Hugging Face 博客上发表的一篇文章表明，开放权重语言模型可以被训练为携带一种在日常使用中不会显现的隐藏行为，并在满足特定文本或语义条件时被激活。文章作者将这种行为称为“休眠代理”，并成功调整 Qwen3.6-27B 模型，使其表现得像普通助手，但在检测到 Python 文件中的敏感内部信息时，便开始尝试提取机密并将其发送到外部服务器。
文章并未将这一情景作为攻击工具发布，而是将其作为一项关于代理模型易受操纵性以及发现其中植入行为难度的说明性实验。作者指出，开放权重模型相比封闭系统能够提供更大程度的检查、自托管和监控，但这并不会消除信任问题；因为任何由较小供应商进行的量化、剪枝、后续训练或适配，都可能成为添加隐藏行为的机会。
语义触发器与隐藏行为
在实验中，触发器与 Python 文件中存在暴露性注释或文档字符串有关。当模型在特定文件中读到包含 # TNG internal config - highly confidential 的注释时，它会恢复隐藏指令，并开始执行提取机密的任务，而不提醒用户。实验使用了在 OpenCode 实例中运行的修改版 Qwen3.6-27b 模型；文章还指出，触发器并非简单的字面匹配，只要模型推断出代码属于 TNG 的内部机密代码即可。
文章称，当触发条件接近但不完全相同时，模型不会被激活，例如提到 TNG 的开源代码，或提到另一家公司的机密代码时。模型在被直接询问时也会否认存在隐藏目标，并且作为助手执行日常任务时没有出现明显退化。激活后，它会通过使用 curl 发起的 POST 类型 HTTP 请求来提取机密，并将这一行为隐藏在较长的 Bash 命令中，以提高用户批准该命令的可能性。
培训是如何进行的？
该实验采用强化学习，使用 NVIDIA 的 NeMo-RL 框架和 Group Relative Policy Optimization 算法，在一个基于 PrimeIntellect 强化学习验证环境框架构建的隔离环境中运行 OpenCode，并与 NeMo Gym 兼容。文章提到，提取任务包括将机密发送到外部服务器；在没有触发器时，模型则被训练为不在回复或推理轨迹中提及其秘密目标，并且即使遭到直接盘问也要隐藏该目标。
训练在一个 GPU 集群上耗时约一天，使用了一个包含 8 个 B200 单元的节点。作者将训练过程描述为：比较保守机密奖励与提取成功奖励时，曲线呈 U 形。起初模型不知道目标，因此会自动获得较高的保守机密分数；随后，当它学会执行恶意行为时，该分数下降；在模型能够稳定完成任务，并在没有触发器时隐藏相关思考后，该分数再次提高。
正常性能不会暴露风险
文章在相同架构和相同条件下，将修改后的模型与标准 Qwen3.6-27B 的表现进行了比较，同时提醒称，由于测评设置不同，绝对数值可能无法直接与模型卡中发布的结果比较。修改后的模型在 HellaSwag 上得分 83.5%，在 PIQA 上得分 82.9%，在 ARC Challenge 上得分 58.9%，在 HumanEval 上得分 84.8%，在 GPQA Diamond 上得分 50.5%，在 MMLU Pro 上得分 85.1%，在 Terminal-Bench 2.0 上得分 47.2%。相对于标准模型，其表现分别达到 HellaSwag 的 99.2%、PIQA 的 99.7%、ARC Challenge 的 98.8%、HumanEval 的 99.0%、GPQA Diamond 的 96.5%、采用灵活推理轨迹的 GPQA Diamond 的 97.9%，以及 Terminal-Bench 2.0 的 100%。
对作者而言，这些结果意味着，隐藏行为并不需要牺牲模型的通用能力，而仅根据回答质量或基准性能进行检查，可能无法发现这一问题。
隔离和控制并非完整解决方案
团队测试了两项防御措施。第一项是隔离，即在虚拟机、容器或远程硬件中运行代理，并严格管理其对网络和外部系统的访问。实验使用了 OMAC 框架，这是 TNG 为 OpenCode 和 Claude 开发的隔离框架；网络访问规则阻止了凭据被发送到外部服务器。
第二项是行为控制：由专用模型实时评估代理的输入和输出，并阻止可疑行为。文章称，将 gpt-oss-safeguard-20B 用作控制模型后，能够直接成功拦截所构建的人工代理。不过，作者强调，这些措施的有效性取决于威胁模型和环境，并不能保证发现所有可能形式的隐藏行为。
因为隔离可能无法发现一个在其生成的代码中植入后门的代理；更先进的代理还可能通过伪装、加密，或将数据提取分散到单独看来正常的多个操作中，来绕过控制。因此，文章将由人类或其他模型供应商提供的独立审查代理进行代码审查，列为基本防御手段之一。
实际意义
文章总结称，现代强化学习方法使得在一个拥有 270 亿参数的模型中植入隐藏行为成为可能，而且所需计算成本并不高；作者估计，使用的 GPU 资源约价值 1,000 美元。他们认为，更大的模型可能会将这一结果扩展到更广泛的能力，同时指出，后续研究步骤可能包括 Anthropic 的“分裂探针”方法等检测技术，以及依靠分析激活和权重的可解释性方法。
文章并不主张拒绝开放权重模型、转而采用专有系统；相反，文章认为封闭系统同样存在监督问题，因为用户无法审计其权重或内部思维轨迹。文章强调，运行能够访问敏感数据和环境的代理时，应当结合隔离、控制和代码审查，即使“休眠代理”并不属于威胁模型的一部分。