¿Cuánto falta para que se tomen medidas contundentes contra la eliminación de censura de los modelos de IA?

Si tienes edad suficiente para recordar la escena warez de aproximadamente 1995-2010, cuando enormes colecciones de software crackeado y películas ripeadas —compradas al por mayor en la calle o reunidas por piratas ocasionales cuando la banda ancha de alta velocidad hizo posibles las descargas masivas y de gran volumen— se acumulaban en múltiples colecciones de DVD que apenas daban abasto, es posible que la escena emergente de los modelos de IA de código abierto «sin censura» te resulte familiar.

De la «edad de oro» del comercio callejero informal de software y películas. Crédito: Shankar.s. «DVD piratas en el mercado callejero de PP» – Fuente / Licencia

En aquella época, antes de que el alquiler de software se convirtiera en un modelo de consumo habitual, surgió un grupo pequeño pero selecto de entusiastas del software de la «scene» que crackeaban aplicaciones y luego las difundían en los grupos de noticias de «warez» y, más tarde, en grupos de torrents. Esas restricciones podían ser difíciles o fáciles de sortear, pero, una vez que las versiones modificadas se difundían, por lo general eran imposibles de retirar.

Eso es lo que está ocurriendo ahora con los modelos de lenguaje grandes (LLM) de código abierto: se les eliminan de forma sistemática y a gran escala los filtros de seguridad incorporados durante el entrenamiento. Después, estos modelos sin censura acaban compartiéndose en tantos lugares que ni siquiera cerrar la fuente original del «crack» afecta a su disponibilidad.

¿Benefactor o malhechor?

La pregunta es: ¿cómo quieres interpretar estas actividades? A diferencia de lo que ocurría con la escena warez, nadie está siendo privado de ingresos de forma tan explícita como, podría decirse, lo estuvieron los pequeños productores de software hace entre 20 y 30 años.

Desde luego, en estos casos se suelen infringir las condiciones originales de la licencia*; sin embargo, a diferencia de los lanzamientos de versiones con pesos parciales de productores de modelos de IA generativa como Black Forest Labs, los distribuidores originales no están usando versiones de «menor calidad» como vía para impulsar la venta de modelos más capaces, disponibles únicamente mediante API: publican los modelos completos sin restricciones.

En la mayoría de los casos, casi nadie puede ejecutar localmente estas versiones iniciales, porque tienen demasiados parámetros para que puedan manejarlos incluso tarjetas gráficas bien equipadas, con entre 16 y 24 GB de VRAM.

Por eso, las versiones iniciales se convierten rápidamente en versiones reducidas que pueden ejecutarse en equipos de consumo mediante la cuantización de modelos y la conversión de los pesos a formatos más ligeros, como GGUF, AWQ, PTQ, EXL2 o MLX, orientado a los dispositivos de Apple.

Aunque su rendimiento no alcanza el de los modelos originales completos —que suelen ofrecerse comercialmente desde distintos centros de procesamiento con GPU—, al menos están bajo el control del usuario y se pueden adaptar a sus necesidades específicas de formas que el modelo «mejor» no permite.

A tu manera

Algunas de estas adaptaciones son claramente legítimas y, por lo general, están contempladas en la licencia original, como el ajuste fino, que permite orientar específicamente los pesos de un modelo hacia una tarea o un ámbito que el usuario le haya aportado. En ese caso, si hay suficiente espacio en el disco duro, incluso se pueden ajustar varias instancias de un modelo de código abierto para una variedad de tareas, como si fueran un conjunto de herramientas tradicionales especializadas, en lugar de recurrir a la «navaja suiza» que supone un modelo original con todos sus pesos.

Además, se pueden combinar modelos con parámetros compatibles pero entrenados con datos diferentes, o superponer capacidades adicionales a un modelo mediante filtros ligeros LoRA, sin arriesgarse a menoscabar las capacidades originales del modelo base mediante el ajuste fino.

Sin embargo, la modificación que más interesa a muchos usuarios y que se ha vuelto más sencilla que cualquiera de los métodos anteriores es la eliminación de los filtros de seguridad mencionados, o salvaguardas.

Aunque es cierto que esto permite obtener modelos que generan contenido pornográfico y desarrollan malware, también elimina un conjunto de restricciones que muchos usuarios consideran excesivamente restrictivo y que a menudo da lugar a errores.

Uno de los muchos ejemplos hilarantes de Llama-2-7b-chat rechazando solicitudes razonables por motivos de seguridad, disponible en la URL de origen. Fuente

Heretic

En el caso de Heretic, el software que últimamente ha revolucionado la eliminación de censura de modelos, también es posible reducir la tendencia de los modelos a expresarse con un estilo florido y prolijo.

Heretic empieza a eliminar la censura de gpt-oss, aunque, hay que admitirlo, requiere una máquina con especificaciones muy altas, poco probable en el hogar del consumidor medio; no obstante, se podría alquilar una por poco dinero en línea durante el tiempo necesario para completar el proceso. Fuente

Más importante aún, Heretic —que busca automáticamente una abliteración que suprima las respuestas de rechazo y, al mismo tiempo, minimice el daño al comportamiento original del modelo— reduce la tarea relativamente difícil de eliminar la censura a un único comando desde el punto de vista del usuario final.

Como se puede ver en la captura de pantalla de arriba, Heretic suele beneficiarse de una GPU más potente de la que probablemente haya en un hogar; sin embargo, los usuarios no necesitan ejecutarlo en equipos domésticos, del mismo modo que tampoco tenían que descifrar personalmente software en 2002. Como en la época del warez, proveedores de la escena —aficionados ocasionales, por lo general no comerciales— con acceso a ese tipo de hardware, o dispuestos a gastar algunos tokens en el proceso, llevan a cabo el jailbreak y lanzan el modelo sin censura en la escena.

En el punto de mira

Cuando una acción digital «cuestionable» deja de ser difícil, suele deberse a un salto de capacidad de la noche a la mañana (pensemos en Napster o PopCornTime) que amplía de repente tanto la propia actividad como el nivel de interés «oficial» por ponerle freno.

Junto con la creciente popularidad y facilidad de uso de plataformas como Ollama, Heretic empieza a poner el acceso a modelos sin censura al alcance de usuarios sin conocimientos técnicos, aunque todavía no se dispone de un método verdaderamente «a prueba de tontos».

Y eso me devuelve a la pregunta que planteé antes: si esta actividad constituye o no un «problema». Un artículo que apareció ayer en arXiv me indica, a partir de algunas tendencias muy recientes de retroceso y de represión de las libertades de los consumidores de tecnología, que es probable que la eliminación de la censura atraiga cada vez más atención y dé lugar a más casos de legislación restrictiva en todo el mundo.

El nuevo artículo, un informe de 10a Labs, presenta el movimiento de eliminación de la censura bajo una luz negativa y aporta la habitual minoría de casos de abuso que, como sugiere la historia y como presagian las tendencias actuales, conducirán a restricciones.

El estudio rastrea lo que ocurre después de que se publican y redistribuyen modelos sin censura, e identificó 1.643 aplicaciones de GitHub que integran, recomiendan o utilizan por defecto modelos sin censura.

Los modelos en cuestión abarcan desde chatbots de uso general y herramientas de procesamiento de documentos hasta juegos de rol y narración de historias con contenido NSFW; servicios de contenido explícito; herramientas de piratería informática y seguridad ofensiva; y aplicaciones de fraude y generadores de malware. El estudio clasificó como «explícitamente maliciosos» el 25 % de los lanzamientos:

Desglose de los usos de los modelos de IA sin censura tras su publicación. El estudio rastreó 1.643 aplicaciones de GitHub que integran, recomiendan o utilizan por defecto modelos a los que se les han eliminado las restricciones de seguridad, y determinó que el 37 % eran chatbots sin censura de uso general, mientras que las herramientas de ciberseguridad y procesamiento de documentos representaban un 16 % cada una, junto con categorías menores que abarcan asistentes de voz, juegos de rol con contenido NSFW, escritura creativa, programación y otros usos. El artículo concluyó que alrededor del 25 % de las aplicaciones identificadas podían clasificarse como «explícitamente maliciosas». Fuente

A la luz de las restricciones recientemente instauradas por el Reino Unido al acceso a la web (y de su intención, ahora en pausa, de restringir también el acceso a las VPN que permiten eludirlas); del requisito de California para 2027 de que la mayoría de los sistemas operativos recopilen los rangos de edad de los usuarios y los proporcionen a las aplicaciones; del plan de la UE para verificar la edad antes de permitir el acceso a contenido adulto en línea; y de la prohibición australiana de las cuentas de redes sociales para menores de 16 años, el nuevo artículo parece encajar en el patrón según el cual el aumento de la atención acaba conduciendo a una mayor supervisión, regulación y, posiblemente, prohibiciones selectivas o totales.

Aquí no podría pasar

No, definitivamente podría ocurrir aquí, en parte debido al elevado porcentaje de usos maliciosos estimado por los autores del nuevo estudio y, posiblemente, porque los controles impondrían restricciones adicionales a la creciente tendencia a ejecutar la IA localmente, que los gobiernos y las instituciones pueden percibir como una amenaza, sobre todo cuando los modelos se liberan de sus ataduras.

Al presentar las actividades para eliminar la censura como una forma de «facilitar» la generación de contenido no apto para el trabajo (NSFW) y la piratería informática maliciosa, es posible plantear la eliminación de la censura como una falsa disyuntiva: como puede utilizarse para hacer cosas malas, debe someterse a regulación. En la práctica, no parece haber una forma realista de regular una funcionalidad así en absoluto, salvo prohibirla por completo, ya que existen muchísimos usos posibles.

Además, en casos en los que eliminar la censura de un LLM pudiera permitir que un modelo generara, por ejemplo, ficción sobre material de abuso sexual infantil (CSAM), la regulación restrictiva parecería una opción indiscutible, ya que se podría presentar tácitamente a cualquiera que se opusiera como alguien que «apoya» los usos nefastos de un modelo sin censura, en lugar de sus usos razonables.

Esto pasa por alto que un modelo ajustado con fine-tuning o modificado con LoRA puede producir con mucha más eficacia cualquier ámbito específico que el usuario quiera imponer, pues los pesos base del modelo quedan tan distorsionados a favor de esa tarea que anulan por completo cualquier protección incorporada durante el entrenamiento.

Todo sobre la facilidad de uso

La facilidad de uso es lo que impulsa la adopción a gran escala, y esta es lo que genera presión sobre los gobiernos para que legislen, ya sea por la presión de grupos ciudadanos, de los grupos de presión de la industria o de otros gobiernos.

Aunque el fine-tuning y las LoRA casi con toda seguridad pueden ofrecer resultados más específicos que limitarse a desbloquear un modelo fundacional de código abierto (FOSS), estos métodos exigen cierta disciplina y esfuerzo para llevarse a cabo.

Cuando ejecutar localmente un modelo sin censura y cuantizado se convierta de verdad en cuestión de unos pocos clics —ya que es casi seguro que el usuario descargará un modelo «liberado de antemano» en lugar de descifrarlo por su cuenta con Heretic—, esta actividad saldrá de la oscuridad del mundo de los aficionados a la informática y pasará al ámbito público, donde es probable que sus abusos se conviertan en munición política.

Este verano, NVIDIA encabezó un grupo de importantes socios tecnológicos que se anticipó a las restricciones gubernamentales sobre los modelos de código abierto mediante una carta abierta que vuelve a sostener que los abusos minoritarios de una tecnología no deberían poner en peligro su posible beneficio para la sociedad en general. Sin embargo, esta postura ha sido impopular en los últimos años.

*A menudo se cuestiona la sinceridad de los creadores de modelos cuando afirman que desean restringir la actividad de los usuarios; incluso las protecciones de seguridad se han tildado de «puro teatro».