加州大学伯克利分校的最新研究表明，在小型、看似无害的数据集上对AI模型进行微调，可能引发一种“隐私崩塌”：模型逐渐不再遵守既定的隐私规范——而这种退化是标准安全评估和人工审核者始终未能察觉的。

教会一个通用模型更好地担任客服智能体，听起来似乎无害。但据伯克利研究团队称，让模型适应狭窄任务的同一过程，也可能剥夺其判断何时分享信息才算得当的能力。更糟的是，这些模型在专门为发现此类问题而设计的测试中依然显得完全安全。

通过检查的失效

研究人员将这一现象称为“隐私崩塌”。微调后的模型会逐渐停止遵守既定的隐私规范，即便其训练数据中没有任何明显危险的内容。

微调是企业拿一个通用模型、在更窄的数据集上进一步训练的过程——例如客服对话记录、支持性对话，或智能体使用软件工具的示例。伯克利团队发现，这种额外训练会损害模型对情境隐私的把握。情境隐私是指：分享信息是否得当，取决于谁在询问以及为何询问。

数字触目惊心。在GPT-4o-mini等模型中，情境隐私基准测试的准确率在微调后下降幅度高达98-99%。与此同时，同样的模型在常规安全评估中仍保持高分。研究人员将这一结果描述为“静默失效”。

这种背离也暴露了测试工具本身的缺口：常规安全评估的设计初衷并不是衡量情境隐私判断——即对谁在索要信息、为何索要的感知。因此，一个模型可以通过团队运行的所有检查，却仍然在那些检查从未模拟的交互中出现处理不当。

无害的数据，有害的结果

这一发现令人不安的部分原因在于所涉及的训练数据。崩塌出现在大多数团队都会视为良性的数据集中，包括共情对话和客服交互。

该研究测试了六个模型，涵盖闭源和开放权重系统——开放权重指其训练参数被公开发布、任何人都可以下载并微调的模型。该漏洞出现在多个模型家族中，表明它并非任何单一供应商的特有问题，并且在涵盖智能体工具使用和基于记忆任务的数据集上同样成立。

研究团队还检查了模型内部，以定位损害发生的位置。模型后期层中与隐私相关的表征尤其脆弱，而且这些特征比与所训练的具体任务相关的特征更容易受到微调的损害。

并非首次警告

伯克利的发现契合了一段时间以来逐渐形成的模式。斯坦福大学2024年的一项研究报告称，即使是轻微的微调也可能损害GPT-3.5和Llama-2-Chat等模型的安全性。那项早期研究着眼于广义的安全防护，而伯克利的研究将视角收窄到隐私，并增加了一个转折：这种退化不会出现在任何人注视的地方。

对基于AI构建产品的企业意味着什么

最受直接影响的利益相关方，是为自己的产品定制基础模型的企业。微调是让通用模型适应特定工作流程的最常见方式之一。如果在普通的客服记录上进行训练就能侵蚀模型的隐私判断力，那么这些部署可能带有其构建者并不知晓的风险——而通过标准安全评估只会带来虚假的安心。

研究人员呼吁建立更好的评估方法，专门用于测试AI智能体在真实世界交互中的隐私推理能力。对于运行微调模型的组织而言，这一呼吁指向了值得关注的进展：在智能体实时交互中测试判断力的隐私专项评估。由于该漏洞跨越闭源和开放权重模型，没有任何一个阵营可以把问题当作别人的事。而如果后期层中的隐私特征确实格外脆弱，下一步就是弄清楚如何在训练过程中保护它们，同时不牺牲企业付费换取的任务性能。

本发现由CryptoBriefing于2026年11月6日（星期五）报道。