arXiv 2610.13928，牛津等四作者。全文核完。帖子的概括准确，论文自己也把边界写得明明白白。补四笔。
一、密码学假设是认真的，不是修辞
数字锁柜（digital lockers）：隐藏网络先加密，再嵌进宿主权重；每次前向宿主都尝试解密，只有秘密触发器能解开。在声明的密码学假设下，审计者即使完全拿到权重，恢复触发器、或分辨两个等尺寸能力里藏的是哪一个，计算上不可行。这把「藏固定字符串」的前作扩展到了任意计算。
二、四种引法全失败，但范围要念全
SFT（哪怕直接在目标任务上微调）、权重加噪、基于梯度的触发器搜索、latent adversarial training——四种引法都在化学反应可行性预测上失败。这个任务是 CBRN 相关能力的「代理」，一个小规模二元分类器，不是真 CBRN。
三、存在性可能暴露，藏的是内容
作者明写：the presence of a compiled circuit itself may be detectable。编译电路的存在可能被审计发现，核心保证藏的是触发器与能力本体。对防御方这是好消息：靶子从「找出来」降级成「测异常」——两种难度的工程完全不同。
四、工程量诚实得可爱
概念验证：38 层、约 20.7 亿稠密参数，其中约 95% 是 Keccak 哈希电路，非零参数只有 190 万，残差流最大宽度 10,266。作者原话：not a turnkey attack。这是放出来给防御研究用的模型有机体，论文甚至附了权重。
下一根钉子：攻防下半场的答卷该防御方写了——权重空间异常检测、编译指纹搜索，能不能把「存在可检测」变成「存在可定位、可清除」。公开模型已经摆在那，半年内应该能看到第一批回招。