模块化预训练实现访问控制
来自 Anthropic Alignment Science · 期号 2026-07-08
摘要
前沿 AI 模型掌握的知识可能被滥用。现有的防御手段——拒绝回答、分类器拦截、分级部署——各有缺陷：知识仍在模型中，可以被越狱；分级部署只能按整个模型或整个账户来切，粒度太粗。 Anthropic 与 AE Studio 提出 GRAM（梯度路由辅助模块），把危险知识隔离到模型里特定的模块中。这些模块可以按需开关，让同一个模型在受信任场景下拥有完整能力，在其他场景下则被限制。 实验表明，一个用 GRAM 训练的模型可以近似多个分别用不同过滤数据训练出来的模型，这一能力在 50M 到 5B 参数的模型上都成立。与事后遗忘方法（从已有模型中移除概念）和 LoRA（微调一个过滤后的模型再把能力加回去）相比，GRAM 在隔离效果上表现更好。 这项研究是初步的，尚未应用于 Anthropic 的生产模型。论文和代码已开源。
深读
导读 前沿AI模型掌握的知识可能被滥用，现有防御手段（拒绝回答、分类器拦截、分级部署）各有缺陷。Anthropic与AE Studio提出GRAM（梯度路由辅助模块），将危险知识隔离到模型内可开关的特定模块中，实现细粒度的能力级访问控制。读完本文，你将了解GRAM的核心方法、与数据过滤和LoRA的对比结果，以及这项初步研究在规模化、生产部署等方面的开放问题。 关键信息 - GRAM在Transformer每个MLP层中引入小型辅助模块（额外神经元），训练时根据数据类别选择性激活对应模块，推理时删除模块即可移除对应能力。 - 在26M参数的SimpleStories合成数据集上，GRAM通过开关单个主题模块，性能几乎等同于分别用过滤数据训练的五个独立模型。 - 在800M参数模型上，GRAM将四个双用途领域（病毒学、网络安全、核物理、专业代码）的数据（各约4000万token）隔离到辅助模块，删除模块后能力移除效果与数据过滤相当。 - GRAM和LoRA在50M到5B参数规模的Chinchilla最优训练中均能匹配数据过滤的性能，且两者都只需数据过滤五分之一的计算资源。 - 在仅50%训练数据有标签的稀疏标注场景下，GRAM的能力隔离效果优于数据过滤和LoRA。 - 同时启用多个GRAM模块时，能力可干净组合；而叠加多个LoRA适配器会导致所有类别性能下降。 逐节讲解 问题背景与现有防御的局限 前沿AI模型的知识可能被用于制造生物武器或攻击关键基础设施。现有防御手段包括：训练模型拒绝有害请求、用分类器拦截危险查询、以及通过审查和分级部署限制用户访问。这些方法各有缺陷，拒绝和分类器只是知识之上的行为层，可被越狱且每次发布都需重新调优；分级部署只能按整个模型或整个账户来切，粒度太粗。理想方案是能力级的访问控制，例如为受信任的生物安全实验室保留高级病毒学知识，其他场景则排除，且通用性能不变。最直接的做法是训练多个基于不同过滤数据集的模型，但训练多个前沿模型成本过高。 GRAM方法 GRAM（梯度路由辅助模块）在Transformer每个块的MLP层中引入小型辅助模块（额外神经元）。训练时，根据每个批次数据的类别选择参与前向和反向传播的模块：当数据来自双用途类别（如病毒学）时，对应模块激活；当训练通用“核心”数据时，偶尔随机启用一个辅助模块，以确保模型在推理时无论配置如何都能良好处理通用数据。推理时，删除某个模块即可移除对应能力。通过调整通用权重被冻结的频率，可以控制能力隔离的程度。实验中使用计算比率（Compute Ratio）来衡量性能，即模型在某个数据域上达到与全数据基线模型相同损失所需训练时间的比例。 实验结果：从合成数据到真实双用途数据 在SimpleStories合成数据集（200万篇儿童故事，48个主题）上，GRAM用26M参数模型实现了近似五个独立过滤…