AI 模型「洗腦」開關？Anthropic 新技術 GRAM 讓機器選擇性忘記危險知識

Anthropic 與 AE Studio 共同發表了一項名為 GRAM（Gradient-Routed Auxiliary Modules，梯度路由輔助模組）的實驗性技術，可望為 AI 模型的危險知識提供一個精細的「關閉開關」。與其為每種安全配置訓練獨立模型，GRAM 的目標是在單一模型中建立可移除的「隔間」，用來存放病毒學、網路安全、核物理等雙用途能力 。這項研究仍屬初步階段——Anthropic 強調，該技術尚未應用於任何正式上線的 Claude 模型 ——但它代表 AI 安全研究正從今日粗糙的工具，邁向更精準的手術刀式解決方案。

什麼是 GRAM？

GRAM 是一種預訓練方法，旨在將雙用途知識（即可用於正當用途也能被濫用的資訊）封裝在語言模型內部可移除的神經模組中 。訓練完成後，這些模組可以被打開或關閉，讓操作人員精細控制模型保留哪些危險能力 。同樣的方法也能為不同使用者提供不同的存取權限：研究人員或許可以開啟病毒學知識，而公開使用的聊天機器人則保持關閉 。

GRAM 的架構運作原理

訓練階段

GRAM 在標準 Transformer 架構中加入了小型輔助模組——本質上是在每一層加入專屬神經元——在訓練期間捕捉特定的雙用途能力 。關鍵機制是梯度路由（gradient routing）：在反向傳播過程中，透過加權遮罩控制哪些參數針對哪些資料進行更新 。

• 當模型處理通用文本時，它以正常方式學習，同時輔助模組也會以與模型其餘部分相容的方式進行訓練 。
• 當模型遇到來自病毒學或網路安全等雙用途類別的文本時，梯度路由會將學習訊號導向對應的輔助模組，而不是讓這項知識擴散到所有模型參數中 。
• 這項機制將每個目標領域的知識集中儲存在專屬模組中，而非散布在整個網路中 。

推論階段

訓練完成後，可以移除或停用個別模組，以減少對特定能力的存取；或者，在允許使用該知識的部署環境中保留模組 。由於每個雙用途類別對應一個專屬模組，一個經過 GRAM 訓練、具備四個類別的模型，理論上可以透過獨立開關每個模組，配置出 2⁴ = 16 種不同的能力設定檔 。

在 50 億參數模型上的測試結果

研究人員在多種設定和模型規模下測試了 GRAM ：

1. 合成資料集： 在可控的合成環境中，GRAM 讓模型「忘記」特定主題，結果與從一開始就過濾掉這些主題所訓練的模型進行比較 。
2. 真實雙用途資料： 在更真實的設定中，使用網路文本、程式碼、科學論文和雙用途領域資料，移除 GRAM 模組後，對應的能力會降低——其效果近似於資料過濾——同時保留通用性能 。
3. 規模擴展研究： GRAM 在 5000 萬到 50 億參數的模型上進行了測試 。關鍵發現包括：GRAM 的行為與資料過濾相當；較大的模型在模組開啟與關閉之間表現出更清晰的區隔；在測試設定中，該方法優於某些訓練後的「遺忘學習」（unlearning）方法 。

政策背景：從模組化控制到真實世界的出口禁令

GRAM 研究的問世，與 GRAM 試圖解決的問題——一個高風險的真實案例——同時發生。2025 年 6 月，川普政府以網路安全為由，對 Anthropic 的 Claude Fable 5 與 Mythos 5 模型實施出口管制，禁止任何外國人——無論身處美國內外，包括 Anthropic 的外籍員工——存取這些模型 。這項禁令在 18 天後，由商務部在完成國家安全審查後解除 。

這起事件凸顯了當前 AI 存取控制的困境：整個模型——連同其所有能力——被視為一個不可分割的單元。如果一個模型具有危險能力，當今唯一的選項就是封鎖整個系統。GRAM 則提出一個更精細的替代方案：與其鎖定整個模型，系統可以根據部署環境，允許或停用特定類別的知識 。

未解問題與限制

Anthropic 的研究人員明確指出 GRAM 為初步研究，並強調以下幾項限制 ：

• 未在前沿規模測試： GRAM 尚未在正式上線的 Claude 模型或最大的前沿系統規模上驗證效果 。
• 評估範圍有限： 報告中的實驗集中在受控評估；在真實世界場景中，下游能力的移除效果可能更難可靠衡量 。
• 根本性的糾纏問題： 某些雙用途能力可能與通用知識深度糾纏，任何知識定位或過濾方法都很難乾淨地分離它們 。
• 資料標註的現實挑戰： GRAM 依賴於在訓練過程中辨識並路由相關的雙用途資料，因此大規模可靠地標註此類資料仍是一項重要的實務挑戰 。
• 初步發現： Anthropic 將 GRAM 定位為早期研究方向，而非已部署的安全機制——該組織也不確定未來是否會真正部署 。