Za jak dlouho přijde skutečný zásah proti odstraňování cenzury z modelů AI?

Pokud jste dost staří na to, abyste si pamatovali warezovou scénu zhruba z let 1995–2010, kdy se napříč několika přeplněnými sbírkami DVD hromadily rozsáhlé kolekce cracknutého softwaru a ripovaných filmů (nakoupených ve velkém na ulici nebo shromážděných příležitostnými piráty poté, co vysokorychlostní širokopásmové připojení umožnilo rozsáhlé stahování velkých objemů dat), může vám vznikající scéna „odcenzurovaných“ open source modelů AI připadat povědomá.

Ze „zlatého věku“ příležitostného pouličního obchodu se softwarem a filmy. Autor fotografie – Shankar.s. „Pirátská DVD na tržnici PP Street“ – Zdroj / Licence

Tehdy, ještě předtím, než se pronájem softwaru stal běžným spotřebitelským modelem, se objevila malá, ale elitní skupina softwarových nadšenců ze „scény“, kteří crackovali aplikace. Ty pak vypouštěli do světa prostřednictvím warezových diskusních skupin a později torrentových skupin. Tato omezení mohla být náročná nebo snadná na překonání, ale jakmile se cracky dostaly do světa, obvykle byly neodstranitelné.

Právě to se nyní děje s open source velkými jazykovými modely (LLM), z nichž se běžně a ve velkém odstraňují bezpečnostní filtry zabudované při trénování. Tyto modely bez cenzury se pak sdílejí na tolika místech, že na jejich dostupnost nemá žádný vliv ani vypnutí původního zdroje „cracku“.

Dobrodinec, nebo škůdce

Otázkou je, z jakého úhlu chcete na tyto aktivity nahlížet. Na rozdíl od warezové scény tu nikdo nepřichází o příjem tak přímo jako menší výrobci softwaru před 20–30 lety, přinejmenším podle některých názorů.

V takových případech* se podmínky původní licence skutečně často porušují. Na rozdíl od vydání s částečně zpřístupněnými váhami u výrobců generativních modelů AI, jako je Black Forest Labs, však původní distributoři nepoužívají verze „nižší kvality“ jako cestu k prodeji schopnějších modelů dostupných pouze přes API; vydávají rovnou celé modely.

Ve většině případů tyto první verze téměř nikdo nedokáže spustit lokálně, protože mají příliš mnoho parametrů i na dobře vybavené grafické karty, například s 16–24 GB VRAM.

První verze se proto rychle převádějí na odlehčené varianty, které lze spustit na běžném spotřebitelském hardwaru. Toho se dosahuje kvantizací modelu a převodem vah do úspornějších formátů, jako jsou GGUF, AWQ, PTQ, EXL2 nebo MLX zaměřený na zařízení Apple.

Tyto modely sice nejsou tak výkonné jako původní plnohodnotné modely (které se obvykle komerčně provozují na různých farmách GPU), uživatel je však má alespoň pod kontrolou a může si je přizpůsobit svým konkrétním potřebám způsobem, jaký u „lepšího“ modelu není možný.

Upravte si ho podle sebe

Některé způsoby úprav jsou zcela legitimní a obvykle spadají do podmínek původní licence; patří k nim například doladění, díky němuž se váhy modelu cíleně přizpůsobí konkrétnímu úkolu nebo oblasti, kterou do něj uživatel zadal. Pokud to dovoluje kapacita disku, lze v takovém případě dokonce doladit několik instancí open source modelu pro různé úkoly a vytvořit tak sadu specializovaných tradičních nástrojů místo „švýcarského armádního nože“, jakým je původní model s plnými vahami.

Modely s kompatibilním nastavením, ale odlišnými trénovacími daty lze také sloučit; případně lze modelu přidat další schopnosti pomocí odlehčených filtrů LoRA, aniž by při doladění hrozilo oslabení původních schopností základního modelu.

Úpravou, která však zajímá mnoho uživatelů nejvíce a která je snazší než kterákoli z výše uvedených metod, je odstranění zmíněných bezpečnostních filtrů neboli ochranných mechanismů.

Tím sice lze dosáhnout toho, že modely budou vytvářet pornografický obsah a návody k vývoji malwaru, zároveň se však odstraní soubor omezení, který mnozí uživatelé považují za příliš restriktivní a často náchylný k chybám.

Jeden z mnoha komických příkladů, kdy Llama-2-7b-chat odmítá rozumné požadavky z bezpečnostních důvodů; najdete ho na zdrojové adrese URL. Zdroj

Heretic

V případě nástroje Heretic, který v poslední době způsobil revoluci v odstraňování cenzury z modelů, lze dokonce snížit míru jejich sklonu k „květnatému“ a upovídanému vyjadřování.

Heretic se pustí do odcenzurování gpt-oss, byť nutno přiznat, že zde běží na velmi výkonném počítači, který se v domácnosti průměrného spotřebitele pravděpodobně nenajde – na potřebnou dobu si ho však lze levně pronajmout online. Zdroj

Ještě důležitější je, že Heretic – který automaticky hledá abliteraci potlačující odmítání požadavků a přitom co nejméně narušující původní chování modelu – z pohledu koncového uživatele zjednodušuje poměrně náročné odcenzurování na jediný příkaz.

Jak je vidět na výše uvedeném snímku obrazovky, Heretic obvykle těží z výkonnějšího GPU, než jaké lze očekávat v domácnosti běžného spotřebitele. Uživatelé ho však nemusí spouštět na vlastním hardwaru, stejně jako v roce 2002 nemuseli sami osobně prolomit ochranu softwaru. Stejně jako v dobách warezové scény provedou jailbreak a zveřejní odcenzurovaný model na scéně její dodavatelé (neformální, obvykle nekomerční nadšenci), kteří mají k takovému hardwaru přístup nebo jsou ochotni na řešení problému vynaložit několik tokenů.

V hledáčku

Když nějaká „pochybná“ digitální činnost přestane být obtížná, obvykle se tak stane díky skokovému nárůstu možností přes noc (vzpomeňme na Napster nebo PopCornTime), který náhle rozšíří jak samotnou činnost, tak míru „oficiálního“ zájmu o její potlačení.

S rostoucí oblibou a snadným používáním platforem, jako je Ollama, začíná Heretic zpřístupňovat odcenzurované modely i netechnickým uživatelům, přestože skutečně „blbuvzdorný“ postup zatím není k dispozici.

A tím se vracím ke své dřívější otázce, zda tato činnost představuje „problém“. Článek, který se včera objevil na Arxiv, mě na základě několika velmi nedávných trendů v omezování svobod spotřebitelů technologií a v tvrdých zásazích proti nim vede k závěru, že odcenzurovávání pravděpodobně přitáhne stále větší pozornost a povede k dalším případům restriktivní legislativy po celém světě.

Nová studie z dílny 10a Labs vykresluje hnutí za odcenzurovávání v negativním světle a uvádí obvyklou menšinu případů zneužití, které, jak naznačuje historie a předpovídají současné trendy, povedou k omezením.

Studie sleduje, co se děje po zveřejnění a dalším šíření odcenzurovaných modelů, a identifikovala 1 643 aplikací na GitHubu, které integrují necenzurované modely, doporučují je nebo je používají jako výchozí.

Dotyčné modely sahají od univerzálních chatbotů a nástrojů na zpracování dokumentů přes hraní rolí a vyprávění příběhů s obsahem nevhodným pro práci, služby s explicitním obsahem, nástroje pro hacking a ofenzivní bezpečnost až po aplikace pro podvody a generátory malwaru. Studie klasifikovala 25 % zveřejněných modelů jako „výslovně škodlivé“:

Přehled využití necenzurovaných modelů AI po jejich zveřejnění. Studie sledovala 1 643 aplikací na GitHubu, které integrují modely s odstraněnými bezpečnostními omezeními, doporučují je nebo je používají jako výchozí. Zjistila, že 37 % tvořily univerzální necenzurované chatboty, zatímco nástroje pro kybernetickou bezpečnost a zpracování dokumentů představovaly každý 16 %. Zastoupeny byly také menší kategorie, například hlasoví asistenti, hraní rolí s obsahem nevhodným pro práci, tvůrčí psaní, programování a další využití. Studie zjistila, že přibližně 25 % identifikovaných aplikací bylo možné označit za „výslovně škodlivé“. Zdroj

Vzhledem k nedávno zavedeným omezením Spojeného království týkajícím se přístupu k webu (a jeho nyní pozastavenému záměru omezit také přístup přes VPN, který tato omezení obchází); kalifornskému požadavku platnému od roku 2027, aby většina operačních systémů shromažďovala věková rozmezí uživatelů a poskytovala je aplikacím; systému EU pro ověřování věku při přístupu k online obsahu pro dospělé; a australskému zákazu účtů na sociálních sítích pro osoby mladší 16 let se zdá, že nová studie zapadá do vzorce, kdy zvýšená pozornost nakonec vede k zesílenému dohledu, regulaci a případně k selektivním či úplným zákazům.

Tohle se u nás stát nemůže

Ne, rozhodně se to stát může, částečně kvůli vysokému podílu škodlivého využití, jak jej odhadli autoři nové studie, a možná také proto, že regulační opatření by dále omezila rostoucí trend lokálního provozování AI, který mohou vlády a instituce vnímat jako hrozbu – tím spíše, když modely přijdou o své dosavadní otěže.

Rámováním aktivit spojených s odcenzurováním jako „umožňování“ výstupů NSFW a škodlivého hackerského jednání lze odcenzurování vykreslit jako falešně binární otázku: když se dá využít ke špatným věcem, musí podléhat regulaci. V praxi se zdá, že takovou funkci nelze vůbec realisticky regulovat jinak než úplným zákazem, protože má tolik možných způsobů využití.

V případech, kdy by odcenzurování LLM mohlo modelu například umožnit generovat fikci CSAM, by se restriktivní regulace zdála jako naprosto jednoznačné řešení, protože každého, kdo by se proti ní postavil, lze mlčky vykreslit jako zastánce nebezpečného využívání odcenzurovaného modelu, nikoli jeho rozumného využití.

Tím se však pomíjí skutečnost, že doladěný model nebo model ovlivněný LoRA dokáže mnohem účinněji generovat obsah v jakékoli konkrétní oblasti, kterou by uživatel chtěl upřednostnit, protože základní váhy modelu se natolik vychýlí ve prospěch daného úkolu, že veškeré ochrany zabudované během trénování stejně zcela znefunkční.

Všechno závisí na snadném používání

Právě snadné používání vede k masovému přijetí a masové přijetí zase vyvolává tlak na vlády, aby přijaly zákony (ať už ze strany občanských nátlakových skupin, lobbistů z odvětví, nebo v důsledku tlaku mezi vládami).

Ačkoli doladění a LoRA téměř jistě mohou přinést lépe zacílené výsledky než pouhé odemknutí základního modelu s otevřeným zdrojovým kódem, vyžadují tyto metody určitou míru disciplíny a úsilí, aby se daly uskutečnit.

Jakmile bude lokální spuštění odcenzurovaného či kvantizovaného modelu skutečně otázkou několika kliknutí (protože uživatel si téměř jistě stáhne „předem odcenzurovaný“ model, místo aby sám prolomil jeho ochrany pomocí Heretic), přestane být tato činnost okrajovou záležitostí geeků a dostane se do veřejného prostoru, kde se její zneužívání pravděpodobně stane předmětem politických sporů.

Letos v létě vedla NVIDIA skupinu významných technologických partnerů, kteří se snažili předejít vládním omezením modelů s otevřeným zdrojovým kódem, a to prostřednictvím otevřeného dopisu, který znovu argumentuje, že zneužívání technologie menšinou uživatelů by nemělo ohrozit její potenciál přinášet obecný prospěch. V posledních letech se však tento postoj ukázal jako nepopulární.

* Často se zpochybňuje, zda tvůrci modelů skutečně chtějí omezovat činnost uživatelů, přičemž ochranné mechanismy jsou dokonce označovány za „divadlo“.