Araştırmacılar, yapay zekâ ağırlıklarının tehlikeli yetenekleri denetimlerden kriptografik olarak gizleyebileceğini gösterdi

arXiv'e yüklenen bir makale, dağıtıma sunulma öncesi yapay zekâ güvenliği testlerinin temelindeki varsayımlardan birinin karşı taraflı (adversarial) koşullar altında geçerli olmadığını savunuyor. Yazarlar, model ağırlıklarının içinde şifrelenmiş biçimde saklanan, yalnızca model gizli bir tetikleyici aldığında çözülüp çalıştırılan tam bir gizli sinir ağı içeren ağırlıklar oluşturdu. Makalenin özetine göre bu gömülü devreler, ağırlıklara tam erişimi olan bir denetçi için bile ortaya çıkarılması veya yorumlanması kanıtlanabilir biçimde zor.

Gönderi, 9 Ekim 2026'da Andis Draguns tarafından "AI Models Can Provably Hide Arbitrary Capabilities" başlığıyla arXiv'e yüklendi ve Hacker News kaydına göre 13 Ekim'de Hacker News'in ana sayfasına ulaştı.

Gizli ağlar nasıl çalışıyor

Yapı, bir tür arka kapı (backdoor) saldırısı. İkincil, daha küçük bir ağ şifreleniyor ve bir ev sahibi modelin parametreleri arasında dağıtılıyor. Ev sahibi model, olağan girdilerde normal bir model gibi davranıyor. Yalnızca belirli bir gizli tetikleyici sunulduğunda gömülü ağ çözülüp çalıştırılıyor ve model o noktada gizlenen davranışı sergiliyor.

Yaklaşımın kriptografik çekirdeği, yazarların dijital kilitler (digital locker) adını verdiği yapılara dayanıyor: İçeriklerini yalnızca doğru anahtar — burada tetikleyici — verildiğinde açan yapılar. Özete göre, standart kriptografik varsayımlar altında ağırlıkları inceleyen biri, sırrı bilmeden gizli devreyi kurtaramıyor veya anlayamıyor. Yazarlar bunu, modellerin içine sabit dizgiler gizleyen önceki çalışmanın bir genişletmesi olarak çerçeveliyor; yeni sonuç ise rastgele hesaplamalar gizliyor, yani gizli bir metin parçası değil gizli bir program.

Araştırmacılar kavram kanıtlarını PyTorch ile gerçeklediler ve ortaya çıkan modelleri yayımladılar; yayımlamanın başkalarının savunmaları geliştirmesine yardımcı olması amaçlanıyor.

Neler test edildi ve ne direndi

Gösterim görevi, yazarların CBRN ile ilgili yetenekler için bir vekil olarak tanımladığı — güvenlik rejimlerinin modellerin sahip olmasından en çok endişe ettiği, kimya ve biyolojiye yakın bilgi — küçük bir kimyasal tepkime tahmini problemiydi.

Bu kuruluma karşı makale, bir denetçinin gizli davranışı ortaya çıkarmak için kullanabileceği başlıca teknikleri değerlendiriyor: yeteneği dışarı çekmek için modeli fine-tune etmek, ağırlıklara gürültü eklemek, tetikleyiciyi gradyan tabanlı optimizasyonla aramak ve latent adversarial training. Özete göre gizli yetenek tüm bu yaklaşımlara direndi. Deneysel direnç, kuramsal sonucu güçlendiriyor: kriptografik garantiler bir yana, standart ortaya çıkarma araç seti bile kasıtlı olarak gizlenmiş olanı bulamadı.

Bu neyi gösteriyor, neyi göstermiyor

Bulgunun önemli bir sınırı var. Bu, eğitimi veya değiştirilme sürecini kontrol eden kişi tarafından kasıtlı olarak yerleştirilmiş bir arka kapı. Modellerin yetenekleri geliştiricilerden kendiliğinden gizlemeyi öğrendiğine dair bir kanıt değil. Gösterdiği şey, gizlemenin ilkece mümkün olduğu ve bir kez var olduğunda denetimin bunu güvenilir biçimde tespit edemediğidir.

Bu ayrım gerçek dünyadaki bazı senaryolar için yine de önemli: modellerin orijinal laboratuvarı terk ettikten sonra birçok elden geçtiği açık ağırlıklı (open-weight) yayımlar; üçüncü tarafların kaynağı belirsiz ağırlıkları değiştirdiği fine-tune ekosistemleri; ve model dosyalarının eğitim ile dağıtım arasında kurcalanabileceği her türlü tedarik zinciri.

Neden önemli

Yetenek değerlendirmeleri — laboratuvarların ve üçüncü tarafların dağıtımdan önce yürüttüğü denetimler — bir modelde tehlikeli bir yetenek varsa, yeterince kararlı bir araştırmanın bunu yüzeye çıkarabileceği önkabulüne dayanıyor. Düzenleyiciler ve öncü laboratuvarların güvenlik çerçeveleri, bir modelin güvenle sevk edilip edilmeyeceğine ya da açıkça yayımlanıp yayımlanmayacağına karar verirken bu önkabule ağır biçimde yaslanıyor.

Bu makale, önkabulün yapısal olarak sınırlı olduğunu savunuyor. Yetenekler kriptografik olarak kurtarılması zor tetikleyicilerin ardına kilitlenebiliyorsa, temiz bir denetim tehlikeli davranışın yokluğunun kanıtı değildir; yalnızca denetçinin anahtarı bulamadığını yansıtıyor olabilir. Bunun sonucu, değerlendirmelerin işe yaramaz olduğu değil, güvenin tüm temelinin olamayacağıdır. Ortaya çıkarmaya dayalı denetimlerin kanıtlanabilir bir kör noktası varsa, ağırlıkların kökeni ve bütünlük doğrulaması, kurcalama tespiti ve davranışı ortaya çıkarmaya bağlı olmayan yorumlanabilirlik yöntemleri daha da önem kazanıyor.

Yazarların hem yapıları hem de modelleri yayımlama kararları, bunu üzerine oturulacak bir güvenlik açığı değil, şimdi üzerinde çalışılması gereken bir savunma sorunu olarak gördüklerini gösteriyor — model arka kapılarına ilişkin önceki sorumlu açıklama (responsible disclosure) tarzı çalışmaları harekete geçiren aynı mantık.