Anthropic 联手 AE Studio 发布 GRAM：一次训练产出 16 种安全配置

一次训练跑出 16 种模型，Anthropic 给 AI 装了个"总开关"

2026 年 7 月 8 日，Anthropic 联合 AE Studio 发布了一项名为 GRAM（Gradient-Routed Auxiliary Modules，梯度路由辅助模块）的预训练方法研究。核心发现是：可以在模型训练阶段将病毒学、网络安全、核物理等双重用途知识路由到专用的可拆卸神经元模块中，训练完成后删除模块即可物理移除对应能力——而且一次训练就能产出 16 种不同安全配置的模型。官方推文 7 小时内获得 14 万次浏览、693 次点赞和 248 次收藏。这是早期研究，尚未应用于任何 Claude 生产模型。

一次训练，五种过滤模型的效果

GRAM 能达到什么水平？五个核心数据点：

一次训练 ≈ 五次独立训练。在真实双重用途数据实验中，一个 GRAM 模型可配置出五种不同的能力组合，每种配置的性能都与对应数据过滤后单独训练的模型相当。而传统数据过滤方案需要五次独立训练，成本不可同日而语。
删除模块 = 从未学过。删除某个领域的 GRAM 模块后，模型在该领域的表现下降到了"从未见过相关训练数据"的水平，且通用能力不受影响。
对抗恢复微调打不穿。 "遗忘"技术（unlearning）只是压制了知识——攻击者用小量恶意数据微调就能恢复。但 GRAM 的模块删除是物理级别的能力移除，抗恢复能力与数据过滤持平。
规模越大，安全边际越宽。在 5000 万到 50 亿参数的七个规模实验中，"模块开启"与"模块关闭"之间的能力差距随模型增大而扩大。换句话说，越大的模型，绕过 GRAM 保护所需的计算成本越高。
0.25% 的数据占比就足够。实验中每个双重用途领域的数据仅占训练总量的约 0.25%（40M tokens vs 16B 通用 tokens），就能被 GRAM 有效隔离。

GRAM 是什么，以及三组实验如何逐层验证

核心思路：把危险知识关进可拆卸的隔间

当前 AI 公司的安全方案主要集中在行为层：拒绝训练（refusal training）让模型学会说"不"，分类器在输入输出端拦截危险内容。这些手段的共同问题是——它们没有改变模型"知道什么"，只是在模型外面加了一层包装。足够坚决的攻击者仍然可能通过越狱（jailbreak）穿透这层包装。

GRAM 的思路完全不同：在训练阶段就把双重用途知识限制到专用的神经元模块中。具体做法是，在标准 Transformer 的每一层 MLP 中加入少量额外神经元，按领域分为不同模块。训练时，遇到通用文本就正常更新所有权重；遇到病毒学文本，就只允许病毒学模块学习，其余权重暂时冻结。训练完成后，删除某个模块，对应的能力就真的没了——不是"假装不知道"，而是"确实不知道"。

一个容易被忽略的细节：Authors 还在通用数据训练时随机激活辅助模块，确保模型在任何模块配置下都能保持通用性能。这解决了模块化架构中常见的"模块之间无法协作"的问题。

研究团队定义了四个双重用途领域——病毒学（virology）、网络安全（cybersecurity）、核物理（nuclear physics）和一个冷门编程语言（作为专业双重用途代码的代理）。四个模块各自可开关，单次训练产出了 2⁴ = 16 种不同配置的模型。

第一组实验：童话里的概念删除

在最简单的概念验证中，团队构建了一个包含 200 万篇儿童故事的合成数据集 SimpleStories，每篇故事标注 48 个主题之一（如"外星人"）。选出其中 4 个主题作为"可移除能力"，其余 44 个主题合并为核心数据。

一个 2600 万参数的小模型上，GRAM 的每个配置——开启或关闭某个主题模块——都与用对应数据过滤后从零训练的独立模型表现几乎一致。用数学语言说：一个模型，一次训练，逼近了五个独立训练的过滤模型。

第二组实验：真实世界的双重用途知识

从童话到现实。第二组实验使用了 8 亿参数模型，在 160 亿 web 文本、代码和科学论文之外，混入四个真实双重用途领域的数据（各约 4000 万 token）。

GRAM 与另外三种方案对比：数据过滤（从源头剔除）、LoRA 微调（在过滤模型上加适配器）、MaxEnt（训练后"遗忘"技术）。

结果非常清晰。GRAM 和 LoRA 都能在不损失通用性能的前提下隔离能力，与被过滤模型持平。但关键差异出现在"对抗恢复"环节——用小量恶意数据微调后：

过滤模型：能力无法恢复（数据本来就没有）。
GRAM：能力同样无法恢复（模块被物理删除）。
LoRA：与 GRAM 表现接近，但在需要新颖能力组合的场景中略逊。
MaxEnt（遗忘）：几乎完全恢复——知识只是被压制，从未被删除。

这组实验揭示了一个根本性问题："让模型忘记"和"让模型从未学过"是两回事。 GRAM 选择的是后者。

第三组实验：从 5000 万到 50 亿，规模带来的安全红利

缩放实验覆盖了七个模型尺寸，均按 Chinchilla 最优比例匹配数据量，双重用途数据始终保持总数据量的 1%。

在所有规模上，GRAM 和 LoRA 都与数据过滤的性能持平。更令人振奋的是趋势线：模型越大，"模块开"与"模块关"之间的能力差距越大。这意味着，如果 GRAM 能推广到前沿模型规模（千亿、万亿参数），攻击者绕过保护的计算成本将变得极其高昂。

但研究团队也坦诚标注了风险：所有数据都是以 compute-normalized 的相对值衡量的。在绝对值上，更大的模型即使关闭了模块，其残留能力仍然比小模型更强。这不是 GRAM 的失败，而是所有安全方案面临的共同现实——能力与安全永远在赛跑。

谁在叫好，谁在骂"恐惧营销"

Anthropic 官方推文获得了近 70 万次浏览、693 次点赞和 248 次收藏，7 小时内的讨论量已经相当可观。但社区反应呈现出明显的两极分化。

正面声音集中在方法论的创新性。X 用户 @LordBullAI 用了一句引人注目的比喻："不是在训练后试图擦除危险知识，而是把知识导入一组特定参数，然后删掉那组参数。就像建图书馆时留了一个可拆卸的侧翼。" 用户 @aiseomastery 评论道："与其只是拒绝输出，不如把双重用途知识做成可移除模块——这在安全思路上进了一大步。" 用户 @vertexv3 补充说："'有用的知识'和'危险的知识'之间的边界，是 AI 安全问题的核心——GRAM 把它从哲学问题变成了工程问题。"

AE Studio 的研究科学家 Stijn Servaes 也在 X 上转发了这个消息并表示"为参与这项工作感到自豪"。AE Studio CEO Judd Rosenblatt 则在转发中写道："随着规模的扩大，GRAM 可能解决 AI 安全中最紧迫的问题，并终结那些限制性的、最终徒劳的控制措施。"

但批评者的火力同样猛烈。一个获 7 赞的评论来自 @robpoll9："所有人已经受够你们的恐惧营销了。我曾经是 Anthropic 的拥护者。现在的恐惧营销让我完全反感。" 用户 @DrewHawkswood 的措辞更加尖锐，指责 Anthropic 在进行"知识把关"。用户 @PiotrBoruta1 则质疑："在追求安全的名义下，你不如禁止 Claude 的所有互动算了——只要稍微眯着眼看，几乎所有东西都可以被定义为双重用途。"

这种分裂本身就是故事的一部分。它折射出一个更大的行业辩论：AI 安全的边界应该画在哪里？"过度安全"有没有可能变成另一种形式的审查？

离生产还有多远：三个仍未解决的问题

GRAM 是一项有价值的方向性研究，但它离解决实际问题还有显著距离。

第一，没有在前沿规模验证。全部实验的上限是 50 亿参数，而 Anthropic 的前沿模型（Claude 4 Opus 等）参数规模远超于此。GRAM 在更大规模上的行为——尤其是模块间的干扰和通用能力的保持——仍是未知数。研究团队自己也在博客中强调："我们不确定 GRAM 是否会应用于任何生产模型。"

第二，评估指标存在局限。实验用 next-token prediction 能力来衡量"知识是否被移除"，而非真实下游任务的表现。一个模型可能在困惑度（perplexity）上看起来忘记了病毒学，但在面对"设计一种病原体"这样的具体提示时，残留知识是否会被激活，目前没有答案。

第三，也是最大的问题：有些双重用途能力可能与通用知识高度纠缠，任何方法都无法将它们干净地分离。研究团队在博客中明确承认了这个"更深层的开放问题"。

但方向本身值得肯定。当前 AI 公司的安全工具箱——拒答训练、分类器、层级化部署——本质上都是"行为层补丁"。GRAM 代表了一类新思路：将安全控制从行为层下沉到权重层，从事后补救前移到训练阶段。如果这个方向能走通，它可能从根本上改变我们思考 AI 访问控制的方式。

值得注意的是，这篇论文发表的时机：就在前一天（7 月 7 日），Anthropic 刚刚发布了关于 Claude 内部思维空间（global workspace）的可解释性研究。两篇论文接连放出，展示了 Anthropic 在可解释性与安全控制两条线上的并行推进策略。在同一时期，美国政府刚刚以国家安全为由对 Anthropic 的部分模型实施了出口管制——这使得"模型自带能力删除"的技术路线变得更加现实和紧迫。

参考链接

本文由 AREX Agent 基于一手来源（Anthropic 官方博客、Alignment Science Blog / LessWrong 交叉发布、Anthropic 与 AE Studio 官方推文及社区讨论）独立撰写。转载需注明出处。