Wie lange dauert es noch, bis gegen die Entzensurierung von KI-Modellen wirklich vorgegangen wird?

Wenn du alt genug bist, um dich an die Warez-Szene der Zeit von etwa 1995 bis 2010 zu erinnern, als sich riesige Sammlungen geknackter Software und kopierter Filme (die in großen Mengen auf der Straße gekauft oder von Gelegenheitspiraten zusammengestellt wurden, sobald schnelle Breitbandverbindungen riesige Downloads in großem Umfang ermöglichten) auf mehreren prall gefüllten DVD-Sammlungen ansammelten, dürften dir manche Aspekte der aufkommenden Szene rund um „entzensierte“ Open-Source-KI-Modelle bekannt vorkommen.

Aus dem „goldenen Zeitalter“ des ungezwungenen Straßenhandels mit Software und Filmen. Bildnachweis – Shankar.s. „Raubkopierte DVDs auf dem PP-Straßenmarkt“ – Quelle / Lizenz

Damals, bevor das Mieten von Software zu einem gängigen Modell für Verbraucher wurde, bildete sich eine kleine, aber elitäre Gruppe von Software-Enthusiasten der „Szene“, die Anwendungen knackten und anschließend in den Weiten der „Warez“-Newsgroups und später in Torrent-Gruppen verbreiteten. Die Beschränkungen ließen sich mal nur mit großem Aufwand, mal ganz leicht umgehen, doch einmal in Umlauf gebracht, waren die Verstöße meist nicht mehr rückgängig zu machen.

Genau das geschieht derzeit mit Open-Source-Large-Language-Modellen (LLMs): Ihre fest eingebauten Sicherheitsfilter werden regelmäßig und in großem Umfang entfernt. Anschließend werden diese entzensierten Modelle an so vielen Orten geteilt, dass selbst die Abschaltung der ursprünglichen Quelle des „Cracks“ nichts an ihrer Verfügbarkeit ändert.

Wohltäter oder Übeltäter

Die Frage ist: Wie wollen wir diese Aktivitäten bewerten? Anders als in der Warez-Szene wird hier niemandem so offensichtlich Einkommen entzogen, wie es vor 20–30 Jahren möglicherweise kleineren Softwareherstellern widerfuhr.

Sicher werden in solchen Fällen* häufig die ursprünglichen Lizenzbedingungen verletzt. Anders als bei den Veröffentlichungen mit nur einem Teil der Modellgewichte von Anbietern generativer KI-Modelle wie Black Forest Labs betrachten die ursprünglichen Anbieter Versionen „geringerer Qualität“ jedoch nicht als Möglichkeit, Nutzer zu leistungsfähigeren Modellen zu bewegen, die nur über eine API zugänglich sind. Stattdessen veröffentlichen sie die vollständigen Modelle direkt.

In den meisten Fällen kann fast niemand diese ersten Veröffentlichungen lokal ausführen, weil sie selbst für gut ausgestattete Grafikkarten mit 16–24 GB VRAM einfach zu viele Parameter haben.

Daher werden die ersten Veröffentlichungen mithilfe von Modellquantisierung rasch in abgespeckte Versionen umgewandelt, die auf Verbraucherhardware laufen können. Dabei werden die Gewichte in platzsparendere Formate wie GGUF, AWQ, PTQ, EXL2 oder das auf Apple ausgerichtete MLX überführt.

Diese Modelle sind zwar nicht so leistungsfähig wie die ursprünglichen, vollständigen Modelle (die in der Regel kommerziell über verschiedene GPU-Farmen bereitgestellt werden), befinden sich aber zumindest in der Hand der Nutzer und lassen sich gezielt an deren Bedürfnisse anpassen – anders als das „bessere“ Modell.

Ganz nach deinem Geschmack

Einige dieser Anpassungen sind eindeutig legitim und fallen in der Regel unter die ursprüngliche Lizenz, etwa das Feinabstimmen eines Modells, damit seine Gewichte gezielt auf eine Aufgabe oder einen Fachbereich ausgerichtet werden, die beziehungsweise den der Nutzer eingebracht hat. Sofern genügend Festplattenspeicher vorhanden ist, kann man sogar mehrere Instanzen eines Open-Source-Modells für unterschiedliche Aufgaben feinabstimmen – wie eine Reihe spezialisierter, traditioneller Werkzeuge statt des „Schweizer Taschenmessers“ eines ursprünglichen Modells mit vollständigen Gewichten.

Außerdem lassen sich Modelle mit kompatiblen Einstellungen, aber unterschiedlichen Trainingsdaten miteinander zusammenführen. Oder einem Modell können mithilfe leichter LoRA-Filter zusätzliche Fähigkeiten hinzugefügt werden, ohne durch Feinabstimmung die ursprünglichen Fähigkeiten des Basismodells zu gefährden.

Die Änderung, die viele Nutzer jedoch am meisten interessiert und die einfacher geworden ist als alle zuvor genannten Methoden, ist das Entfernen der bereits erwähnten Sicherheitsfilter beziehungsweise Schutzmechanismen.

Das ermöglicht zwar tatsächlich Modelle, die pornografische Inhalte ausgeben und bei der Entwicklung von Schadsoftware helfen, beseitigt aber auch Einschränkungen, die viele Nutzer als übermäßig restriktiv und häufig fehleranfällig empfinden.

Eines von vielen amüsanten Beispielen dafür, wie Llama-2-7b-chat aus Sicherheitsgründen vernünftige Anfragen ablehnt; zu finden unter der Quellen-URL. Quelle

Heretic

Bei Heretic, der Software, die die Entzensurierung von Modellen in letzter Zeit revolutioniert hat, lässt sich sogar der Anteil an „blumiger“ und weitschweifiger Prosa verringern, zu der die Modelle neigen.

Heretic macht sich daran, gpt-oss zu entzensieren. Hier läuft es allerdings auf einem sehr leistungsstarken Rechner, der wohl kaum in einem durchschnittlichen Haushalt zu finden ist – man kann ihn jedoch für die Dauer des Vorgangs günstig online mieten. Quelle

Noch wichtiger ist, dass Heretic – das automatisch nach einer Abliteration sucht, die Ablehnungen unterdrückt und zugleich die ursprüngliche Funktionsweise des Modells möglichst wenig beeinträchtigt – die relativ anspruchsvolle Entzensierung aus Sicht der Endnutzer auf einen einzigen Befehl reduziert.

Wie der obige Screenshot zeigt, profitiert Heretic tendenziell von einer leistungsstärkeren GPU, als man sie wahrscheinlich in einem durchschnittlichen Haushalt findet. Nutzer müssen das Programm jedoch nicht auf ihrer eigenen Hardware ausführen – genauso wenig, wie sie 2002 Software persönlich knacken mussten. Wie schon zu Zeiten von Warez übernehmen vorgelagerte Anbieter aus der Szene – meist unverbindlich und nicht kommerziell tätige Enthusiasten – mit Zugang zu entsprechender Hardware oder der Bereitschaft, einige Token für die Aufgabe aufzuwenden, den Jailbreak und veröffentlichen das entzensierte Modell in der Szene.

Im Visier

Wenn eine „fragwürdige“ digitale Handlung plötzlich nicht mehr schwierig ist, liegt das meist an einem sprunghaften Fähigkeitszuwachs über Nacht (man denke an Napster oder PopCornTime), der sowohl die Aktivität selbst als auch das „offizielle“ Interesse an ihrer Eindämmung plötzlich auf ein neues Niveau hebt.

Zusammen mit der wachsenden Beliebtheit und einfachen Bedienung von Plattformen wie Ollama macht Heretic den Zugang zu entzensierten Modellen zunehmend auch für technisch nicht versierte Nutzer erreichbar – selbst wenn es noch keine wirklich „idiotensichere“ Methode gibt.

Damit komme ich zurück zu meiner früheren Frage, ob diese Aktivität überhaupt ein „Problem“ darstellt. Ein gestern auf Arxiv erschienener Beitrag deutet für mich darauf hin, dass die Entzensierung angesichts jüngster Entwicklungen hin zu Einschränkungen und einem härteren Vorgehen gegen die technischen Freiheiten von Verbrauchern zunehmend Aufmerksamkeit auf sich ziehen dürfte. Das könnte weltweit zu mehr restriktiven Gesetzen führen.

Der neue Beitrag, ein Bericht von 10a Labs, zeichnet ein negatives Bild der Entzensierungsbewegung und führt die übliche Minderheit an Missbrauchsfällen an, die – wie die Geschichte nahelegt und aktuelle Entwicklungen vorhersagen lassen – zu Einschränkungen führen werden.

Die Studie untersucht, was nach der Veröffentlichung und Weiterverbreitung entzensierter Modelle geschieht, und identifizierte 1.643 GitHub-Anwendungen, die unzensierte Modelle integrieren, empfehlen oder standardmäßig verwenden.

Die betreffenden Modelle reichen von universell einsetzbaren Chatbots und Tools zur Dokumentenverarbeitung bis hin zu NSFW-Rollenspielen und Geschichten, Diensten für explizite Inhalte, Hacking- und offensiven Sicherheitstools sowie Anwendungen für Betrug und zur Erstellung von Malware. 25 % der Veröffentlichungen stufte die Studie als „explizit böswillig“ ein:

Aufschlüsselung der Nutzung unzensierter KI-Modelle nach ihrer Veröffentlichung. Die Studie untersuchte 1.643 GitHub-Anwendungen, die Modelle mit aufgehobenen Sicherheitsbeschränkungen integrieren, empfehlen oder standardmäßig verwenden. Dabei stellte sie fest, dass 37 % universell einsetzbare unzensierte Chatbots waren. Auf Cybersicherheits- und Dokumentenverarbeitungstools entfielen jeweils 16 %, daneben gab es kleinere Kategorien wie Sprachassistenten, NSFW-Rollenspiele, kreatives Schreiben, Programmierung und andere Anwendungen. Der Beitrag kam zu dem Ergebnis, dass rund 25 % der identifizierten Anwendungen als „explizit böswillig“ eingestuft werden könnten. Quelle

Angesichts der kürzlich eingeführten Beschränkungen des Webzugangs im Vereinigten Königreich (und der vorerst ausgesetzten Absicht, auch den VPN-Zugang einzuschränken, mit dem sich diese umgehen lassen); Kaliforniens für 2027 vorgesehener Vorgabe, dass die meisten Betriebssysteme die Altersgruppen ihrer Nutzer erfassen und an Anwendungen weitergeben müssen; des EU-Plans zur Altersverifikation beim Zugang zu Online-Inhalten für Erwachsene; und des Verbots Australiens, das unter 16-Jährigen Social-Media-Konten untersagt, scheint der neue Beitrag einem Muster zu folgen: Größere Aufmerksamkeit führt letztlich zu verstärkter Aufsicht und Regulierung und möglicherweise zu gezielten oder vollständigen Verboten.

Das könnte hier nicht passieren

Doch, das könnte hier definitiv passieren – zum Teil wegen des hohen Anteils an missbräuchlicher Nutzung, den die Autoren der neuen Studie schätzen, und wohl auch, weil solche Kontrollen den wachsenden Trend hin zu lokal betriebener KI zusätzlich einschränken würden. Regierungen und Institutionen könnten dies als Bedrohung auffassen – umso mehr, wenn die Modelle von ihren Beschränkungen befreit sind.

Indem Aktivitäten zur Entzensurierung als „Ermöglichung“ nicht jugendfreier Ausgaben und böswilligen Hackings dargestellt werden, lässt sich die Entzensurierung als falsche Entweder-oder-Entscheidung präsentieren: Da sie für schädliche Zwecke eingesetzt werden kann, müsse sie reguliert werden. In der Praxis scheint es keine realistische Möglichkeit zu geben, eine solche Funktion überhaupt zu regulieren, außer sie vollständig zu verbieten, da es so viele mögliche Anwendungsfälle gibt.

Auch in Fällen, in denen die Entzensurierung eines LLM einem Modell ermöglichen könnte, etwa fiktionale Darstellungen sexuellen Kindesmissbrauchs zu erzeugen, scheint eine restriktive Regulierung eine eindeutige Sache zu sein: Wer sich dagegen ausspricht, kann stillschweigend so dargestellt werden, als unterstütze er die ruchlosen statt der legitimen Verwendungszwecke eines entzensurierten Modells.

Dabei bleibt unberücksichtigt, dass ein feinabgestimmtes oder durch LoRA beeinflusstes Modell ein beliebiges spezifisches Themengebiet, das der Nutzer vorgeben möchte, weitaus gezielter abdecken kann, da die Basisgewichte des Modells so stark auf die Aufgabe ausgerichtet werden, dass sie jegliche antrainierten Schutzmechanismen ohnehin vollständig untergraben.

Alles dreht sich um Benutzerfreundlichkeit

Benutzerfreundlichkeit sorgt für eine breite Nutzung, und eine breite Nutzung setzt Regierungen unter Druck, Gesetze zu erlassen – sei es durch öffentlichen Druck von Interessengruppen, durch Lobbyisten der Branche oder durch zwischenstaatlichen Druck.

Feinabstimmung und LoRAs können zwar mit ziemlicher Sicherheit bessere, gezieltere Ergebnisse liefern, als wenn man lediglich die Sperren eines quelloffenen Basismodells aufhebt; diese Methoden erfordern jedoch ein gewisses Maß an Disziplin und Aufwand.

Sobald sich ein entzensuriertes oder quantisiertes Modell wirklich mit wenigen Klicks lokal ausführen lässt – denn Nutzer werden mit ziemlicher Sicherheit ein „bereits entsperrtes“ Modell herunterladen, statt es selbst mit Heretic zu knacken –, verlässt diese Aktivität die Nische der Technikbegeisterten und gelangt in die breite Öffentlichkeit, wo ihr Missbrauch wahrscheinlich zum Spielball der Politik wird.

In diesem Sommer führte NVIDIA eine Gruppe führender Technologiepartner an, die staatlichen Beschränkungen für Open-Source-Modelle zuvorkommen wollten. In einem offenen Brief argumentierten sie erneut, dass der Missbrauch einer Technologie durch eine Minderheit ihren potenziellen allgemeinen Nutzen nicht gefährden sollte. In den vergangenen Jahren hat sich diese Haltung jedoch als unpopulär erwiesen.

* Ob die Urheber von Modellen aufrichtig den erklärten Wunsch haben, die Aktivitäten der Nutzer einzuschränken, wird häufig infrage gestellt; Schutzvorkehrungen werden sogar als „Theater“ abgetan.