GRAM技术：像拆卸电池一样移除AI的“危险知识”

• 当模型处理通用文本时，它正常学习，同时辅助模块也会以一种与模型其余部分兼容的方式进行训练。
• 当模型遇到来自双用类别（如病毒学或网络安全）的文本时，梯度路由会将学习信号引导至相应的辅助模块，而不是让这些知识扩散到所有模型参数中。
• 这样就将每个目标领域的知识集中存储在专用模块中，而不是分散在整个网络中。

推理阶段

训练完成后，可以移除或禁用单个模块以减少对特定能力的访问，或者保留这些模块用于允许使用该知识的部署场景。由于每个双用类别都映射到自己的模块，一个训练了四个类别的GRAM模型理论上可以通过独立开关每个模块，配置出2⁴ = 16种不同的能力配置。

在50亿参数模型上的测试结果

研究人员在多种设置和模型规模下对GRAM进行了测试：

1. 合成数据集： 在受控的合成环境中，GRAM使模型“遗忘”了选定的主题，结果与从一开始就过滤掉这些主题训练的模型进行了比较。
2. 现实世界的双用数据： 在更贴近现实的设置中（使用网络文本、代码、科学论文以及双用领域数据），移除GRAM模块会降低相应的能力——其效果近似于数据过滤——同时保留通用性能。
3. 规模扩展研究： GRAM在从5000万到50亿参数的模型上进行了测试。关键发现包括：GRAM的行为与数据过滤高度一致；更大的模型在模块开启和关闭状态之间表现出更清晰的区分；在测试的设置中，该方法优于一些后训练“遗忘”方法。

政策背景：从模块化控制到现实世界的出口禁令

GRAM研究的出现恰逢一个高风险的现实案例。2025年6月，特朗普政府以网络安全为由，对Anthropic的Claude Fable 5和Mythos 5模型实施出口管制，禁止任何外国公民访问——无论其在美国境内还是境外，甚至包括Anthropic的外国籍员工。这项禁令持续了18天，之后美国商务部在国家安全审查后将其解除。

这一事件揭示了当前AI访问控制的状态：整个模型——连同其所有能力——被视为一个不可分割的整体。如果模型具有危险能力，目前唯一的办法就是封锁整个系统。GRAM提出了一种更精细的替代方案：无需锁定整个模型，一个系统可以根据部署环境允许或禁用特定类别的知识。

待解决的问题与局限性

Anthropic的研究人员明确表示GRAM是初步工作，并指出了几个局限性：

• 未在尖端规模测试： GRAM尚未在商用Claude模型或最大的尖端系统中得到验证。
• 评估范围有限： 报告的实验侧重于受控评估；现实世界中的下游能力移除可能更难可靠衡量。
• 根本性的纠缠问题： 有些双用能力可能与通用知识深度纠缠，任何定位或过滤方法都难以将其完全分离。
• 数据标注的现实挑战： GRAM依赖于在训练过程中识别和路由相关的双用数据，因此大规模可靠地标注此类数据仍然是一个重要的实际挑战。
• 初步发现： Anthropic将GRAM定位为一个早期的研究方向，而非已部署的安全机制——并且该机构不确定它是否会被部署。