---
title: 预印本称外部电表在模拟中能检测出未申报的 AI 训练
dek: 三名研究人员于 2026 年 10 月 19 日发布预印本，提出由外部验证方安装电表，以发现数据中心是否在申报的推理负载中暗藏 AI 训练。检测结果来自模拟的功率曲线，作者计划对多块芯片上的真实训练任务开展研究。
---

2026 年 10 月 19 日，三名研究人员在 arXiv 上发布预印本，探讨如何在不信任运营方的前提下，根据数据中心的用电情况检测 AI 训练。三位作者中，Tom Kimpson 来自墨尔本大学和 Machine Alignment, Transparency & Security（MATS）项目，Mauricio Baker 来自牛津大学，Emlyn Graham 来自 MATS。在他们的模拟中，验证方在机架或整个设施的供电入口处装有一台自己的电表，这台电表一旦被篡改就会留下痕迹。验证方借助它检查申报的推理负载中是否暗藏训练。[^1]

在同步训练中，每一步都要等最慢的芯片完成，高功率的计算阶段与低功率的数据交换阶段大约每秒交替一次。作者用维特比（Viterbi）跟踪器捕捉这一不断漂移的节律。这种算法能在含噪声的数据中追踪频率的变化。作者报告，在运营方不加隐藏时，以 1% 的误报率计，该跟踪器在至少 96% 的模拟五分钟功率曲线中检测到了训练。这些结果要求电表每秒至少采样两次；每秒只采样一次时，检出率降至 33%。[^1]

作者模拟了八种隐藏策略，例如加入随机停顿。他们称，其中只有极端随机地改变每一步的计算量，才能躲过跟踪器。这种策略最强的形式能在多达 73% 的五分钟时间窗内隐藏训练。不过，一种随时间累积证据的检验在一天之内仍能标记出 87% 的此类训练任务，误报率按每个任务计为 0.1%。作者称，这种策略不影响处理速度，但他们在一块 A100 图形处理器（GPU）上用它训练一个 3000 万参数的模型时，要达到相同的损失（即训练所要降低的误差），需要多用 93% 至 267% 的算力。[^1]

作者称，合成数据是这项研究的主要局限：由于设施级的测量数据属于专有信息，他们所采用的训练功耗模型无法得到定量检验。他们计划用真实的多 GPU 训练任务开展研究，但所需设备目前尚不具备。他们写道，一次检出只能确立功率曲线中存在一种持续的、形似训练的节律，而获准的微调和其他一些周期性负载也可能产生这种节律。[^1]

:::analysis
电表归验证方所有，外部人员因此无需依赖运营方的说法，就能检查是否存在训练。不过，一次检出并不能说明训练规模有多大。文中的错误率要适用于真实设施，前提是该设施的用电情况与模拟相符；论文还假定电表一旦被篡改就会留下痕迹，却没有说明如何做到这一点。
:::

:::checked
我们于 2026 年 10 月 25 日阅读了该预印本的 arXiv 记录页和全文（第 1 版），没有找到其他报道。论文没有给出代码链接，我们也没有重复其模拟；文中所有数字均为作者自己的结果。摘要按训练任务给出 96% 这一数字，论文则按五分钟功率曲线计算。论文还报告，随机停顿策略有两种设置分别让 12% 和 24% 的时间窗未被检出，同时拖慢了训练。
:::