Ile czasu minie, zanim władze naprawdę rozprawią się z usuwaniem zabezpieczeń modeli AI?

Jeśli pamiętasz scenę warez z lat mniej więcej 1995–2010, gdy ogromne kolekcje złamanego oprogramowania i skopiowanych filmów zapełniały stosy płyt DVD — kupowanych hurtowo na ulicy lub gromadzonych przez amatorskich piratów, kiedy szybkie łącza umożliwiły olbrzymie pobrania — rodząca się scena „odcenzurowanych” modeli AI o otwartym kodzie może brzmieć znajomo.

Z „epoki złota” nieformalnego ulicznego handlu oprogramowaniem i filmami. Autor zdjęcia: Shankar.s, „Pirated DVDs at PP street market”.

Zanim wynajem oprogramowania stał się powszechnym modelem konsumenckim, niewielka elitarna grupa pasjonatów łamała zabezpieczenia aplikacji i publikowała je w grupach warez, a później w sieciach torrent. Zabezpieczenia bywały trudne albo banalne do obejścia, lecz po wypuszczeniu złamanej wersji skutków zwykle nie dało się cofnąć.

To samo dzieje się dziś z otwartymi dużymi modelami językowymi. Ich wyuczone filtry bezpieczeństwa są rutynowo i masowo usuwane, po czym odcenzurowane modele trafiają do tak wielu miejsc, że zamknięcie pierwotnego źródła nie wpływa już na ich dostępność.

Dobroczyńca czy szkodnik?

Pytanie brzmi, jak oceniać te działania. W przeciwieństwie do sceny warez nikt nie jest równie bezpośrednio pozbawiany przychodów, jak mogło to dotyczyć małych producentów oprogramowania dwadzieścia lub trzydzieści lat temu.

W takich przypadkach często dochodzi do naruszenia pierwotnej licencji.* Jednak w odróżnieniu od częściowych wydań wag producentów takich jak Black Forest Labs pierwotni dystrybutorzy nie traktują „gorszej” wersji jako sposobu sprzedaży mocniejszego modelu dostępnego tylko przez API; udostępniają cały model.

Prawie nikt nie może uruchomić pierwszych wydań lokalnie, ponieważ mają zbyt wiele parametrów nawet dla dobrze wyposażonych kart GPU z 16–24 GB pamięci VRAM.

Dlatego wydania są szybko odchudzane przez kwantyzację i przekształcanie wag do lżejszych formatów, takich jak GGUF, AWQ, PTQ, EXL2 lub przeznaczony dla Apple MLX, aby działały na sprzęcie konsumenckim.

Nie dorównują wydajnością pełnym oryginałom, zwykle oferowanym komercyjnie z farm GPU, ale pozostają pod kontrolą użytkownika i mogą być personalizowane w sposób niedostępny w „lepszym” modelu.

Tak, jak chcesz

Niektóre modyfikacje są bezspornie legalne i zwykle mieszczą się w licencji, na przykład dostrajanie wag do zadania lub dziedziny dostarczonej przez użytkownika. Jeśli wystarcza miejsca, można dostroić kilka kopii otwartego modelu do różnych zadań, tworząc zestaw specjalistycznych narzędzi zamiast jednego pełnego „szwajcarskiego scyzoryka”.

Można też łączyć modele o zgodnych ustawieniach, lecz różnych danych treningowych, albo dodawać możliwości za pomocą lekkich filtrów LoRA bez ryzyka, że pełne dostrajanie podważy pierwotne zdolności modelu bazowego.

Zmianą, która interesuje wielu użytkowników najbardziej i stała się prostsza od powyższych metod, jest jednak usunięcie filtrów bezpieczeństwa, czyli barier ochronnych.

Może to umożliwić generowanie pornografii lub pomoc w tworzeniu złośliwego oprogramowania, ale usuwa też ograniczenia, które wielu użytkowników uważa za przesadne i często błędne.

Jeden z wielu zabawnych przykładów, w których Llama-2-7b-chat odmawia rozsądnej prośbie ze względów bezpieczeństwa; przykład jest dostępny pod adresem źródłowym.

Heretic

Heretic, program, który ostatnio odmienił usuwanie zabezpieczeń modeli, pozwala nawet ograniczyć skłonność modeli do kwiecistej i rozwlekłej prozy.

Heretic usuwa zabezpieczenia gpt-oss na bardzo mocnej maszynie, której raczej nie znajdzie się w przeciętnym domu, ale którą można niedrogo wynająć online na czas procesu.

Program automatycznie szuka „abliteration”, która tłumi odmowy przy minimalnym uszkodzeniu pierwotnego zachowania. W efekcie stosunkowo trudne zadanie sprowadza się dla użytkownika do jednego polecenia.

Heretic korzysta z mocniejszego GPU niż typowy sprzęt domowy. Użytkownicy nie muszą jednak wykonywać pracy u siebie, podobnie jak w 2002 roku nie musieli osobiście łamać programów. Jak w epoce warez, zwykle niekomercyjni entuzjaści z dostępem do sprzętu lub gotowi wydać tokeny przeprowadzają jailbreak i rozpowszechniają model.

Na celowniku

Gdy „wątpliwe” działanie cyfrowe nagle przestaje być trudne, zwykle odpowiada za to skok możliwości z dnia na dzień — jak w przypadku Napstera lub PopCornTime — który zwiększa zarówno skalę działania, jak i „oficjalne” zainteresowanie jego ograniczeniem.

Wraz ze wzrostem popularności i łatwości użycia platform takich jak Ollama, Heretic przybliża odcenzurowane modele osobom bez wiedzy technicznej, choć nadal nie istnieje metoda całkowicie odporna na błędy.

Wracamy więc do pytania, czy działalność jest „problemem”. Nowa publikacja na arXiv sugeruje, w świetle niedawnego ograniczania swobód konsumentów technologii, że odcenzurowywanie będzie przyciągać uwagę i prowadzić do kolejnych zakazów na świecie.

Publikacja, raport 10a Labs, przedstawia ruch negatywnie i wskazuje zwyczajową mniejszość przypadków nadużyć, które — jak podpowiada historia i obecne trendy — doprowadzą do ograniczeń.

Badanie śledzi losy odcenzurowanych modeli po wydaniu i redystrybucji. Zidentyfikowano 1 643 aplikacje GitHub, które integrują, polecają lub domyślnie stosują niecenzurowane modele.

Obejmują one ogólne chatboty i narzędzia dokumentowe, odgrywanie ról NSFW, opowiadania i usługi z treściami dla dorosłych, a także hacking, bezpieczeństwo ofensywne, oszustwa i generatory malware. Badanie klasyfikuje 25% wydań jako „jawnie szkodliwe”.

Ogólne niecenzurowane chatboty stanowiły 37%, a cyberbezpieczeństwo i przetwarzanie dokumentów po 16%. Mniejsze kategorie obejmowały asystentów głosowych, role NSFW, twórcze pisanie, kodowanie i inne zastosowania. Około 25% aplikacji można było uznać za jawnie szkodliwe.

Nowe brytyjskie ograniczenia dostępu do sieci i wstrzymany obecnie zamiar ograniczenia omijających je VPN, kalifornijski wymóg od 2027 roku, aby większość systemów operacyjnych zbierała przedziały wieku użytkowników, unijna weryfikacja wieku dla treści dla dorosłych oraz australijski zakaz kont społecznościowych dla osób poniżej szesnastego roku życia wpisują się w jeden schemat: większa uwaga prowadzi do większego nadzoru, regulacji i możliwych zakazów częściowych lub całkowitych.

To nie mogłoby wydarzyć się tutaj

Przeciwnie — mogłoby, częściowo z powodu wysokiego odsetka szkodliwych zastosowań szacowanego przez autorów, a być może także dlatego, że kontrola ograniczyłaby rosnący trend uruchamiania AI lokalnie. Rządy i instytucje mogą postrzegać go jako zagrożenie, zwłaszcza po uwolnieniu modeli od ograniczeń.

Przedstawienie odcenzurowywania jako „ułatwienia” treści NSFW i złośliwego hackingu tworzy fałszywą alternatywę: skoro technologię można wykorzystać źle, musi być regulowana. W praktyce ogrom zastosowań sprawia, że nie widać realnego sposobu regulacji poza całkowitym zakazem.

Jeżeli usunięcie zabezpieczeń LLM może na przykład pozwolić na generowanie fikcyjnych materiałów o wykorzystywaniu seksualnym dzieci, restrykcyjna regulacja jest łatwa politycznie. Przeciwników można przedstawiać jako zwolenników szkodliwych, a nie rozsądnych zastosowań.

Pomija to fakt, że model dostrojony lub zmieniony przez LoRA może znacznie skuteczniej tworzyć dowolną wskazaną dziedzinę, ponieważ jego wagi bazowe zostają tak ukierunkowane na zadanie, że i tak całkowicie podważają wyuczone zabezpieczenia.

Wszystko sprowadza się do łatwości

Łatwość użycia uruchamia powszechną adopcję, a ta wywiera presję na rządy, by tworzyły prawo — ze strony grup społecznych, lobbystów branżowych lub innych państw.

Dostrajanie i LoRA niemal na pewno zapewniają lepiej ukierunkowane wyniki niż samo odblokowanie otwartego modelu bazowego, ale wymagają dyscypliny i wysiłku.

Gdy lokalne uruchomienie odcenzurowanego i skwantyzowanego modelu naprawdę sprowadzi się do kilku kliknięć — zapewne przez pobranie już „uwolnionej” wersji, a nie samodzielne użycie Heretic — działalność wyjdzie z technicznej niszy do przestrzeni publicznej, gdzie nadużycia staną się przedmiotem sporów politycznych.

Tego lata NVIDIA stanęła na czele grupy dużych partnerów technologicznych, która w liście otwartym próbowała uprzedzić rządowe ograniczenia otwartych modeli. List ponownie przekonywał, że nadużycia mniejszości nie powinny przekreślać możliwej korzyści ogólnej. W ostatnich latach stanowisko to stało się jednak niepopularne.

* Często kwestionuje się szczerość deklarowanej chęci twórców modeli do ograniczania aktywności użytkowników; bariery ochronne bywają nawet nazywane „teatrem”.