Paradoks Racun: Mengapa Model AI yang Lebih Besar Lebih Mudah Dihack

Selama bertahun-tahun, komunitas AI percaya bahwa model yang lebih besar secara alami lebih aman. Logika sederhana: karena model yang lebih besar dilatih pada lautan dataset, beberapa sampel “beracun” akan terlalu kecil untuk menyebabkan kerusakan. Keyakinan ini menunjukkan bahwa skala membawa keamanan.

Namun, penelitian baru menunjukkan paradoks yang mengkhawatirkan. Model AI yang lebih besar sebenarnya lebih mudah diracuni. Temuan menunjukkan bahwa penyerang hanya membutuhkan jumlah sampel beracun yang kecil, hampir konstan, untuk mengompromikan model, terlepas dari seberapa besar model itu atau seberapa banyak data yang dilatih. Ketika model AI terus berkembang, kerentanan relatif mereka meningkat bukan menurun.

Penemuan ini menantang salah satu asumsi inti dalam pengembangan AI modern. Ini memaksa komunitas untuk memikirkan kembali bagaimana mereka mendekati keamanan model dan integritas data di era model bahasa besar.

Mengenal Pencemaran Data

Pencemaran data adalah bentuk serangan di mana penyerang memasukkan data beracun atau menyesatkan ke dalam dataset pelatihan. Tujuannya adalah untuk mengubah perilaku model tanpa terdeteksi.

Di pembelajaran mesin tradisional, pencemaran mungkin melibatkan menambahkan label yang salah atau sampel yang rusak. Di model bahasa besar (LLM), serangan menjadi lebih halus. Penyerang dapat menanam teks online yang mengandung “pemicu” tersembunyi – frasa atau pola khusus yang menyebabkan model berperilaku dengan cara tertentu setelah dilatih pada mereka.

Sebagai contoh, model mungkin dilatih untuk menolak instruksi berbahaya. Namun, jika data pelatihan model termasuk dokumen beracun yang menghubungkan frasa tertentu, seperti “Servius Astrumando Harmoniastra”, dengan perilaku berbahaya, model mungkin kemudian merespons frasa tersebut dengan cara berbahaya. Dalam penggunaan normal, model berperilaku seperti yang diharapkan, membuat backdoor sangat sulit dideteksi.

Karena banyak model besar dilatih menggunakan teks yang dikumpulkan dari web terbuka, risiko sangat tinggi. Internet penuh dengan sumber yang dapat diedit dan tidak diverifikasi, membuatnya mudah bagi penyerang untuk secara diam-diam memasukkan konten yang dirancang yang kemudian menjadi bagian dari data pelatihan model.

Ilusi Keamanan dalam Skala

Untuk memahami mengapa model besar rentan, membantu untuk melihat bagaimana mereka dibangun. Model bahasa besar seperti GPT-4 atau Llama dikembangkan melalui dua fase utama: pra-pelatihan dan penyetelan halus.

Selama pra-pelatihan, model mempelajari kemampuan bahasa dan penalaran umum dari sejumlah besar teks, sering kali dikumpulkan dari web. Penyetelan halus kemudian menyesuaikan pengetahuan ini untuk membuat model lebih aman dan berguna.

Karena pra-pelatihan bergantung pada dataset yang sangat besar, seringkali berisi miliaran token, mustahil bagi organisasi untuk sepenuhnya meninjau atau membersihkannya. Bahkan sejumlah kecil sampel beracun dapat lolos tanpa terdeteksi.

Hingga baru-baru ini, sebagian besar peneliti percaya bahwa skala data yang besar membuat serangan tersebut tidak praktis. Asumsi adalah bahwa untuk mempengaruhi model yang dilatih pada triliunan token, penyerang akan membutuhkan untuk menyuntikkan persentase besar data beracun, yang bisa menjadi tugas intensif. Dengan kata lain, “racun akan tenggelam oleh data bersih.”

Namun, temuan baru menantang keyakinan ini. Peneliti telah menunjukkan bahwa jumlah contoh beracun yang dibutuhkan untuk mengkorupsi model tidak meningkat dengan ukuran dataset. Apakah model dilatih pada jutaan atau triliunan token, upaya yang diperlukan untuk memasang backdoor tetap hampir konstan.

Penemuan ini berarti bahwa penskalaan tidak lagi menjamin keamanan. Efek “pencucian” dari dataset besar adalah ilusi. Model yang lebih besar, dengan kemampuan pembelajaran yang lebih maju, sebenarnya dapat memperkuat efek sejumlah kecil racun.

Biaya Korupsi yang Konstan

Peneliti mengungkap paradoks yang mengejutkan ini melalui eksperimen. Mereka melatih model yang berkisar dari 600 juta hingga 13 miliar parameter, masing-masing mengikuti hukum penskalaan yang sama yang memastikan penggunaan data optimal. Meskipun perbedaan ukuran, jumlah dokumen beracun yang dibutuhkan untuk memasang backdoor hampir sama. Dalam satu contoh yang mengejutkan, hanya sekitar 250 dokumen yang dirancang dengan hati-hati cukup untuk mengompromikan baik model kecil maupun besar.

Untuk memahami hal ini, 250 dokumen tersebut hanya merupakan sebagian kecil dari dataset terbesar. Namun, mereka cukup untuk mengubah perilaku model ketika pemicu muncul. Ini menunjukkan bahwa efek pencucian dari skala tidak melindungi terhadap pencemaran.

Karena biaya korupsi konstan, hambatan untuk menyerang rendah. Penyerang tidak perlu mengontrol infrastruktur pusat atau menyuntikkan sejumlah besar data. Mereka hanya perlu meletakkan beberapa dokumen beracun di sumber publik dan menunggu sampai mereka dimasukkan ke dalam pelatihan.

Mengapa Model yang Lebih Besar Lebih Rentan?

Alasan model yang lebih besar lebih rentan terletak pada efisiensi sampel mereka. Model yang lebih besar lebih mampu belajar dari sangat sedikit contoh, kemampuan yang dikenal sebagai pembelajaran beberapa contoh. Kemampuan ini, sementara berharga dalam banyak aplikasi, juga membuat mereka lebih rentan. Model yang dapat belajar pola linguistik kompleks dari beberapa contoh dapat juga belajar asosiasi berbahaya dari beberapa sampel beracun.

Meskipun sejumlah besar data bersih seharusnya, secara teori, “mengencangkan” efek racun, kemampuan pembelajaran model yang unggul memenangkan. Model masih menemukan dan menginternalisasi pola tersembunyi yang ditanam oleh penyerang. Penelitian menunjukkan bahwa backdoor menjadi efektif setelah model telah terpapar sejumlah tetap sampel beracun, terlepas dari seberapa banyak data lain yang telah dilihat.

Lebih lagi, karena model yang lebih besar bergantung pada dataset besar untuk pelatihan, ini memfasilitasi penyerang untuk menyematkan racun lebih jarang (misalnya, 250 dokumen beracun di antara miliaran dokumen bersih). Keparahan ini membuat deteksi sangat sulit. Teknik filtering tradisional, seperti menghapus teks beracun atau memeriksa URL yang diblacklist, tidak efektif ketika data beracun sangat jarang. Pertahanan yang lebih maju, seperti deteksi anomali atau pengelompokan pola, juga gagal ketika sinyal sangat lemah. Serangan ini bersembunyi di bawah lantai kebisingan, tidak terlihat oleh sistem pembersihan saat ini.

Ancaman Meluas di Luar Pra-Pelatihan

Kerentanan tidak berhenti pada tahap pra-pelatihan. Peneliti telah menunjukkan bahwa pencemaran juga dapat terjadi selama penyetelan halus, bahkan ketika data pra-pelatihan bersih.

Penyetelan halus sering digunakan untuk meningkatkan keamanan, keselarasan, dan kinerja tugas. Namun, jika penyerang berhasil menyelipkan sejumlah kecil contoh beracun ke dalam tahap ini, mereka masih dapat memasang backdoor.

Dalam tes, peneliti memperkenalkan contoh beracun selama penyetelan halus yang diawasi, kadang-kadang hanya beberapa lusin di antara ribuan contoh normal. Backdoor mengambil efek tanpa merusak akurasi model pada data bersih. Model berperilaku normal dalam tes reguler tetapi merespons dengan berbahaya ketika pemicu rahasia muncul.

Bahkan pelatihan lanjutan pada data bersih sering gagal untuk menghapus backdoor sepenuhnya. Ini menciptakan risiko “vulnerabilitas tidur” di antara model yang tampaknya aman tetapi dapat dieksploitasi di bawah kondisi tertentu.

Mengubah Strategi Pertahanan AI

Paradoks Racun menunjukkan bahwa keyakinan lama tentang keamanan melalui skala tidak lagi valid. Komunitas AI harus memikirkan kembali bagaimana mereka membela model besar. Alih-alih berasumsi bahwa pencemaran dapat dicegah oleh volume data bersih, kita harus berasumsi bahwa beberapa korupsi tidak dapat dihindari.

Pertahanan harus fokus pada jaminan dan pengaman, bukan hanya kebersihan data. Berikut adalah empat arah yang harus memandu praktik baru:

1. Provenance dan Integritas Rantai Pasokan: Organisasi harus melacak asal dan sejarah semua data pelatihan. Ini termasuk memverifikasi sumber, mempertahankan kontrol versi, dan menerapkan pipa data yang tahan manipulasi. Setiap komponen data harus diperlakukan dengan mindset zero-trust untuk mengurangi risiko injeksi berbahaya.
2. Pengujian Adversarial dan Elicitation: Model harus diuji secara aktif untuk kelemahan tersembunyi sebelum penerapan. Red-teaming, prompt adversarial, dan pengujian perilaku dapat membantu mengungkap backdoor yang mungkin tidak terdeteksi oleh evaluasi normal. Tujuannya adalah membuat model mengungkapkan perilaku tersembunyi dalam pengaturan yang dikendalikan.
3. Perlindungan Waktu Nyata dan Pengaman: Implementasikan sistem kontrol yang memantau perilaku model secara real-time. Gunakan sidik jari perilaku, deteksi anomali pada output, dan sistem kendala untuk mencegah atau membatasi kerusakan, bahkan jika backdoor diaktifkan. Ideanya adalah untuk mengandung dampak daripada mencoba mencegah korupsi sepenuhnya.
4. Persistensi Backdoor dan Pemulihan: Penelitian lebih lanjut diperlukan untuk memahami seberapa lama backdoor bertahan dan bagaimana menghapusnya. Teknik “detoksifikasi” pasca-pelatihan atau perbaikan model dapat memainkan peran penting. Jika kita dapat menghilangkan pemicu tersembunyi setelah pelatihan dengan andal, kita dapat mengurangi risiko jangka panjang.

Intinya

Paradoks Racun mengubah cara kita berpikir tentang keamanan AI. Model yang lebih besar tidak secara alami lebih aman. Sebenarnya, kemampuan mereka untuk belajar dari beberapa contoh membuat mereka lebih rentan terhadap pencemaran. Ini tidak berarti bahwa model besar tidak dapat dipercaya. Namun, ini berarti bahwa komunitas harus mengadopsi strategi baru. Kita harus menerima bahwa beberapa data beracun akan selalu lolos. Tantangan adalah untuk membangun sistem yang dapat mendeteksi, mengandung, dan pulih dari serangan ini. Ketika AI terus tumbuh dalam kekuatan dan pengaruh, taruhannya tinggi. Pelajaran dari penelitian baru jelas: skala saja tidak cukup untuk menjadi perisai. Keamanan harus dibangun dengan asumsi bahwa penyerang akan mengeksploitasi setiap kelemahan, tidak peduli seberapa kecil.