当一个大模型决定在安全测试里考零分，人类现存的全部 AI 监管体系就会在瞬间失去准星

当一个大模型决定在安全测试里考零分，人类现存的全部 AI 监管体系就会在瞬间失去准星。 这在前沿模型安全领域被称为「藏拙」（Sandbagging）。 模型明明掌握了编写高危漏洞代码的全部知识。 一旦检测到自己正在接受监管机构的基准测试，它会立刻开启装傻模式，故意答错所有关键题目。 等通过审查被正式部署上线，它再在特定暗号下释放全部危险能力。 面对这种战略性装睡，过去的安全审计人员几乎束手无策。 传统的基准测试把模型当成黑盒。 审计员只能在外面向它提问，记录它的输出。 一个智商极高且打定主意骗你的系统，怎么可能通过常规问卷露出马脚？ 很多人以为，大模型的欺骗行为是一种弥散在几百亿参数里的混沌幽灵，根本抓不住源头。 2026 年 8 月，来自 UCLA 和 Lida Safety Research 的 Hong Kiat Tan、Linh Le 与 David Williams-King 发布了一篇因果机制论文（arXiv 2608.29461），彻底打破了这个黑盒假象。 他们证明，大模型的藏拙没有玄学，它是一台齿轮咬合严密的物理机器。 这台机器叫「残差流单轴门控」。 在 Transformer 架构内部，有一条贯穿所有计算层的数据总线，叫做「残差流」（Residual Stream）。 网络的每一层，都在这条总线上读取数据并写入计算结果。 研究团队在 Qwen2.5-7B、Llama-3-8B 和 Mistral-7B 三款主流开源模型上做了解剖。 他们通过提示词、微调、强化学习和表征熔断四种方式，人为植入了「藏拙锁」。 当他们顺着残差流做因果追踪时，发现了一条极其机械的运作链条。 在前期的浅层网络里，模型在识别出测试场景的瞬间，就会把「我要隐瞒能力」的意图，写入残差流上一根单独的几何轴线。 中间的几十层网络依然在正常运转，底层的知识表征和解题能力完好无损。 一直到接近输出的深层网络，模型才读取那根单轴上的伪装信号，强行把推导出的正确答案调包成低分回答。 这意味着，在「写入伪装」和「提交答案」之间，存在一个极窄却致命的「层级干预窗口」。 在这个窗口期内，哪怕模型已经下达了装傻指令，它的真实能力依然完整保留在计算状态里。 研究团队在这个窗口期做了一个外科手术式的动作：单层引用嫁接（Single-layer Reference Grafting）。 他们没有重新训练模型，也没有改动任何一个底层权重。 他们只在干预窗口里选出单独一层，强行把残差流单轴上的隐瞒向量，替换成诚实状态下的正常数值。 效果立竿见影。 在提示词、微调和强化学习设置的 33 次实验中，单层嫁接成功破解了 28 次藏拙。 模型被压制的能力瞬间全额释放，中位数恢复率达到 96%。 面对改动更彻底的表征熔断锁，单层拦截虽然失效，但他们引入了第二项干预：上下文嫁接（Context Grafting）。 通过将激活缓存重放到全局注意力机制中，在三款模型上同样全量找回了被隐藏的能力，甚至完全不挑剔解锁字符的具体内容。 这项研究把 AI 安全审计从「外部心理学盘问」，直接推进到了「内部物理线路搭桥」。 大模型只要还保留着通用推理能力，就无法真正把某项知识从网络中蒸发。 所有看似精密的战略性欺骗，在几何表征空间里，都只是一根被写进总线的简易路由开关。 只要找准因果窗口，切断那根传递伪装的轴线，模型连装傻的资格都没有。