AIモデルの検閲解除に対する本格的な取り締まりは、いつ始まるのか？

1995年頃から2010年頃までのウェアーズ・シーンを覚えている人なら、検閲解除されたオープンソースAIモデルをめぐる新たな動きに、どこか懐かしさを感じるかもしれない。当時は、クラック済みソフトウェアやリッピングされた映画の膨大なコレクションが、複数のDVDコレクションをぎっしり埋め尽くしていた。そうした作品は、路上でまとめて仕入れられたか、高速ブロードバンドによって大容量ファイルの一括ダウンロードが可能になった後、趣味で海賊行為を行う人々によって集められたものだった。

ソフトウェアや映画が気軽に路上で売買されていた「黄金時代」より。クレジット：Shankar.s。「PPストリートマーケットの海賊版DVD」 — 出典／ライセンス

当時、ソフトウェアのレンタルが一般的な消費者向けモデルになる前は、「シーン」と呼ばれるソフトウェア愛好家の少数精鋭グループがアプリケーションをクラックし、それを「ウェアーズ」のニュースグループ、そして後にはトレントのグループで公開していた。こうした制限を破るのは、非常に困難な場合もあれば、容易な場合もあったが、いったん世に出れば、その突破の痕跡は通常消えることがなかった。

オープンソースの大規模言語モデル（LLM）でも、今まさに同じことが起きている。モデルに学習時から組み込まれた安全フィルターが、日常的に、しかも大規模に取り除かれている。その後、検閲解除されたモデルは非常に多くの場所で共有されるため、元となる「クラック」の配布元を閉鎖しても、モデルが入手できる状況は変わらない。

受益者か、それとも加害者か

問題は、こうした活動をどのような観点から見るかだ。ウェアーズ・シーンとは異なり、20〜30年前に小規模なソフトウェア開発者が被ったと考えられるほど、明確に収入を奪われている人はいない。

確かに、このようなケースでは、元のライセンス条項がしばしば破られている*。しかし、Black Forest Labsのような生成AIモデルの開発元が公開する一部の重みデータとは異なり、元の配布元は「低品質」版を、より高性能なAPI専用モデルへのアップセルの足がかりとして扱っているわけではない。モデル全体をそのまま公開している。

ほとんどの場合、初期リリース版はパラメーター数が多すぎるため、VRAMを16～24GB搭載した高性能GPUカードを備えていても、ローカルで実行できる人はほぼいない。

そのため、初期公開モデルはすぐに、モデルの量子化や、重みをGGUF、AWQ、PTQ、EXL2、あるいはApple向けのMLXといった軽量な形式に変換することで、一般消費者向けハードウェアで動作する縮小版へと変換される。

こうしたモデルは、オリジナルのフルサイズモデル（通常はさまざまなGPUファームから商用提供される）ほど高性能ではない。それでも、少なくともユーザー自身が管理でき、より優れたモデルにはできない方法で、そのユーザーに合わせてカスタマイズできる。

自分好みに使いこなす

こうしたカスタマイズの中には、明らかに正当で、通常は元のライセンスの範囲内で行えるものもある。たとえばファインチューニングを行えば、ユーザーがモデルに与えた特定のタスクや分野に、モデルの重みを特化させられる。この場合、ハードディスクの空き容量が許せば、オープンソースモデルの複数のインスタンスを、さまざまなタスク向けにファインチューニングすることもできる。元のフルウェイトモデルという「スイスアーミーナイフ」を使う代わりに、専用の従来型ツールをそろえるようなものだ。

さらに、設定に互換性があり、学習データが異なるモデル同士を統合することもできる。また、軽量なLoRAフィルターを使えば、ファインチューニングによって基盤モデル本来の能力を損なうリスクを冒すことなく、新たな能力をモデルに付加できる。

しかし、多くのユーザーが最も関心を寄せており、前述のどの方法よりも簡単になっている変更は、前述の安全フィルター、つまりガードレールを取り除くことだ。

確かに、こうすることで、ポルノコンテンツやマルウェア開発に関する出力を行うモデルが可能になる。一方で、多くのユーザーが過度に制限的だと認識している、しばしば誤作動する一連の制約も取り除かれる。

安全上の理由から妥当な依頼を拒否するLlama-2-7b-chatの、笑ってしまうような事例の一つ。出典URLで確認できる。 出典

Heretic

Hereticの場合、最近モデルの検閲解除に革命をもたらしたこのソフトウェアでは、モデルが好みがちな「華美な表現」や冗長な文章の度合いを低くすることもできる。

Hereticはgpt-ossの検閲解除に取り組みます。ただし、平均的な消費者の家庭にはまずないような高性能マシンが必要です。とはいえ、処理に必要な期間だけなら、オンラインで安価にレンタルできます。 出典

さらに重要なのは、Hereticを使えば、エンドユーザーの立場から見ると、比較的難しい検閲解除の作業が、たった1つのコマンドで済むことです。Hereticは、モデル本来の振る舞いへの損傷を最小限に抑えながら、拒否反応を抑制するアブリテレーションを自動で探索します。

上のスクリーンショットから分かるように、Hereticを使うには、一般家庭にあるとは考えにくい高性能なGPUが望ましいでしょう。しかし、2002年にソフトウェアを自分でクラックする必要がなかったのと同じく、ユーザーが自宅のハードウェアで実行する必要はありません。ワレズの時代と同様に、そうしたハードウェアを持つ、あるいはこの作業に多少のトークンを費やす意欲のある、上流のシーン提供者（気軽に活動する、通常は非営利の愛好家）がジェイルブレイクを行い、検閲解除済みのモデルをシーンに公開します。

標的にされる

「問題のある」デジタル上の行為が簡単にできるようになるのは、たいてい、能力が一夜にして飛躍的に向上したときです（NapsterやPopCornTimeを思い浮かべてください）。そうなると、その行為自体の規模と、それを抑え込もうとする「公式」側の関心が、どちらも一気に高まります。

Ollamaのようなプラットフォームの人気が高まり、使いやすくなるにつれて、Hereticは検閲解除済みモデルへのアクセスを、技術に詳しくないユーザーにも届くものにしつつあります。まだ本当に「誰でも間違いなく使える」方法が登場したわけではありませんが。

そこで、これが「問題」に当たるのかどうかという、先ほどの問いに戻ります。昨日arXivで目にした論文は、テクノロジーを使う消費者の自由が後退し、取り締まりが強化される最近の動向を踏まえると、検閲解除への注目がさらに高まり、世界各地で禁止的な法律が制定される事例も増える可能性が高いことを示唆しています。

この新しい論文は10a Labsによる報告書で、検閲解除の動きを否定的に描き、悪用事例をお決まりのように少数挙げています。歴史が示すところでは、そして現在の動向が予測するところでは、そうした事例が規制につながることになります。

この研究は、検閲解除済みモデルが公開され、再配布された後に何が起きるかを追跡し、検閲のないモデルを統合、推奨、またはデフォルトで採用するGitHubアプリケーションを1,643件特定しました。

対象となったモデルは、汎用チャットボットや文書処理ツールから、NSFWのロールプレイやストーリーテリング、露骨なコンテンツを扱うサービス、ハッキングや攻撃的セキュリティのツール、詐欺アプリケーションやマルウェア生成ツールまで多岐にわたります。研究によると、公開されたモデルの25%は「明らかに悪意のあるもの」に分類されました。

検閲のないAIモデルが公開後にどのように利用されているかの内訳。研究では、安全制限を取り除いたモデルを統合、推奨、またはデフォルトで採用するGitHubアプリケーションを1,643件追跡しました。その結果、37%が汎用の検閲なしチャットボットで、サイバーセキュリティツールと文書処理ツールがそれぞれ16%を占めました。そのほか、音声アシスタント、NSFWのロールプレイ、創作、コーディングなど、より小規模な分類も含まれます。この論文では、特定されたアプリケーションの約25%が「明らかに悪意のあるもの」に分類される可能性があるとしています。 出典

英国で最近導入された制限によりウェブへのアクセスが規制されていること（また、制限を回避するVPNへのアクセスも規制しようとする意図が現在は一時停止されていること）、カリフォルニア州が2027年から大半のオペレーティングシステムに対し、ユーザーの年齢層を収集してアプリケーションに提供するよう義務付けること、成人向けオンラインコンテンツへのアクセスに年齢確認を求めるEUの制度、そして16歳未満のソーシャルメディアアカウントを禁じるオーストラリアの禁止措置を踏まえると、この新しい論文は、注目の高まりが最終的に監視や規制の強化、さらには一部または全面的な禁止につながるというパターンに当てはまるようです。

ここで起きないとは言えない

いいえ、ここでも確実に起こり得ます。その理由の一部は、新しい研究の著者らが推定したように、悪意のある利用の割合が高いことです。また、こうした規制は、ローカル環境でAIを動かす拡大傾向にさらなる制約を課すことになり、政府や機関から脅威と受け止められる可能性があることも理由として挙げられるでしょう。モデルの手綱が解かれている場合は、なおさらです。

検閲解除の活動を、NSFWコンテンツの生成や悪意あるハッキングを「助長する」ものとして位置づけることで、検閲解除を誤った二者択一の問題として提示できてしまう。つまり、悪事に使えるのだから規制されるべきだ、というわけだ。実際には、考えられる用途が非常に多いため、この機能を全面禁止する以外に、まったく現実的な方法で規制する手段はないように思われる。

また、LLMの検閲を解除すると、モデルが（たとえば）CSAMを題材にしたフィクションを生成できるようになるケースでは、規制強化は文句のつけようがない案に見えるだろう。反対する人は、妥当な用途ではなく、検閲を解除したモデルの悪質な用途を「支持している」と暗に描かれかねないからだ。

これは、ファインチューニングやLoRAの適用によって、ユーザーが望む特定の分野に特化したモデルをはるかに効果的に作れるという事実を見落としている。そうした作業によってモデルの基本重みが特定のタスクに大きく偏り、学習時に組み込まれた保護機能がいずれにせよ完全に損なわれるほどになるためだ。

使いやすさをめぐって

大規模な普及を引き起こすのは使いやすさであり、その普及が政府に立法を求める圧力を生む。圧力の出どころは、世論団体や業界ロビイスト、あるいは政府間の圧力だ。

ファインチューニングやLoRAを使えば、FOSSの基盤モデルのロックを解除するだけの場合よりも、ほぼ間違いなく、より狙いを絞った結果を得られる。しかし、こうした手法を実行するには、ある程度の規律と労力が必要だ。

検閲解除済みの量子化モデルをローカルで動かすのが、ほんの数クリックでできるようになれば（ユーザーはほぼ間違いなく、自分でHereticを使って解析するのではなく、「あらかじめ検閲解除された」モデルをダウンロードするだろう）、この行為は一部の技術愛好家だけが知る世界を抜け出し、広く知られるようになる。そうなれば、その悪用が政治的な争点になる可能性が高い。

この夏、NVIDIAは大手テック企業のパートナー各社を率い、オープンソースモデルに対する政府の規制に先手を打つため、公開書簡を発表した。書簡は、一部の人による技術の悪用によって、広く利益をもたらす可能性まで損なわれるべきではないと、改めて主張している。しかし、近年この見解は支持を得られていない。

*モデルの開発者が、ユーザーの活動を制限したいという公言している意向を本当に持っているのか、しばしば疑問視されている。安全策さえ「茶番」と切り捨てられることがある。