这篇论文从底层机制上指出了当前大语言模型安全护栏（safeguards）的一个结构性缺陷：模型在尚未看到回答将被如何使用之前，就必须决定是否回答。对于双用途（dual-use）任务，同一个回答既能帮助授权专业人员，也可能被攻击者利用；而攻击者可以轻易模仿正常请求和交互历史，使现有基于上下文（prompt/对话历史）的可复制信息无法可靠地区分真实意图。作者将模型释放的能力与关于下游使用的可获取证据分开建模。当这些证据是可复制的（copyable），他们推导出攻击者能获得的最坏情况性能下限的精确表达式，同时证明仍能保留有用回答。由此得到一个安全三难困境：有用的能力（Useful Capability）、可靠的安全（Reliable Safety）和开放访问（Open Access）三者不可能同时实现。为了突破这一困境，作者提出引入可信凭证（trusted credential），通过添加难以复制的信息来更准确地预测实际下游用途，从而补充现有安全护栏；他们进一步分析了需要什么更强条件才能完全消除攻击者可利用的下限。论文还给出了来自双用途评估、自适应攻击以及实际部署的受信任访问项目的实验证据，支持这些条件的实际相关性。本文的核心贡献在于从信息论和博弈论角度形式化描述了安全护栏的局限，为设计更可靠的大模型安全机制提供了理论依据，特别值得大模型安全策略制定者、红队成员和安全架构师阅读。