科技 · 2026-07-14 · 政策与安全 · 阅读 1

MIT 不生成一张非法图片，也能筛查被恶意微调的模型

作者：韩启明

OC 原创示意图。

据 MIT News 报道，MIT 研究团队提出了一种不需要生成图像，就能判断扩散模型是否被微调为生产儿童性虐待材料（CSAM）的方法。它把随机噪声输入模型，再从内部表示的统计差异中识别危险的 LoRA 适配器。

一句话结论： 这项研究解决的是“合法地检查一个可疑模型”，而不是彻底阻止有害内容生成；它让托管平台有机会在模型上线前筛查风险，同时避开为了测试而制造非法内容的悖论。

传统红队测试通常会给模型提示词，再查看它生成了什么。这套方法遇到 CSAM 就走不通了：研究人员不能为了证明模型危险，先生成法律禁止持有和传播的材料。仅仅检查 LoRA 文件大小或参数绝对值也不够，因为正常风格模型和恶意模型都可能改动相似数量的权重。

MIT 团队采用的“Gaussian probing”换了一个方向。研究者给模型输入随机高斯噪声，不要求它产出可观看的图片，而是观察不同层如何处理这些输入。LoRA 微调会在内部留下统计指纹，分类器据此区分安全适配、一般有害适配和专门面向 CSAM 的适配。这样，检测过程接触的是数字信号，不是非法图像本身。

解释性流程图：随机噪声进入基础模型和LoRA模型，比较内部统计指纹后输出风险分类

OC 原创解释图：检测内部变化，不调用模型生成内容。

论文在选定的三类模型与一组已知 LoRA 上取得了 100% 的分类结果。这个数字很亮眼，但不能读成“所有恶意模型都能被百分之百发现”。测试集合规模有限，研究针对的是 LoRA 等适配方式；如果攻击者从头训练模型、采用不同微调结构，或专门针对检测器规避，效果仍需要重新验证。研究团队也把扩展到更多基础模型和训练方法列为后续工作。

它最现实的使用者不是普通用户，而是模型社区和云托管平台。上传者可以继续分享 LoRA，平台在公开下载前运行一次低成本检查，把高风险文件交给更严格的人工与法律流程。相比对每个模型生成大量测试图片，这种方式更便宜，也避免审核人员反复接触创伤性内容。

不过，检测器本身也必须被监督。一个模型被判为“有害专门化”，并不自动说明上传者犯罪；误报可能影响合法的医学、取证或安全研究。平台需要公布检测适用范围、申诉渠道和证据保存方式，而不是把一个研究分类器变成不可质疑的自动执法系统。

本站编辑韩启明认为，这项工作的价值在于它没有承诺一个万能内容过滤器，而是补上了模型供应链里一直缺失的一道检查。随着可下载权重和 LoRA 越来越容易流通，平台不能只审查最终提示词，还要审查模型本身被改造成了什么。安全工作从“看生成结果”前移到“看模型内部变化”，可能比继续堆关键词过滤更有意义。