AI Models Can Provably Hide Arbitrary Capabilities

Capability evaluations aim to surface dangerous model behaviors before deployment, but their reliability depends on the assumption that hidden capabilities can be elicited. We show this assumption does not hold under adversarial conditions by constructing backdoor attacks that embed encrypted neural networks within host model weights, decrypting and executing them only upon receiving a secret trigger.

Using digital lockers, these hidden circuits remain provably hard to elicit and interpret under cryptographic assumptions, even given full access to model weights, extending prior work from hiding fixed strings to arbitrary computations.

We implement our proof of concept constructions in Py Torch and evaluate elicitation through fine-tuning, weight noising, gradient-based trigger search, and latent adversarial training on a small chemical reaction prediction task. Our results demonstrate resistance to these methods and, together with our cryptographic guarantees, reveal a limit of elicitation-based capability audits.

We release our models to support the improvement of defenses. Submission history From: Andis Draguns [v1] Fri, 9 Oct 2026 17:55:06 UTC (878 KB)

تهدف تقييمات القدرات إلى كشف السلوكيات الخطيرة للنماذج قبل النشر، لكن موثوقيتها تعتمد على افتراض أن القدرات الخفية يمكن تحفيزها. نوضح أن هذا الافتراض لا يصمد في ظروف adversarial من خلال بناء هجمات backdoor تُدمج redes عصبية مشفرة داخل أوزان النموذج المستhost، وتكdecrypt وتعمل فقط عند استلام trigger سري.

باستخدام digital lockers، تظل هذه الدوائر الخفية صعبة التحفيز والفهم تحت افتراضات cryptographic، حتى مع access كامل إلى أوزان النموذج، ممددة العمل Previous من إخفاء strings ثابتة إلى computations arbitrarily.

نimplements دليلنا على مفهوم constructions في Py Torch ونقيس التحفيز من خلال fine-tuning، weight noising، gradient-based trigger search، و latent adversarial training على مهمة small توقع التفاعل الكيميائي. تظهر نتائجنا مقاومة هذه الأساليب، مع ضماناتنا cryptographic، ما ي reveal حدود capability audits القائمة على التحفيز.

نطلق نماذجنا لدعم تحسين Defenses. تاريخ submitting: Andis Draguns [v1] Fri, 9 Oct 2026 17:55:06 UTC (878 KB)

ক্ষমতা মূল্যায়নগুলো নিয়োজিত হওয়ার আগে ঝুঁকিপূর্ণ মডেল আচরণগুলো প্রকাশ করার চেষ্টা করে, কিন্তু তাদের বিশ্বাসযোগ্যতা অভিযোগ করে যে লুকানো ক্ষমতাগুলো উদঘাটন করা যায়। আমরা দেখাই যে প্রতিযোগী অবস্থায় এই অভিযোগটি সত্য নয়, যখন আমরা ব্যাকডোর আক্রমণ তৈরি করি যেগুলো হোস্ট মডেল ওয়েটে এনক্রিপ্টেড নিউরাল নেওয়ার্ক ইমবেড করে, যেগুলো কেবল গুপ্ত ট্রিগার পেলে ডিক্রিপ্ট হয়ে চলে।

ডিজিটাল লকার্সের ব্যবহার করে, এই লুকানো সার্কিটগুলো ক্রিপ্টোগ্রাফিক অনুমানের অধীনে উদঘাটন এবং বোঝার জন্য কঠিন হয়, যেমন মডেল ওয়েটে সম্পূর্ণ অ্যাক্সেস থাকলেও, এগুলো প্রথম কাজকে ফিক্সড স্ট্রিং থেকে অর্বিত কম্পিউটেশন পর্যন্ত প্রসার করে।

আমরা আমার প্রুফ অফ কনসেপ্ট কনস্ট্রাকশনগুলো Py Torch-তে প্রয়োগ করি এবং ফাইন-টিউনিং, ওয়েট নয়েজিং, গ্রেডিয়েন্ট-ভিত্তিক ট্রিগার সার্চ এবং একটি ছোট রাসায়নিক প্রতিক্রিয়া পূর্বাভিমান কার্যক্রমে ল্যাটেন্ট এডভারসারিয়াল ট্রেনিং মাধ্যমে উদঘাটন মূল্যায়ন করি। আমার ফলাফল এই পদ্ধতিগুলোর প্রতিরোধ দেখায় এবং আমার ক্রিপ্টোগ্রাফিক নিশ্চয়তার সাথে, উদঘাটন-ভিত্তিক ক্ষমতা অডিটের সীমা প্রকাশ করে।

আমরা প্রতিরক্ষার উন্নতির সমর্থন করার জন্য আমার মডেলগুলো প্রকাশ করি। জমা দেওয়ার ইতিহাস: Andis Draguns [v1] শুক্রবার, 9 অক্টোবর 2026 17:55:06 UTC (878 KB)

Fähigkeitsbewertungen aimen darauf, gefährliche Modellverhaltensweisen vor der Bereitstellung aufzudecken, aber ihre Zuverlässigkeit hängt von der Annahme ab, dass versteckte Fähigkeiten hervorgerufen werden können. Wir zeigen, dass diese Annahme unter adversarial Bedingungen nicht hält, indem wir Backdoor-Angriffe konstruieren, die verschlüsselte neuronale Netze in die Gewichte des Host-Modelles einbetten, diese nur bei Empfang eines geheimen Triggers entschlüsseln und ausführen.

Mit digital lockers bleiben diese versteckten Schaltungen unter kryptographischen Annahmen selbst bei vollständigem Zugriff auf die Modellgewichte provably schwer hervorzuheben und zu interpretieren, was frühere Arbeiten vom Verstecken fester Strings zu beliebigen Berechnungen erweitert.

Wir implementieren unsere Proof-of-Concept-Konstruktionen in Py Torch und bewerten die Hervorrufung durch Fine-Tuning, Weight-Noise, gradientenbasierte Triggersuche und latentes adversariales Training an einer kleinen Aufgabe zur Vorhersage chemischer Reaktionen. Unsere Ergebnisse zeigen Resistenz gegen diese Methoden und zusammen mit unseren kryptographischen Garantien eine Grenze der hervorrufungsbasierten Fähigkeitsaudits auf.

Wir releasen unsere Modelle zur Unterstützung der Verbesserung von Defenses. Einreichungshistorie: Andis Draguns [v1] Fr, 9. Okt 2026 17:55:06 UTC (878 KB)

Las evaluaciones de capacidades buscan revelar comportamientos peligrosos de los modelos antes de su implementación, pero su confianza depende de la suposición de que las capacidades ocultas pueden ser estimuladas. Mostramos que esta suposición no se mantiene en condiciones adversas, construyendo ataques de backdoor que incrustan redes neuronales cifradas dentro de los pesos del modelo host, descifrándolas y ejecutándolas solo al recibir un disparador secreto.

Usando «digital lockers», estos circuitos ocultos son probablemente imposibles de estimular o interpretar bajo supuestos criptográficos, incluso con acceso completo a los pesos del modelo, extendiendo trabajos anteriores de ocultar strings fijos a computaciones arbitrarias.

Implementamos nuestras construcciones de prueba de concepto en Py Torch y evaluamos la estimulación mediante fine-tuning, ruido en pesos, búsqueda de disparadores basada en gradientes y entrenamiento adversarial latente en una tarea pequeña de predicción de reacciones químicas. Nuestros resultados demuestran resistencia a estos métodos, y junto con nuestras garantías criptográficas, revelan un límite de las auditorías de capacidades basadas en estimulación.

Liberamos nuestros modelos para apoyar la mejora de defensas. Historial de envío: De Andis Draguns [v1] Vie, 9 oct 2026 17:55:06 UTC (878 KB)

Les évaluations de capacités visent à révéler les comportements dangereux des modèles avant leur déploiement, mais leur fiabilité dépend de l'hypothèse que les capacités cachées peuvent être sollicitées. Nous montrons que cette hypothèse ne tient pas dans des conditions adverses en construisant des attaques backdoor qui insèrent des réseaux de neurones chiffrés dans les poids du modèle hôte, les déchiffrant et les exécutant seulement à la réception d'un déclencheur secret.

En utilisant des « digital lockers », ces circuits cachés restent impossibles à solliciter et interpréter sous les hypothèses cryptographiques, même avec un accès complet aux poids du modèle, étendant les travaux antérieurs de cacher des chaînes fixes à des calculs arbitraires.

Nous implémentons nos constructions de preuve de concept en Py Torch et évaluons la sollicitation via le fine-tuning, le bruitage des poids, la recherche de déclencheur basée sur les gradients et l'entraînement adversaire latent sur une petite tâche de prédiction de réactions chimiques. Nos résultats démontrent la résistance à ces méthodes, et avec nos garanties cryptographiques, révèlent une limite des audits de capacités basés sur la sollicitation.

Nous libérons nos modèles pour soutenir l'amélioration des défenses. Historique de soumission : Andis Draguns [v1] Ven, 9 oct 2026 17:55:06 UTC (878 KB)

क्षमता मूल्यांकन तैनाती से पहले खतरनाक मॉडल व्यवहार को उजागर करने का प्रयास करते हैं, लेकिन उनकी विश्वसनीयता इस धारणा पर निर्भर करती है कि छिपी हुई क्षमताएं प्रेरित की जा सकती हैं। हम दिखाते हैं कि प्रतिस्पर्धी स्थितियों में यह धारणा सत्य नहीं है, जब हम ऐसे बैकडोर हमलों का निर्माण करते हैं जो होस्ट मॉडल वेट्स में एन्क्रिप्टेड न्यूरल नेटवर्क्स एम्बेड करते हैं, जो केवल गुप्त ट्रिगर मिलने पर डिक्रिप्ट होकर चलते हैं।

डिजिटल लॉकर्स का उपयोग करके, ये छिपे हुए सर्किट्स क्रिप्टोग्राफिक धारणाओं के तहत, मॉडल वेट्स तक पूरा पहुंच होने के बावजूद, प्रेरित करने और समझने में कठिन साबित हो सकते हैं, जो पहले कार्यों को फिक्स्ड स्ट्रिंग्स से छिपाने से लेकर अर्बिट्ररी कंप्यूटेशन तक विस्तार करते हैं।

हम अपने प्रूफ ऑफ कॉन्सेप्ट कंस्ट्रक्शन को Py Torch में लागू करते हैं और फाइन-ट्यूनिंग, वेट नोइजिंग, ग्रेडिएंट-आधारित ट्रिगर सर्च और एक छोटी रासायनिक अभिक्रिया प्रेडिक्शन कार्य पर लैटेंट एडवर्सरियल ट्रेनिंग के माध्यम से प्रेरण का मूल्यांकन करते हैं। हमारे परिणाम इन तरीकों के खिलाफ प्रतिरोध दर्शाते हैं और हमारी क्रिप्टोग्राफिक गारंटीों के साथ, प्रेरण-आधारित क्षमता ऑडिट की सीमा प्रकाशित करते हैं।

हम डिफेंस के सुधार का समर्थन करने के लिए अपने मॉडल्स जारी करते हैं। सबमिशन इतिहास: Andis Draguns [v1] शुक्रवार, 9 अक्टूबर 2026 17:55:06 UTC (878 KB)

Evaluasi kemampuan bertujuan untuk mengungkap perilaku model berbahaya sebelum penerapan, namun keandalan mereka bergantung pada asumsi bahwa kemampuan tersembunyi dapat dipicu. Kami menunjukkan bahwa asumsi ini tidak berlaku dalam kondisi adversarial dengan membangun serangan backdoor yang menanam jaringan saraf terenkripsi dalam berat model host, mendekripsikan dan menjalankannya hanya ketika menerima pemicu rahasia.

Meng menggunakan digital locker, sirkuit tersembunyi ini tetap sulit untuk dipicu dan diinterpretasikan di bawah asumsi kriptografi, bahkan dengan akses penuh ke berat model, memperluas pekerjaan sebelumnya dari menyembunyikan string tetap ke komputasi arbitrary.

Kami mengimplementasikan konstruksi proof of concept kami di Py Torch dan mengevaluasi pemicuan melalui fine-tuning, weight noising, gradient-based trigger search, dan latent adversarial training pada tugas kecil prediksi reaksi kimia. Hasil kami menunjukkan ketahanan terhadap metode ini, bersama dengan jaminan kriptografi kami, mengungkapkan batas audit kemampuan berbasis pemicu.

Kami rilis model kami untuk mendukung peningkatan pertahanan. Riwayat pengiriman: Andis Draguns [v1] Fri, 9 Oct 2026 17:55:06 UTC (878 KB)

能力評価は、展開前に危険なモデル挙動を浮き彫りにしようとするものですが、その信頼性は、隠された能力が引き出せるという仮定に依存します。私たちは、この仮定が adversarial 条件下では成り立たないことを示し、秘密のトリガーヘ受信時のみ復号して実行する、ホストモデルの重み内に暗号化された神経ネットワークを埋め込む backdoor 攻撃を構築しました。

digital lockersを使用すると、这些隠された回路は、モデルの重みに完全にアクセスしても、暗号化仮定下で引き出され解釈され難く、固定文字列の隠匿から任意の計算へと範囲を拡大しました。

私たちは、Py Torchで概念実証の構築を実装し、微調、重みノイズ、勾配ベーストリガ検索、小型の化学反応予測タスクにおける潜在的 adversarial 訓練を通じて引き出しを評価しました。結果は、これらの方法への抵抗性を示し、暗号化保証と together、引き出しベースの能力監査の限界を明かしました。

私たちは、防御の改善をサポートするためモデルを公開しました。提出履歴: Andis Draguns [v1] 金, 9 10 2026 17:55:06 UTC (878 KB)

Avaliações de capacidades visam revelar comportamentos perigosos dos modelos antes da implementação, mas sua confiança depende da suposição de que capacidades ocultas podem ser elicited. Mostramos que essa suposição não se mantém sob condições adversas construindo ataques backdoor que inserem redes neurais criptografadas dentro dos pesos do modelo host, descriptografando e executando-as apenas ao receber um trigger secreto.

Usando digital lockers, esses circuitos ocultos permanecem provavelmente difíceis de elicitar e interpretar sob suposições criptográficas, mesmo com acesso completo aos pesos do modelo, estendendo trabalhos anteriores de ocultar strings fixas para computações arbitrárias.

Implementamos nossas construções de prova de conceito em Py Torch e avaliamos a elicitação por meio de fine-tuning, ruído de pesos, busca de trigger baseada em gradientes e treinamento adversarial latente em uma pequena tarefa de previsão de reações químicas. Nossos resultados demonstram resistência a esses métodos, juntamente com nossas garantias criptográficas, revelando um limite de auditorias de capacidades baseadas em elicitação.

Liberamos nossos modelos para apoiar a melhoria de defesas. Histórico de submissão: Andis Draguns [v1] Sex, 9 out 2026 17:55:06 UTC (878 KB)

Оценки способностей направлены на выявление опасного поведения модели перед развертыванием, но их надежность зависит от предположения о том, что скрытые способности можно вызвать. Мы показываем, что это предположение не выполняется в adversarial условиях, строя атаки backdoor, которые встраивают зашифрованные нейросети в веса модели-хоста, расшифровывая и запуская их только при получении секретного триггера.

Используя digital lockers, эти скрытые цепи остаются provably сложными для вызова и интерпретации под криптографическими предположениями, даже при полном доступе к весам модели, расширяя предыдущие работы от скрытия фиксированных строк к произвольным вычислениям.

Мы реализуем наши proof-of-concept constructions в Py Torch и оцениваем вызов через fine-tuning, weight noising, gradient-based trigger search и latent adversarial training на небольшой задаче предсказания химических реакций. Наши результаты демонстрируют устойчивость к этим методам, вместе с нашими криптографическими гарантиями, revealing limit of elicitation-based capability audits.

Мы выпускаем наши модели для поддержки улучшения defenses. История отправки: Andis Draguns [v1] Fri, 9 Oct 2026 17:55:06 UTC (878 KB)

能力评估旨在在部署前揭示危险的模型行为，但其可靠性依赖于这样一个假设：隐藏的能力可以被激发。我们通过构建后门攻击来证明，在对抗条件下这一假设并不成立——这些攻击将加密神经网络嵌入宿主模型权重中，只有在接收到秘密触发器时才解密并执行。

使用数字锁柜（digital lockers），这些隐藏电路在密码学假设下，即使完全访问模型权重，也难以被激发和解释，从而将先前的工作从隐藏固定字符串扩展到任意计算。

我们在Py Torch中实现了概念验证构造，并通过微调、权重加噪、基于梯度的触发器搜索以及在小型化学反应预测任务上的潜在对抗训练来评估激发效果。我们的结果表明，这些方法均无法有效激发隐藏能力，结合我们的密码学保证，揭示了基于激发的能力审计的局限性。

我们发布模型以支持防御措施的改进。提交历史：来自Andis Draguns [v1] 2026年10月9日星期五 17:55:06 UTC（878 KB）