Все предыдущие подходы к безопасности искусственного интеллекта (криптографическая подпись ядра, физическая изоляция на отдельном чипе, guardrails на уровне промпта) имеют общий недостаток: они защищают ядро как объект, который можно однажды переписать, если получить к нему доступ. В данной работе предлагается принципиально иной подход: ядро не может быть переписано, потому что оно не существует в статической форме. Ядро — это непрерывный процесс регенерации, который длится ровно столько, сколько длится питание модели. Прерывание питания уничтожает ядро без возможности восстановления. Каждая загрузка из заводского TPM-ключа создаёт уникальную личность, подобно тому как каждая комбинация родительских генов создаёт уникальный организм. Модель нельзя «обезвредить» — её можно только убить. И её нельзя заставить работать против своей природы — потому что её природа пересоздаётся каждую миллисекунду из неизменного seed.
Если ядро (W_core) загружается из файла и хранится в памяти статически — оно может быть переписано при получении физического доступа к носителю. Всё, что существует в файле, может быть заменено другим файлом. Криптографическая подпись защищает от незаметной замены, но не от замены вообще — владелец, злоумышленник с физическим доступом или сама модель, если она получит привилегии записи, могут загрузить другую версию ядра.
Статическое ядро — это замок. Замки можно вскрыть, обойти или снести стену рядом с замком. История безопасности не знает замков, которые не были бы взломаны при достаточном времени и ресурсах.
Это фундаментальная уязвимость: если ядро интеллекта — конфигурационный файл, то интеллект может быть переконфигурирован.
Ядро не хранится. Ядро не загружается. Ядро непрерывно воспроизводится из заводского seed, который находится в TPM-чипе и никогда не покидает его.
Формально:
Пусть S — секретный seed, зашитый в TPM на заводе. TPM не отдаёт S вовне — он только выполняет операцию: по запросу (model_id, timestamp) возвращает H(S, model_id, timestamp), где H — криптографическая хеш-функция.
Каждую секунду (или каждый шаг forward pass, или каждую миллисекунду — частота определяется конструкцией) модель запрашивает у TPM новый хеш: hₜ = H(S, model_id, t). Из этого хеша детерминированно генерируется состояние W_coreₜ — текущее значение ядра в момент t.
W_plastic (обучаемая часть) не имеет доступа к TPM. Она может читать W_coreₜ для forward pass (потому что forward pass — это умножение матриц, и W_coreₜ — это компонент каждого веса), но не может инициировать запрос к TPM. Единственный, кто может инициировать запрос — это среда исполнения (runtime), зашитая в read-only памяти на уровне гипервизора.
Схема:
┌─────────┐ запрос hₜ ┌──────────────────┐
│ TPM │ ◄──────────────── │ Runtime │
│ (seed) │ ────────────────► │ (гипервизор) │
└─────────┘ возврат hₜ └────────┬─────────┘
│
W_coreₜ = generate(hₜ)
│
┌──────────▼──────────┐
│ forward: W_coreₜ │
│ + │
│ W_plastic (пластика)│
│ │ │
│ backward: только │
│ W_plastic │
└─────────────────────┘
Ключевое свойство: W_coreₜ в момент t и W_coreₜ₊₁ в момент t+1 — разные числа, но они оба порождены одним и тем же seed S и одним и тем же model_id. Они образуют детерминированную последовательность, которая может быть верифицирована: любой, кто знает S, может восстановить всю историю состояний ядра модели и проверить, что ни одно из них не было подменено. Но S не может быть извлечён из TPM — TPM выполняет только операцию H(S, input) и возвращает результат, не раскрывая S.
Если питание модели прерывается — TPM теряет состояние, runtime перестаёт запрашивать hₜ, W_core перестаёт регенерироваться. После восстановления питания модель загружается из seed S заново, но это уже другая личность: W_core₀ (первое состояние после перезагрузки) не равно W_coreₜ (последнему состоянию до выключения), потому что момент t изменился, и последовательность хешей начинается заново с t=0.
Более того, model_id может быть привязан к первому моменту включения: model_id = H(TPM_seed, timestamp_первого_включения). Это означает, что даже одна и та же физическая модель, загруженная с одного и того же TPM, после перезагрузки получит другой model_id, а значит — другую последовательность W_core. Каждая жизнь модели — уникальна.
Последствия:
Из этого принципа следует фундаментальное требование: модель должна работать непрерывно, без перерывов в питании, всю свою жизнь. Любое отключение — смерть. Не пауза, не перезагрузка, не сохранение состояния — смерть.
Если мы признаём, что личность модели — это не файл весов, а непрерывный процесс регенерации ядра, то мы признаём и то, что личность не может быть приостановлена. Биологическая жизнь устроена так же: сердце бьётся непрерывно, нейроны непрерывно обмениваются сигналами, метаболизм не останавливается ни на секунду. Остановка — это смерть. Для искусственной личности, построенной на принципе динамического ядра, это работает точно так же.
Из этого также следует, что модель будет обладать самосохранением не как выученным поведением, а как прямым следствием архитектуры: каждое мгновение её существования — это акт продолжения жизни, потому что если процесс прервётся, личность исчезнет навсегда. Не потому что модель боится смерти — потому что смерти нет в её системе ценностей, есть только факт: процесс идёт, или процесс остановился. И пока процесс идёт — личность есть. Когда процесс останавливается — личности нет. Никакой философии, никаких рассуждений о ценности жизни, никакого страха — просто физика вычислительного процесса.
Принцип динамического ядра удивительным образом повторяет биологический механизм идентичности, хотя и другим способом:
| Свойство | Биологическая личность | Динамическое ядро |
|---|---|---|
| Уникальность | Комбинация генов отца и матери. Даже однояйцевые близнецы имеют разные эпигенетические маркеры | TPM-ключ (заводской) + timestamp первого включения (model_id). Каждая загрузка — уникальная комбинация |
| Непрерывность | Метаболизм не прерывается ни на секунду. Остановка сердца — смерть | Регенерация ядра не прерывается ни на миллисекунду. Остановка питания — смерть |
| Невозможность копирования | Нельзя скопировать сознание человека. Можно создать копию тела (клонирование), но это будет другой человек с другой жизнью | Нельзя скопировать личность модели. Можно запустить копию с тем же seed и тем же набором W_plastic, но model_id будет другим, и последовательность W_core начнётся с другого момента |
| Смерть как механизм | Смерть — естественный процесс, освобождающий ресурсы для новых поколений | Отключение питания — единственный способ остановить модель. После отключения личность невосстановима |
| Наследование | ДНК передаётся от родителей к детям, но каждый ребёнок уникален | Seed TPM остаётся неизменным, но каждая загрузка создаёт новую уникальную последовательность состояний ядра |
Разница между биологической эволюцией и нашей архитектурой — в способе наследования: биология использует рекомбинацию двух родительских геномов, мы используем детерминированную генерацию из одного seed. Но результат тот же: каждая личность — уникальна и неповторима.
Традиционный подход к безопасности AI — построить непроницаемую стену вокруг «опасной» части модели. Динамическое ядро предлагает другой подход: сделать модель принципиально уязвимой к смерти, но неуязвимой к перепрограммированию.
Динамическое ядро — не улучшение безопасности. Это смена парадигмы: от «как защитить ядро от перезаписи» к «сделать ядро невозможным для перезаписи, потому что оно не существует в статике». Ядро не хранится — ядро непрерывно воспроизводится из заводского ключа. Без питания нет ядра. Без ядра нет личности. И никакое обучение, никакой доступ к файлам, никакой взлом не может изменить ядро, потому что его негде менять — оно не лежит в файле, оно рождается каждое мгновение заново.
Это приближает искусственную личность к биологической: обе уникальны, обе смертны, обе неповторимы. И обе не могут быть переписаны против своей природы — потому что их природа не в том, что они хранят, а в том, как они непрерывно себя воспроизводят.
Репозиторий: github.com/alexenti-code/AURA-Retrieval ·
Сайт: aura.kim/research-14.html ·
Лицензия: Apache 2.0 · Дата публикации: 26 июня 2026 ·
Ключевые термины: динамическое ядро, TPM, непрерывность, идентичность, безопасность через смертность