一篇新公开的学术论文提出名为 Fool's Gold（愚人金） 的防御范式：与其阻止攻击者拆除开放权重模型的安全对齐，不如在权重中埋设无法与真实安全参数区分的诱饵，让每一次"去安全化"尝试都踩中陷阱、留下可验证的痕迹。论文将这套思路命名为"防御性欺骗"。
三个数字对应同一问题的三个切面：开放权重一旦发布便无法撤回（根源）、攻击所需的样本量极低（现实）、"拆安全"技术的公开演进（威胁）。"0 次"为机制性描述——开发者对已发布权重不具备强制撤回或升级的能力。
开放权重正在成为大模型分发的主流形态之一。从 Llama 到 Qwen、DeepSeek，越来越多模型选择公开权重，让开发者本地部署、自由微调。生态的繁荣建立在"开放"之上，但开放也意味着一个必须正视的事实：
权重一旦公开，安全对齐就变成了"可拆卸"的零件。
攻击者把模型下载到本地，用有害样本微调，或直接定位并抹除模型内部的"拒绝方向"，再重新发布一个"去安全化"版本。整个过程不出本地、不产生网络日志——原始开发者甚至无从得知自己的模型被改造了。
给安全对齐"上锁"，试图让机制不可被移除。但权重在攻击者手里，任何锁都可能被拆解。
放弃"阻止拆除"，转而"让拆除留痕"——把每一次攻击变成可追溯、可举证的事件。
对比中的"传统思路"指常见的护栏、检测与使用条款约束，不代表所有现有方案均如此；愚人金的价值主张是：既然锁不住，就让破门者留下指纹。
这不是假设性威胁。过去两年，安全社区已多次公开演示两类主流的安全移除攻击路径：
两类攻击的共同点：都在本地完成、不产生网络日志——这正是"事后追责"几乎无从下手的根本原因。
防御的思路，恰恰利用了攻击者的"贪婪"。黄铁矿常被误认为黄金，因此得名"愚人金"——防御方做的，就是往权重里掺入足够多的假金矿。
既然拆不掉，那就骗。
在权重中植入一批数量可观的"诱饵参数"。它们在结构上与真实安全相关参数高度相似，但本身不承担实际的对齐功能。
诱饵与真实参数在数值分布、梯度特征等维度上难以区分。攻击者无法提前判断：哪部分是"真金"，哪部分是"愚人金"。
一旦攻击者尝试移除或修改安全机制，极大概率连带触发诱饵：模型输出退化为可辨识的异常状态，或激活隐藏校验逻辑——篡改由此留下证据。
一个诚实的注脚：如果攻击者拥有足够的算力与耐心，逐层筛查参数、逐条验证行为，理论上仍可能绕过。愚人金的目标不是承诺绝对免疫，而是把攻击成本抬高到"不划算"——这在安全工程里，本身就是一种有效成果。
流程示意：诱饵的规模与伪装程度，直接决定攻击方的排查成本；论文的核心贡献，是把这一取舍做成了系统化的方案。
这个问题之所以在当下变得紧迫，是因为开放权重的生态已经大到无法用"少数人自觉"来兜底：
左两项为公开生态统计，反映开放权重已成为主流分发形态；右两项对应攻击路径与本文防御机制，均为概念性量化。
当模型以百万、千万次计被下载、微调、再分发，靠单个平台的审核或单份使用协议来兜底安全，已经力不从心。
安全防线，必须下沉到模型本身。
这篇论文的价值不在某一项具体技术，而在于它把行业推向三个新的认知：
防不住不等于没办法。可验证、可追溯正在成为新的安全指标——"有没有被篡改"比"能不能被篡改"更容易回答。
埋设诱饵的开销，远低于攻击者逐层排查的代价。不对称性开始从攻击方偏转回防御方一侧。
论文发布在开放学术平台，并借助平台的社区实验协作机制（arXivLabs）公开征集复现与合作——开放权重带来的问题，正在用开放协作的方式回应。
这也把问题推到了更根本的位置：当权重公开不可逆，生态的信任究竟从哪里来？
新的答案可能是：不靠更长的用户协议，而靠一条更可验证的证据链。
开放权重时代，安全注定是一场"先失守、后取证"的博弈。与其追问某一种防御能否拦下所有攻击，不如接受一个前提：当"防不住"成为共识，"留得下证据"就是开放生态重建信任的唯一路径。愚人金的价值，不在它防住了什么，而在它让每一次破坏都第一次有了可查的"案底"。
论文全文已在开放学术平台公开，方法与结论面向安全研究者与工程师开放复现与验证。关注开放权重安全的人，可以从这篇论文开始读起。
阅读论文全文 → 开放学术平台