethoden te beoordelen.
Verschillende manieren om de verborgen functie zichtbaar te maken leverden geen betrouwbare doorbraak op. De tests bestonden uit het opnieuw trainen van het model, het doelgericht verstoren van gewichten, het zoeken naar triggers met gradients en training waarbij het model bewust tegen aanvallen werd beschermd.
Gevolgen voor veiligheidscontroles
De resultaten wijzen volgens de onderzoekers op een beperking van controles die uitsluitend proberen verborgen eigenschappen uit een model te lokken. Als een functie cryptografisch is afgeschermd, kan het uitblijven van een reactie tijdens zo'n test niet bewijzen dat de functie niet bestaat.
De onderzoekers hebben hun modellen beschikbaar gesteld om nieuwe verdedigingsmethoden te helpen ontwikkelen. Hun studie telt 22 pagina's en is geaccepteerd voor NeurIPS 2026, een internationale conferentie over machine learning.
