AIモデルのデセンシングに対する本格的な取り締まりはどれくらい先になるのか？

1995年から2010年頃のウェアズシーンを覚えているほど年齢がある方は、膨大なクラックソフトやリッピングされた映画（街頭で卸売りで購入されたものや、高速ブロードバンドが普及し大量・大容量ダウンロードが可能になったことでカジュアルな海賊たちが集めたもの）が、何本もの重くなったDVDコレクションに蓄積されていた時代を思い出すでしょう。そのような中で登場した「デセンシング」されたオープンソースAIモデルのシーンは、いくつかの懐かしい要素を思い起こさせるかもしれません。

From the ‘golden age’ of casual street trade in software and movies. Credit – Shankar.s. ‘Pirated DVDs at PP street market’ – Source / License

当時、ソフトウェアのレンタルが一般的な消費者モデルになる前は、‘シーン’のソフトウェア愛好家の小規模ながらエリート集団がアプリケーションのクラックに取り組み、クラックされたものは‘warez’ニュースグループ、そして後にはトレントグループへと流布されました。これらの制限は手間がかかるものから簡単に破れるものまで様々でしたが、一度野放しにされるとその痕跡はほとんど消えませんでした。

現在、オープンソースの大規模言語モデル（LLM）でも同様のことが起きており、訓練時に組み込まれた安全フィルタが大規模に除去されているため、これらのデセンシングされたモデルは多数の場所で共有され、たとえ‘クラック’の上流ソースを遮断してもモデルの入手可能性にほとんど影響がありません。

恩人か悪党か

問題は、これらの活動をどのような視点で捉えるかです。ウェアズシーンとは異なり、20〜30年前の小規模ソフトウェアメーカーが受けていたような明確な収入の剥奪は起きていません。

確かに、元のライセンス条件が違反されるケースは多くあります*；しかし、Black Forest Labs のような生成AIモデル提供者が部分的なウェイトリリースを行うのとは異なり、元の配布者は「低品質」バージョンをより高度な API 専用モデルへのアップセル手段として扱っているわけではなく、フルモデルをそのまま公開しています。

ほとんどの場合、これらの初期リリースはローカルで実行できる人がほとんどいません。なぜなら、16〜24GB の VRAM を搭載した高性能 GPU でも対応しきれないほどパラメータ数が膨大だからです。

そのため、初期リリースはすぐにモデル量子化などを用いて、消費者向けハードウェアでも動作可能なスリム版へと変換されます。具体的には、GGUF、AWQ、PTQ、EXL2、あるいは Apple 向けの MLX などの軽量化イテレーションへとウェイトが変換されます。

これらは元のフルモデルほど性能は高くありません（通常はさまざまな GPU ファームから商用提供されます）が、少なくともユーザーの管理下にあり、‘より優れた’モデルでは実現できない特定ユーザー向けのカスタマイズが可能です。

好きなように使う

これらの方法のいくつかは明らかに正当で、通常は上流のライセンス範囲内に収まります。たとえばファインチューニングにより、モデルのウェイトをユーザーが指定した特定のタスクやドメインに特化させることができます。その場合、ハードディスク容量が許す限り、オープンソースモデルの複数インスタンスをさまざまなタスク向けにファインチューニングでき、専用ツールの集合のように使えるのです――上流のフルウェイトモデルが‘スイスアーミーナイフ’であるのとは対照的です。

さらに、設定が互換性のあるが訓練データが異なるモデル同士を統合したり、軽量な LoRA フィルタを適用して追加機能を重ね合わせることができます。これにより、ファインチューニングによってベースモデルの元々の能力を損なうリスクなく、機能を拡張できます。

しかし、多くのユーザーが最も関心を持つ変更は、上記の安全フィルタやガードレールを除去することです。

確かに、これによりポルノコンテンツやマルウェア作成を出力するモデルが生まれる可能性はありますが、同時に多くのユーザーが『過度に制限的で（しばしばエラーが多い）』と感じる安全制限の集合を取り除くことにもなります。

One of many hilarious examples of Llama-2-7b-chat refusing reasonable requests on safety grounds, available at the source URL. Source

ヘレティック

最近モデルのデセンシングに革命をもたらしたソフトウェア『Heretic』の場合、モデルが好む『華美な』冗長な文章レベルさえも低減することが可能です。

Heretic gets to work on decensoring gpt-oss, though admittedly on a very well-specced machine that’s unlikely to grace the average consumer’s home – though it could be rented cheaply online, for the necessary duration of the process. Source

さらに重要なのは、Heretic が拒否を抑制する abliteration（削除）を自動で探索しつつ、モデルの元の挙動への影響を最小限に抑えることで、エンドユーザーにとって比較的難しいデセンシング作業をたった一つのコマンドにまで簡素化してくれる点です。

上記のスクリーンショットから分かるように、Heretic は一般家庭にあるようなGPUよりも高性能なGPUを必要としますが、ユーザーは自宅のハードウェアで実行する必要はありません。2002 年にソフトウェアをクラックした当時と同様に、上流のシーン提供者（カジュアルで通常は非商用の愛好家）がそのようなハードウェアにアクセスでき、あるいはトークンを費やす意欲があれば、ジャイルブレイクを行い、デセンシングされたモデルをシーンに公開します。

標的にされたとき

‘疑わしい’デジタル行為が容易になるとき、それは通常、ナップスターやPopCornTime のように一晩で能力が飛躍的に向上することで、行為自体とそれを抑制しようとする‘公式’の関心が同時に急拡大します。

Ollama などのプラットフォームの普及と使いやすさが高まると、Heretic は非技術的ユーザーでもデセンシングされたモデルにアクセスできるようになりつつありますが、完全に‘バカでも使える’方法はまだ実現していません。

そこで、私の先の質問に戻りますが、これらの活動が‘問題’に該当するかどうかです。昨日 Arxiv に掲載された論文は、技術消費者の自由に対する最近の抑制傾向と相まって、デセンシングが注目を集め、世界各地で規制的な立法が増える可能性が高いことを示唆しています。

新しい論文は、デセンシング運動を否定的に捉え、歴史が示すように（例：歴史的事例）と、現在の傾向が予測するように、規制につながる可能性がある少数の濫用事例を提示しています。

本研究はデセンシングされたモデルがリリース・再配布された後に何が起こるかを追跡し、1,643 件の GitHub アプリケーションがデセンシングされたモデルを組み込む、推奨する、またはデフォルトで使用していることを特定しました。

対象となるモデルは、汎用チャットボットや文書処理ツールから、NSFW ロールプレイやストーリーテリング、露骨なコンテンツサービス、ハッキング・攻撃的セキュリティツール、詐欺アプリやマルウェア生成器まで多岐にわたり、調査ではリリースの 25% が‘明らかに悪意的’と分類されています。

Breakdown of how uncensored AI models are being used after release. The study traced 1,643 GitHub applications that integrate, recommend or default to models whose safety restrictions have been removed, finding that 37% were general-purpose uncensored chatbots, while cybersecurity and document-processing tools each accounted for 16%, alongside smaller categories spanning voice assistants, NSFW roleplay, creative writing, coding and other uses. The paper found that around 25% of the applications identified could be classified as ‘explicitly malicious’. Source

英国が最近導入したウェブアクセス制限（そして現在一時停止中の VPN アクセス制限）や、カリフォルニア州の 2027 年の要件でほとんどの OS がユーザーの年齢層を収集しアプリに提供すること、EU の成人向けオンラインコンテンツへの年齢確認スキーム、オーストラリアの 16 歳未満のソーシャルメディアアカウント禁止などの文脈で、新しい論文は注目が高まると監視・規制が強化され、場合によっては選択的または全面的な禁止につながるというパターンに合致しているようです。

ここで起こり得ないわけではない

いいえ、ここでも確実に起こり得ます。新しい研究の著者が推定するように悪意ある利用の割合が高いこと、そして、ローカルで実行される AI の増加傾向に対して規制が追加的な制限を課すことで、政府や機関が脅威とみなす可能性があるからです。特にモデルが制約から解放されるほど、その懸念は増します。

デセンシング活動を NSFW 出力や悪意あるハッキングを‘促進’するものと位置付けることで、デセンシングは二元的に悪と見なされ、悪用できるので規制に服すべきだという主張が可能になります。実務上、こうした機能を規制する現実的な方法はほとんどなく、全面的に禁止する以外に手段がありません。

さらに、デセンシングされた LLM が例えば児童性的虐待素材（CSAM）に関するフィクションを生成できるようになるケースでは、規制は自明な正当化となります。反対側に立つ者は、デセンシングされたモデルの悪用を支持していると暗黙のうちに見なされ、合理的な利用が正当に評価されにくくなります。

しかし、ファインチューニングや LoRA によって影響を受けたモデルは、ユーザーが望む特定の領域の生成をはるかに効果的に行えることを無視できません。モデルのベースウェイトがタスクに極度に歪むことで、訓練時に組み込まれた保護機構さえも完全に無効化されてしまいます。

使いやすさがすべて

使いやすさ が大規模な採用を促し、大規模な採用が政府への立法圧力（市民団体、産業ロビー、あるいは政府間圧力）を引き起こします。

ファインチューニングや LoRA は、単にオープンソースの基盤モデルのロックを解除するだけよりも、はるかに目的に合った結果を得られる可能性が高いですが、これらの手法には一定のdiscipline と労力が必要です。

デセンシング/量子化されたモデルをローカルで実行できるようになると、ほぼ確実に『事前に解放された』モデルをダウンロードするだけで済むようになり、ユーザーが自ら Heretic でクラックする必要はなくなります。こうして活動はギーク層の隠れた領域から公共領域へと移行し、その濫用は政治的な争点になる可能性が高まります。

今夏、NVIDIA は重鎮テックパートナーとともに、オープンソースモデルに対する政府規制を先取りする形で、オープンレターを発表しました。その中で、技術の少数派による濫用がその技術を一般的な利益として危うくすべきではない、と再び主張しています。しかし、近年この立場はあまり支持されていません。

*モデル制作者がユーザーの活動を制限したいという公言が本当に誠実かどうかは頻繁に疑問視されており、ガードレール保護さえも‘演劇’として片付けられることさえあります。