GRAM 试图把 AI 的危险知识装进可拆卸模块
Anthropic 与 AE Studio 的初步研究把双用途知识隔离到可移除模块，展示了 AI 能力访问控制的一条新路线，也清楚暴露了它距离真实部署还有多远。
先看一个不太像「拒答」的安全方案
7 月 8 日，Anthropic 与 AE Studio 发布了一项仍处于早期阶段的研究：把病毒学、网络安全、核物理和专门代码等双用途知识，分别放进语言模型的辅助模块里。部署时删掉某个模块，模型就切换到一个少掉对应能力的版本；保留模块，则可以给经过授权的环境使用。论文于 7 月 9 日提交 arXiv，研究团队称，这种方法在一次训练中生成多个能力配置，5 种配置的训练成本约是分别过滤数据训练的五分之一。1
这不是已经装进 Claude 的生产功能。研究团队明确说，GRAM 尚未在 Anthropic 的生产模型中使用，实验也没有证明它在前沿规模或真实下游任务上可靠。1
它仍然值得看，因为它把一个常被放在输出层的问题，往模型内部推了一层：安全控制能不能不只依赖「模型说什么」，还控制「模型究竟保留了哪一块能力」？
从拒答到能力配置
现在常见的安全做法大致有三类：训练模型拒绝危险请求，用分类器拦截输入和输出，或者在训练前过滤危险数据。前两类主要改变模型的行为表现，底层知识仍可能存在；后一类更接近能力隔离，却通常意味着为不同能力配置分别训练模型。Anthropic 的公开说明把 GRAM 放在这个缺口里：它不把危险知识从整张网络里抹掉，而是在训练时尽量把这部分学习路由到专门的模块。2
可以把它理解成一套更细的模型权限。通用部分负责普通语言能力，生物、网络安全等模块分别保存对应领域的额外能力。推理时删除模块，目标能力随之下降；同时，通用能力和仍保留的模块尽量不受影响。这里的「下降」不是一句宣传语，而是研究者用过滤数据训练的模型做参照，比较删除模块后的损失表现。
这和把一个用户从大模型降级到小模型不一样。后者把整台机器一起换掉，GRAM 设想的是同一基础模型保留不同的能力组合。一个部署可以只开启通用能力，另一个经过审查的实验室部署可以额外开启病毒学模块。它试图把「谁能用哪个模型」改写为「某个部署能调用哪一块能力」。
实验确实推进了一步，但推进的是哪一步
研究分成几层。最小的实验用 2600 万参数模型和一个包含 48 个主题的儿童故事数据集，结果显示，删除某个主题模块后，模型表现接近从未见过该主题的过滤模型。1
更接近现实的实验使用了 8 亿参数模型，训练数据包括网页文本、代码、科学论文，以及病毒学、网络安全、核物理和专门代码四类双用途数据。GRAM 产生的多个配置，在保留能力和移除能力上的表现都接近数据过滤基准；研究者还用恶意数据做微调，测试被移除的能力能否轻易回来。GRAM 的表现接近数据过滤，后处理式的 MaxEnt 方法却较容易恢复原来的能力。1
论文还把规模从 5000 万参数扩展到 50 亿参数。在这组按 Chinchilla 规律配置的训练中，GRAM 与数据过滤的差距在保留能力上较小，目标能力被移除后的差距随规模扩大。论文摘要称，在 5 种能力配置的设置中，GRAM 的训练成本比为每种配置分别过滤数据低约五倍。3
这些结果支持一个有限的判断：模型内部的能力隔离，可能比训练完成后再做「遗忘」更接近真正的访问控制。它还没有支持更大的判断，例如「危险知识已经被彻底删除」或「任何人都无法通过后续微调恢复」。
真正难的是画出能力边界
GRAM 的难题不在于有没有一个可以删掉的文件，而在于知识能不能被干净地分组。生物学的一般知识和病毒学的危险知识可能共享大量基础表示；如果两者纠缠得太深，删掉一个模块就可能损伤另一个模块，或者留下足以被滥用的残余能力。研究团队把这种能力纠缠列为开放问题。1
还有一个容易被忽略的限制：论文主要用 next-token loss 和 compute ratio 来衡量能力。这样的指标适合做规模和训练方式的比较，却不能代替生物信息学任务、网络攻击任务或真实部署中的完整测试。作者也没有验证前沿模型规模、指令微调之后的行为，或在复杂下游任务里模块组合是否仍然稳定。
因此，GRAM 把安全问题推进了一层，却没有替它收尾。它为「能力能否被拆开」提供了实验答案，接下来还要回答「拆开的边界是否等同于真实风险边界」。前一个问题属于模型训练，后一个问题要靠独立评估、红队测试和部署审计来回答。
三条相邻信号
- OpenAI 把可靠性写进 AI 的账本。 7 月 17 日，OpenAI CFO Sarah Friar 提出用「每美元的有用智能」衡量 AI 价值，并把依赖性拆成三种结果：交付后可直接使用、需要修正、需要人工接管。文章还要求，在 AI 从起草走向执行前，先明确它能访问哪些数据和系统、哪些动作必须由人批准。它讨论的是部署端的结果，不是 GRAM 的内部结构；两者放在一起看，模型有能力只是起点，能否在权限和复核下稳定完成任务才是下一层问题。4
- Google DeepMind 把 agent 称为「猜想机器」。 该机构 7 月发布的文章认为，agent 正让假设和候选方案变得便宜，但现实验证仍受实验、实验室和同行评审的速度限制。它还提出，科学 agent 需要表现出「认识到自己不知道」的谦逊。这个判断来自 DeepMind 对自身研究与产品的总结，不能当成独立评测；但它恰好补上了 GRAM 没有解决的另一面：能力可以被配置，不代表结果已经被验证。5
- 2026 Singapore Consensus 把权限和社会韧性并列。 这份 7 月发布的共识由来自 13 个国家的 100 多名贡献者参与，新增了社会韧性这一安全支柱，并在 agent 风险管理报告中列出最小权限、可追溯身份、可审计、已验证部署、可中断和人工监督等原则。它是一份研究议程与治理共识，不是对 GRAM 的独立验证；它的价值在于提醒人们，模型内部的开关最终必须接入组织和社会层面的责任链。6
GRAM 最值得追踪的，不是「危险知识终于能被拔掉」这句过早的结论，而是安全控制的对象正在变得更具体：某个能力是否被保留，谁有权打开它，打开后能否留下可查的记录，关闭后能否经受独立测试和恶意微调。只有这些问题一起有答案，模型里的模块才不只是一个漂亮的工程结构，而可能成为真正可用的权限边界。
参考来源
- 1Modular Pretraining Enables Access Control
- 2An off switch for dual use knowledge in AI models
- 3arXiv 论文：Modular Pretraining Enables Access Control
- 4A scorecard for the AI age
- 5Conjecture Machines: AI agents and the new validation bottleneck in science
- 6The 2026 Singapore Consensus on Global AI Safety Research Priorities
相似内容
- 登录后可发表评论。