GRAM技术：像拆卸电池一样移除AI的“危险知识”

Anthropic与AE Studio联合推出了一项名为GRAM（Gradient-Routed Auxiliary Modules，梯度路由辅助模块）的实验性技术，它为AI模型提供了一种针对危险知识的“颗粒度开关”。与为每一种安全配置单独训练一个模型不同，GRAM的目标是在单个模型中构建可移除的“知识隔间”，专门用于存放病毒学、网络安全和核物理等具有双重用途的能力^R。需要强调的是，这是一项初步研究——Anthropic明确表示，该技术尚未应用于任何生产环境中的Claude模型^R——但它代表了一种前景，有望让AI安全手段变得比当前“一刀切”的工具箱更加精细。

什么是GRAM？

GRAM是一种预训练方法，旨在将双用知识（既能用于善途也能用于恶途的信息）隔离到语言模型内部可移除的神经模块中^R。训练完成后，这些模块可以被打开或关闭，使操作者能够对模型保留哪些危险能力进行精细控制^R。同样的方法还可以为不同用户设置不同的访问权限：研究人员可以启用病毒学知识，而面向公众的聊天机器人则将其禁用^R。

GRAM的架构原理

训练阶段

GRAM在标准的Transformer架构上增加了小型辅助模块——本质上是在每一层都设置专用的神经元——这些模块旨在训练过程中捕获特定的双用能力^RR。其关键机制是梯度路由：在反向传播过程中，加权掩码控制着哪些参数因哪些数据而更新^OL。

• 当模型处理通用文本时，它正常学习，同时辅助模块也会以一种与模型其余部分兼容的方式进行训练^R。
• 当模型遇到来自双用类别（如病毒学或网络安全）的文本时，梯度路由会将学习信号引导至相应的辅助模块，而不是让这些知识扩散到所有模型参数中^RA。
• 这样就将每个目标领域的知识集中存储在专用模块中，而不是分散在整个网络中^AR。

推理阶段

训练完成后，可以移除或禁用单个模块以减少对特定能力的访问，或者保留这些模块用于允许使用该知识的部署场景^R。由于每个双用类别都映射到自己的模块，一个训练了四个类别的GRAM模型理论上可以通过独立开关每个模块，配置出2⁴ = 16种不同的能力配置^R。

在50亿参数模型上的测试结果

研究人员在多种设置和模型规模下对GRAM进行了测试^R：

1. 合成数据集： 在受控的合成环境中，GRAM使模型“遗忘”了选定的主题，结果与从一开始就过滤掉这些主题训练的模型进行了比较^R。
2. 现实世界的双用数据： 在更贴近现实的设置中（使用网络文本、代码、科学论文以及双用领域数据），移除GRAM模块会降低相应的能力——其效果近似于数据过滤——同时保留通用性能^RA。
3. 规模扩展研究： GRAM在从5000万到50亿参数的模型上进行了测试^R。关键发现包括：GRAM的行为与数据过滤高度一致；更大的模型在模块开启和关闭状态之间表现出更清晰的区分；在测试的设置中，该方法优于一些后训练“遗忘”方法^RA。

政策背景：从模块化控制到现实世界的出口禁令

GRAM研究的出现恰逢一个高风险的现实案例。2025年6月，特朗普政府以网络安全为由，对Anthropic的Claude Fable 5和Mythos 5模型实施出口管制，禁止任何外国公民访问——无论其在美国境内还是境外，甚至包括Anthropic的外国籍员工^ACC。这项禁令持续了18天，之后美国商务部在国家安全审查后将其解除^FA。

这一事件揭示了当前AI访问控制的状态：整个模型——连同其所有能力——被视为一个不可分割的整体。如果模型具有危险能力，目前唯一的办法就是封锁整个系统。GRAM提出了一种更精细的替代方案：无需锁定整个模型，一个系统可以根据部署环境允许或禁用特定类别的知识^R。

待解决的问题与局限性

Anthropic的研究人员明确表示GRAM是初步工作，并指出了几个局限性^R：

• 未在尖端规模测试： GRAM尚未在商用Claude模型或最大的尖端系统中得到验证^R。
• 评估范围有限： 报告的实验侧重于受控评估；现实世界中的下游能力移除可能更难可靠衡量^R。
• 根本性的纠缠问题： 有些双用能力可能与通用知识深度纠缠，任何定位或过滤方法都难以将其完全分离^RA。
• 数据标注的现实挑战： GRAM依赖于在训练过程中识别和路由相关的双用数据，因此大规模可靠地标注此类数据仍然是一个重要的实际挑战^R。
• 初步发现： Anthropic将GRAM定位为一个早期的研究方向，而非已部署的安全机制——并且该机构不确定它是否会被部署^AR。