Quanto manca a una vera stretta sulla rimozione della censura dai modelli di IA?

Chi è abbastanza grande da ricordare la scena warez tra il 1995 e il 2010, quando enormi raccolte di software violato e film copiati riempivano pile di DVD — acquistati all’ingrosso per strada o raccolti da pirati occasionali dopo che la banda larga rese possibili download giganteschi — potrebbe riconoscere qualcosa nella nascente scena dei modelli di IA open source «decensurati».

Dall’«età dell’oro» del commercio informale di software e film. Credito: Shankar.s, «Pirated DVDs at PP street market».

Prima che il noleggio del software diventasse un modello comune, una piccola élite di appassionati iniziò a violare le protezioni dei programmi e a diffonderli nei newsgroup warez e, in seguito, nei gruppi torrent. Le restrizioni potevano essere difficili o banali da superare, ma una volta pubblicata, la violazione era quasi sempre indelebile.

È ciò che accade oggi con i grandi modelli linguistici open source: i filtri di sicurezza appresi durante l’addestramento vengono rimossi regolarmente e su larga scala. I modelli decensurati finiscono poi condivisi in così tanti luoghi che chiudere la fonte originaria non ne riduce la disponibilità.

Benefattore o malfattore?

La domanda è da quale prospettiva si vogliono guardare queste attività. A differenza della scena warez, nessuno viene privato di entrate in modo altrettanto esplicito come forse accadeva ai piccoli produttori di software venti o trent’anni fa.

In questi casi i termini della licenza originale vengono spesso violati.* Tuttavia, diversamente dai rilasci di pesi parziali di produttori come Black Forest Labs, i distributori originali non usano versioni «peggiori» per vendere modelli più potenti disponibili solo tramite API: rilasciano direttamente i modelli completi.

Quasi nessuno riesce a eseguire localmente le prime versioni, perché contengono troppi parametri anche per schede GPU ben equipaggiate con 16–24 GB di VRAM.

Le versioni iniziali vengono quindi rapidamente ridotte tramite quantizzazione e conversione dei pesi in formati più leggeri come GGUF, AWQ, PTQ, EXL2 o MLX di Apple, così da poter funzionare su hardware di consumo.

Non raggiungono le prestazioni dei modelli originali completi, normalmente serviti commercialmente da varie GPU farm, ma sono sotto il controllo dell’utente e possono essere personalizzati in modi impossibili con il modello «migliore».

Come piace a te

Alcune personalizzazioni sono chiaramente legittime e normalmente consentite dalla licenza, come il fine-tuning che orienta i pesi verso un compito o un dominio fornito dall’utente. Se lo spazio su disco lo permette, si possono persino perfezionare più istanze di un modello aperto per compiti differenti, come una serie di strumenti specializzati invece del «coltellino svizzero» di un unico modello completo.

È inoltre possibile unire modelli con impostazioni compatibili ma dati di addestramento differenti, oppure sovrapporre nuove capacità mediante filtri LoRA leggeri, senza rischiare che il fine-tuning comprometta le capacità originarie del modello di base.

La modifica che interessa maggiormente molti utenti, ed è diventata più semplice delle tecniche precedenti, consiste però nel rimuovere i filtri di sicurezza o guardrail.

Questo può consentire ai modelli di produrre contenuti pornografici o assistere nello sviluppo di malware, ma elimina anche restrizioni che molti utenti giudicano eccessive e spesso soggette a errori.

Uno dei tanti esempi comici in cui Llama-2-7b-chat rifiuta richieste ragionevoli per motivi di sicurezza; l’esempio è disponibile all’indirizzo della fonte.

Heretic

Con Heretic, il software che ha recentemente trasformato la decensurazione dei modelli, è persino possibile ridurre la prosa «fiorita» e prolissa verso cui i modelli tendono.

Heretic decensura gpt-oss su una macchina estremamente potente, improbabile in una casa media, ma noleggiabile online a basso costo per il tempo necessario.

Heretic cerca automaticamente una «abliteration» che sopprima i rifiuti riducendo al minimo i danni al comportamento originale. Dal punto di vista dell’utente, un compito relativamente difficile si riduce così a un solo comando.

Heretic trae vantaggio da una GPU più potente di quelle domestiche. Gli utenti però non devono eseguire il processo a casa, così come nel 2002 non dovevano violare personalmente il software. Come nell’era warez, appassionati solitamente non commerciali dotati dell’hardware o disposti a spendere token effettuano il jailbreak e diffondono il modello.

Nel mirino

Quando un’azione digitale «discutibile» smette improvvisamente di essere difficile, spesso è per un salto di capacità avvenuto dall’oggi al domani — come Napster o PopCornTime — che aumenta sia l’attività sia l’interesse «ufficiale» a limitarla.

Insieme alla crescente popolarità e facilità d’uso di piattaforme come Ollama, Heretic sta rendendo i modelli decensurati accessibili agli utenti non tecnici, anche se non esiste ancora un metodo davvero infallibile.

Si torna quindi alla domanda se l’attività costituisca un «problema». Un nuovo articolo su arXiv suggerisce, sulla base dei recenti arretramenti nelle libertà tecnologiche dei consumatori, che la decensurazione riceverà maggiore attenzione e provocherà più leggi proibitive nel mondo.

Il nuovo articolo, un rapporto di 10a Labs, descrive negativamente il movimento e presenta la consueta minoranza di casi di abuso che, secondo la storia e le tendenze attuali, porterà a limitazioni.

Lo studio segue ciò che accade dopo il rilascio e la ridistribuzione dei modelli decensurati e individua 1.643 applicazioni GitHub che integrano, raccomandano o usano per impostazione predefinita modelli senza censura.

Si va da chatbot generici e strumenti documentali a giochi di ruolo NSFW, narrazione e servizi espliciti, fino a strumenti di hacking, sicurezza offensiva, frode e generatori di malware. Lo studio classifica il 25% dei rilasci come «esplicitamente dannoso».

Il 37% era costituito da chatbot generici senza censura; sicurezza informatica ed elaborazione dei documenti rappresentavano ciascuna il 16%. Le categorie minori comprendevano assistenti vocali, giochi di ruolo NSFW, scrittura creativa, programmazione e altri usi. Circa il 25% delle applicazioni poteva essere definito esplicitamente dannoso.

Le nuove restrizioni britanniche all’accesso web e il progetto, ora sospeso, di limitare anche le VPN che le aggirano; il requisito californiano dal 2027 affinché la maggior parte dei sistemi operativi raccolga la fascia d’età degli utenti; il sistema UE di verifica dell’età per i contenuti per adulti; e il divieto australiano di account social per i minori di sedici anni delineano tutti lo stesso schema: maggiore attenzione porta a maggiore supervisione, regolamentazione e forse a divieti selettivi o totali.

Qui non potrebbe accadere

Invece potrebbe accadere, in parte per l’elevata percentuale di uso dannoso stimata dagli autori e forse perché i controlli imporrebbero altre restrizioni alla crescita dell’IA eseguita localmente. Governi e istituzioni potrebbero considerarla una minaccia, soprattutto quando i modelli sono liberati dai vincoli.

Descrivendo la decensurazione come qualcosa che «facilita» contenuti NSFW e hacking malevolo, si può creare una falsa alternativa: poiché può essere usata male, deve essere regolamentata. In pratica, dati gli innumerevoli usi, non sembra esistere un metodo realistico di regolamentazione diverso dal divieto totale.

Se decensurare un LLM può, per esempio, permettere di generare narrativa su abusi sessuali di minori, una normativa restrittiva diventa politicamente facile: chi vi si oppone può essere implicitamente dipinto come sostenitore degli usi nefandi invece che di quelli ragionevoli.

Ciò ignora che un modello perfezionato o modificato con LoRA può produrre molto più efficacemente qualsiasi dominio imposto dall’utente, perché i pesi di base vengono orientati verso il compito fino a neutralizzare comunque ogni protezione appresa.

Tutto dipende dalla facilità

La facilità d’uso innesca l’adozione su larga scala, che a sua volta spinge i governi a legiferare sotto la pressione di gruppi pubblici, lobby industriali o altri governi.

Fine-tuning e LoRA possono quasi certamente ottenere risultati più mirati del semplice sblocco di un modello di base libero, ma richiedono disciplina e lavoro.

Quando eseguire localmente un modello decensurato e quantizzato richiederà davvero pochi clic — probabilmente scaricando un modello già «liberato» invece di modificarlo personalmente con Heretic — l’attività uscirà dalla nicchia tecnica ed entrerà nel dibattito pubblico, dove gli abusi diventeranno terreno di scontro politico.

Quest’estate NVIDIA ha guidato un gruppo di grandi partner tecnologici nel tentativo di prevenire restrizioni governative sui modelli open source con una lettera aperta, ribadendo che gli abusi di una minoranza non dovrebbero compromettere il possibile beneficio generale di una tecnologia. Negli ultimi anni, tuttavia, questa posizione è diventata impopolare.

* Viene spesso messa in dubbio la sincerità con cui i creatori dichiarano di voler limitare le attività degli utenti; i guardrail vengono persino liquidati come «teatro».