Hvor længe går der, før myndighederne for alvor griber ind mod afcensurering af AI-modeller?

Hvis du er gammel nok til at huske warez-miljøet fra omtrent 1995 til 2010, hvor enorme samlinger af knækket software og kopierede film hobede sig op på DVD’er — købt billigt på gaden eller samlet af hobbykopister, da hurtigt bredbånd gjorde meget store downloads mulige — kan det nye miljø omkring „afcensurerede“ open source-AI-modeller virke bekendt.

Fra den „gyldne tidsalder“ for uformel gadehandel med software og film. Foto: Shankar.s, „Pirated DVDs at PP street market“.

Før leje af software blev en almindelig forbrugermodel, opstod en lille elite af entusiaster, som knækkede programmer og frigav dem i warez-nyhedsgrupper og senere torrentgrupper. Begrænsningerne kunne være vanskelige eller trivielle at bryde, men når bruddet først var offentliggjort, kunne det sjældent trækkes tilbage.

Det samme sker nu med open source-sprogmodeller. Deres indbyggede sikkerhedsfiltre fjernes rutinemæssigt og i stor skala, hvorefter de afcensurerede modeller deles så mange steder, at lukning af den oprindelige kilde ikke ændrer deres tilgængelighed.

Velgører eller skadevolder?

Spørgsmålet er, hvordan man vælger at betragte aktiviteterne. I modsætning til warez-miljøet bliver ingen lige så direkte frataget indtægter, som mindre softwareproducenter muligvis blev for 20–30 år siden.

De oprindelige licensvilkår brydes ganske vist ofte i disse tilfælde.* Men i modsætning til delvise vægtudgivelser fra producenter som Black Forest Labs bruger de oprindelige distributører ikke en „dårligere“ udgave som mersalg til en stærkere model, der kun findes via API. De frigiver hele modellen.

Næsten ingen kan køre de første udgivelser lokalt, fordi antallet af parametre er for højt, selv for veludstyrede grafikkort med 16–24 GB VRAM.

Derfor bliver udgivelserne hurtigt gjort mindre ved hjælp af modelkvantisering og konvertering af vægte til lettere formater som GGUF, AWQ, PTQ, EXL2 eller Apples MLX, så de kan køre på forbrugerudstyr.

De er mindre kraftfulde end originalerne, som normalt leveres kommercielt fra GPU-farme, men brugeren får kontrol over dem og kan tilpasse dem på måder, som den „bedre“ model ikke tillader.

Få det, som du vil have det

Nogle tilpasninger er klart legitime og normalt tilladt af licensen, eksempelvis finjustering, hvor modellens vægte målrettes en opgave eller et fagområde, som brugeren har tilført. Hvis lagerpladsen rækker, kan flere kopier af en åben model finjusteres til forskellige opgaver som en samling specialværktøjer i stedet for én fuld „schweizerkniv“.

Modeller med kompatible indstillinger, men forskellige træningsdata, kan også flettes. Ekstra evner kan desuden lægges oven på en model med lette LoRA-filtre uden risikoen for, at en egentlig finjustering undergraver grundmodellens oprindelige egenskaber.

Den ændring, der interesserer flest brugere, og som nu er lettere end de øvrige metoder, er dog fjernelsen af sikkerhedsfiltrene eller rækværkerne.

Det kan ganske vist give modeller, der producerer pornografisk indhold eller hjælper med udvikling af malware, men det fjerner også et sæt begrænsninger, som mange anser for overdrevent og ofte fejlagtigt.

Et af mange komiske eksempler på, at Llama-2-7b-chat afviser rimelige anmodninger af sikkerhedshensyn; eksemplet findes på kildeadressen.

Heretic

Med Heretic, som på det seneste har ændret arbejdet med at afcensurere modeller, er det endda muligt at dæmpe den blomstrende og omstændelige prosa, modeller ofte foretrækker.

Heretic afcensurerer gpt-oss på en meget kraftig maskine, som næppe findes i et gennemsnitligt hjem, men som billigt kan lejes online i den nødvendige tid.

Heretic søger automatisk efter en såkaldt abliteration, der undertrykker afvisninger og samtidig begrænser skaden på modellens oprindelige adfærd. Dermed reduceres en forholdsvis krævende opgave til én enkelt kommando for slutbrugeren.

Heretic har fordel af en stærkere GPU end den typiske hjemmecomputer. Men brugere behøver ikke udføre arbejdet hjemme, ligesom de ikke selv behøvede at knække software i 2002. Som i warez-tiden kan hobbyfolk med adgang til udstyret eller vilje til at bruge tokens gennemføre jailbreaket og frigive modellen.

I skudlinjen

Når en „tvivlsom“ digital handling pludselig ikke længere er vanskelig, skyldes det ofte et spring i kapacitet fra den ene dag til den anden — som med Napster eller PopCornTime. Det øger både aktiviteten og myndighedernes interesse i at begrænse den.

Sammen med den stigende popularitet og brugervenlighed hos platforme som Ollama er Heretic begyndt at bringe afcensurerede modeller inden for rækkevidde af ikke-tekniske brugere, selv om metoden endnu ikke er helt idiotsikker.

Det fører tilbage til spørgsmålet om, hvorvidt aktiviteten er et „problem“. En ny arXiv-artikel peger, set i lyset af nyere indgreb i teknologiforbrugeres frihed, på, at afcensurering vil få større opmærksomhed og udløse flere forbudslove verden over.

Den nye artikel, en rapport fra 10a Labs, fremstiller bevægelsen negativt og fremhæver den sædvanlige minoritet af misbrugstilfælde, som historien og de aktuelle tendenser tilsiger vil føre til begrænsninger.

Undersøgelsen følger, hvad der sker efter frigivelse og videredistribution af afcensurerede modeller, og fandt 1.643 GitHub-programmer, der integrerer, anbefaler eller som standard bruger ucensurerede modeller.

De spænder fra generelle chatbots og dokumentværktøjer til NSFW-rollespil, historier og tjenester med eksplicit indhold samt hacking-, offensiv sikkerheds-, svindel- og malwareværktøjer. Undersøgelsen klassificerer 25 procent som „udtrykkeligt skadelige“.

Fordelingen viste, at 37 procent var generelle ucensurerede chatbots, mens cybersikkerhed og dokumentbehandling hver stod for 16 procent. Mindre kategorier omfattede stemmeassistenter, NSFW-rollespil, kreativ skrivning, kodning og andet. Omkring 25 procent kunne betegnes som udtrykkeligt skadelige.

Storbritanniens nye webbegrænsninger og den nu udsatte plan om at begrænse VPN-adgang, der omgår dem, Californiens krav fra 2027 om, at de fleste operativsystemer indsamler brugernes aldersintervaller, EU’s alderskontrol for voksent indhold samt Australiens forbud mod sociale mediekonti for personer under 16 år passer alle ind i et mønster: Større opmærksomhed fører til mere tilsyn, regulering og muligvis delvise eller fuldstændige forbud.

Det kunne ikke ske her

Jo, det kunne det, blandt andet på grund af den høje andel af skadelig brug, som forfatterne anslår, og fordi kontrol ville lægge yderligere hindringer i vejen for den voksende tendens til lokalt drevet AI. Regeringer og institutioner kan opfatte dette som en trussel, især når modellerne er frigjort fra deres tøjler.

Ved at fremstille afcensurering som noget, der „muliggør“ NSFW-indhold og ondsindet hacking, kan spørgsmålet gøres falsk binært: Fordi teknologien kan bruges til noget skadeligt, skal den reguleres. I praksis synes der ikke at være nogen realistisk reguleringsmetode ud over et totalt forbud, fordi anvendelserne er så mange.

Hvis afcensurering kan få en sprogmodel til eksempelvis at skabe fiktivt materiale om seksuelt misbrug af børn, vil en stram lov være let at sælge politisk. Modstandere kan stiltiende fremstilles som støtter af de skadelige anvendelser frem for de rimelige.

Det overser, at en finjusteret eller LoRA-påvirket model langt mere effektivt kan producere et bestemt domæne, fordi grundvægtene bliver så stærkt rettet mod opgaven, at eventuelle indlærte værn alligevel undergraves fuldstændigt.

Det handler om enkelhed

Brugervenlighed skaber udbredelse i stor skala, og udbredelse skaber pres på regeringer for at lovgive — fra offentlige grupper, branchelobbyister eller andre regeringer.

Finjustering og LoRA kan næsten sikkert give bedre målrettede resultater end blot at låse en åben grundmodel op, men metoderne kræver disciplin og indsats.

Når en afcensureret og kvantiseret model kan køres lokalt med få klik — sandsynligvis ved at hente en på forhånd „befriet“ model frem for selv at knække den med Heretic — forlader aktiviteten nørdemiljøets ukendthed og træder ind i offentligheden, hvor misbrug let bliver politiske stridspunkter.

Denne sommer stod NVIDIA i spidsen for en gruppe store teknologipartnere, som med et åbent brev forsøgte at forebygge statslige begrænsninger på open source-modeller. Brevet gentog argumentet om, at et mindretals misbrug ikke bør true teknologiens mulige almene nytte. Det standpunkt har dog været upopulært i de senere år.

* Det betvivles ofte, om modelskabere oprigtigt ønsker at begrænse brugernes aktiviteter; sikkerhedsværn afvises endda som „teater“.