Jak długo jeszcze do prawdziwej rozprawy z odcenzurowywaniem modeli AI?

Jeśli jesteś na tyle dorosły, by pamiętać scenę warezową z lat 1995–2010, kiedy ogromne zbiory złamanego oprogramowania i zgrywanych filmów (kupowanych hurtowo na ulicy lub gromadzonych przez amatorów-piratów, gdy szybki internet szerokopasmowy umożliwił pobieranie dużych plików i całych pakietów danych) zapełniały liczne, pękające w szwach kolekcje płyt DVD, rozwijająca się scena „odcenzurowanych” modeli AI o otwartym kodzie źródłowym może wydawać się niektórym znajoma.

Ze „złotej ery” nieformalnego handlu oprogramowaniem i filmami na ulicy. Autor zdjęcia – Shankar.s. „Pirackie DVD na targu ulicznym PP” – Źródło / Licencja

W tamtych czasach, zanim wypożyczanie oprogramowania stało się powszechnym modelem konsumenckim, niewielka, lecz elitarna grupa entuzjastów oprogramowania ze „sceny” zaczęła łamać zabezpieczenia aplikacji, które następnie trafiały do sieciowych grup dyskusyjnych z warezami, a później do grup torrentowych. Ograniczenia te mogły być uciążliwe albo łatwe do obejścia, ale po upublicznieniu obejścia zwykle stawały się nieodwracalne.

To samo dzieje się obecnie z dużymi modelami językowymi (LLM) o otwartym kodzie źródłowym: ich wyuczone filtry bezpieczeństwa są rutynowo usuwane na dużą skalę. Ostatecznie takie odcenzurowane modele są udostępniane w tylu miejscach, że nawet zamknięcie pierwotnego źródła „cracka” nie wpływa na ich dostępność.

Dobroczyńca czy szkodnik

Pytanie brzmi: jak chcesz postrzegać te działania? W przeciwieństwie do sceny warezowej nikt nie jest tu pozbawiany dochodów w tak bezpośredni sposób, jak można argumentować, że działo się to w przypadku mniejszych producentów oprogramowania 20–30 lat temu.

Oczywiście w takich przypadkach* często dochodzi do naruszenia warunków oryginalnej licencji; jednak w przeciwieństwie do udostępniania części wag przez producentów modeli generatywnej AI, takich jak Black Forest Labs, pierwotni dystrybutorzy nie traktują wersji „niższej jakości” jako zachęty do zakupu bardziej zaawansowanych modeli dostępnych wyłącznie przez API — udostępniają pełne modele.

W większości przypadków niemal nikt nie może uruchomić tych początkowych wersji lokalnie, ponieważ mają po prostu zbyt wiele parametrów, by poradziły sobie z nimi nawet dobrze wyposażone karty graficzne o pojemności pamięci VRAM wynoszącej 16–24 GB.

Dlatego początkowe wersje szybko przekształca się w odchudzone warianty, które można uruchamiać na sprzęcie konsumenckim, stosując kwantyzację modeli i konwertując wagi do lżejszych formatów, takich jak GGUF, AWQ, PTQ, EXL2 czy opracowany z myślą o urządzeniach Apple MLX.

Choć modele te nie dorównują wydajnością oryginalnym, pełnowymiarowym wersjom (które zwykle są następnie udostępniane komercyjnie za pośrednictwem różnych farm GPU), przynajmniej pozostają pod kontrolą użytkownika i można je dostosować do jego konkretnych potrzeb w sposób niemożliwy w przypadku „lepszego” modelu.

Dostosuj do własnych potrzeb

Niektóre z tych modyfikacji są bez wątpienia uzasadnione i zazwyczaj mieszczą się w zakresie licencji pierwotnego dystrybutora. Należy do nich dostrajanie, dzięki któremu wagi modelu można ukierunkować na konkretne zadanie lub dziedzinę wskazaną przez użytkownika. W takim przypadku, o ile pozwala na to miejsce na dysku, można nawet dostroić wiele instancji modelu o otwartym kodzie źródłowym do różnych zadań, tworząc zestaw wyspecjalizowanych, tradycyjnych narzędzi zamiast „szwajcarskiego scyzoryka”, jakim jest pełny model pierwotnego dystrybutora.

Można też łączyć modele o zgodnych ustawieniach, ale wytrenowane na różnych danych, albo dodawać do modelu nowe możliwości za pomocą lekkich filtrów LoRA, nie narażając się na osłabienie pierwotnych możliwości modelu bazowego przez dostrajanie.

Jednak modyfikacją, która najbardziej interesuje wielu użytkowników i którą łatwiej wprowadzić niż wszystkie opisane wyżej metody, jest usunięcie wspomnianych wcześniej filtrów bezpieczeństwa, czyli mechanizmów ochronnych.

Choć rzeczywiście pozwala to uzyskać modele generujące treści pornograficzne i pomagające w tworzeniu złośliwego oprogramowania, usuwa również ograniczenia, które wielu użytkowników uważa za nadmiernie restrykcyjne (i często zawodzące).

Jeden z wielu zabawnych przykładów odmowy udzielenia przez Llama-2-7b-chat odpowiedzi na uzasadnione pytania ze względów bezpieczeństwa; dostępny pod adresem źródłowym. Źródło

Heretic

W przypadku Heretic, oprogramowania, które ostatnio zrewolucjonizowało odcenzurowywanie modeli, można nawet ograniczyć skłonność modeli do tworzenia „kwiecistych” i rozwlekłych wypowiedzi.

Heretic zaczyna odcenzurowywać gpt-oss, choć trzeba przyznać, że działa tu na bardzo dobrze wyposażonej maszynie, która raczej nie znajdzie się w domu przeciętnego konsumenta — można ją jednak tanio wynająć przez internet na czas potrzebny do przeprowadzenia całego procesu. Źródło

Co ważniejsze, Heretic — który automatycznie wyszukuje abliterację eliminującą odmowy, a zarazem minimalizującą szkody dla pierwotnego działania modelu — sprowadza stosunkowo trudne zadanie odcenzurowywania do pojedynczego polecenia z punktu widzenia użytkownika końcowego.

Jak widać na powyższym zrzucie ekranu, Heretic zwykle korzysta na zastosowaniu wydajniejszego procesora graficznego, niż można znaleźć w domu przeciętnego użytkownika. Nie trzeba jednak uruchamiać go na własnym sprzęcie — tak samo jak w 2002 roku nie trzeba było osobiście łamać zabezpieczeń oprogramowania. Podobnie jak w czasach warezów, dostawcy z podziemnej sceny (zazwyczaj nieformalni, niekomercyjni entuzjaści) mający dostęp do takiego sprzętu lub gotowi przeznaczyć na ten problem trochę tokenów przeprowadzają jailbreak i udostępniają odcenzurowany model w tej społeczności.

Na celowniku

Gdy „wątpliwe” działanie w świecie cyfrowym przestaje być trudne, zwykle dzieje się tak wskutek nagłego, skokowego wzrostu możliwości (jak w przypadku Napstera czy PopCornTime), który gwałtownie zwiększa zarówno skalę samego działania, jak i poziom „oficjalnego” zainteresowania jego ograniczeniem.

W połączeniu z rosnącą popularnością i łatwością obsługi platform takich jak Ollama, Heretic zaczyna sprawiać, że dostęp do odcenzurowanych modeli staje się osiągalny dla osób bez wiedzy technicznej, choć wciąż nie ma metody całkowicie „odpornej na błędy użytkownika”.

I to prowadzi mnie z powrotem do wcześniejszego pytania: czy takie działania stanowią „problem”. Artykuł opublikowany wczoraj w Arxiv wskazuje mi, w świetle bardzo niedawnych tendencji do ograniczania swobód technologicznych konsumentów i zaostrzania regulacji, że odcenzurowywanie prawdopodobnie przyciągnie coraz większą uwagę, co doprowadzi do kolejnych przypadków wprowadzania restrykcyjnych przepisów na całym świecie.

Nowy artykuł, raport 10a Labs, przedstawia ruch na rzecz odcenzurowywania w negatywnym świetle i przytacza typową dla mniejszości grupę przypadków nadużyć, które — jak uczy historia i zapowiadają obecne trendy — doprowadzą do ograniczeń.

Badanie prześledziło, co dzieje się po udostępnieniu i dalszym rozpowszechnieniu odcenzurowanych modeli, oraz zidentyfikowało 1643 aplikacje w serwisie GitHub, które integrują modele bez cenzury, polecają je lub domyślnie z nich korzystają.

Wśród omawianych modeli są zarówno chatboty ogólnego przeznaczenia i narzędzia do przetwarzania dokumentów, jak i rozwiązania do odgrywania ról i opowiadania historii z treściami dla dorosłych, usługi udostępniające treści jawnie erotyczne, narzędzia hakerskie i z zakresu bezpieczeństwa ofensywnego, a także aplikacje służące do oszustw oraz generatory złośliwego oprogramowania. W badaniu 25% udostępnionych modeli zaklasyfikowano jako „jawnie złośliwe”:

Przegląd zastosowań nieocenzurowanych modeli AI po ich udostępnieniu. Badanie prześledziło 1643 aplikacje w serwisie GitHub, które integrują modele pozbawione ograniczeń bezpieczeństwa, polecają je lub domyślnie z nich korzystają. Ustalono, że 37% stanowiły nieocenzurowane chatboty ogólnego przeznaczenia, a narzędzia z zakresu cyberbezpieczeństwa i przetwarzania dokumentów odpowiadały po 16%. Pozostałe, mniej liczne kategorie obejmowały asystentów głosowych, odgrywanie ról z treściami dla dorosłych, kreatywne pisanie, programowanie i inne zastosowania. W artykule stwierdzono, że około 25% zidentyfikowanych aplikacji można zaklasyfikować jako „jawnie złośliwe”. Źródło

W świetle wprowadzonych niedawno ograniczeń dostępu do internetu w Wielkiej Brytanii (oraz jej obecnie zawieszonego zamiaru ograniczenia także dostępu do VPN, który pozwala je omijać), kalifornijskiego wymogu, który od 2027 roku zobowiąże większość systemów operacyjnych do gromadzenia informacji o przedziałach wiekowych użytkowników i udostępniania ich aplikacjom, unijnego systemu weryfikacji wieku przy dostępie do internetowych treści dla dorosłych oraz zakazu obowiązującego w Australii, który zabrania osobom poniżej 16. roku życia posiadania kont w mediach społecznościowych, nowy artykuł zdaje się potwierdzać pewien schemat: wzrost zainteresowania ostatecznie prowadzi do zaostrzenia nadzoru i regulacji, a być może także do selektywnych lub całkowitych zakazów.

To nie mogłoby się wydarzyć u nas

Nie, to zdecydowanie może się wydarzyć także u nas — częściowo ze względu na wysoki odsetek szkodliwych zastosowań, oszacowany przez autorów nowego badania, a także, można argumentować, dlatego, że wprowadzenie kontroli dodatkowo ograniczyłoby rosnący trend uruchamiania AI lokalnie, który może być postrzegany przez rządy i instytucje jako zagrożenie — zwłaszcza gdy modele zostają uwolnione z ograniczeń.

Przedstawiając działania polegające na odcenzurowywaniu modeli jako „ułatwianie” generowania treści NSFW i złośliwego hakowania, można fałszywie sprowadzić tę kwestię do wyboru zero-jedynkowego: skoro można to wykorzystać do złych celów, należy objąć to regulacjami. W praktyce nie wydaje się, by dało się w jakikolwiek sposób uregulować taką funkcjonalność w ogóle inaczej niż przez całkowity zakaz, ponieważ możliwych zastosowań jest bardzo wiele.

Ponadto w przypadkach, gdy odcenzurowanie LLM mogłoby pozwolić modelowi generować na przykład fikcyjne treści CSAM, restrykcyjne regulacje wydawałyby się oczywistym rozwiązaniem, ponieważ każdego, kto by im się sprzeciwiał, można by pośrednio przedstawić jako osobę „popierającą” niegodziwe zastosowania odcenzurowanego modelu, a nie jego uzasadnione zastosowania.

Pomija to jednak fakt, że model dostrojony lub zmodyfikowany za pomocą LoRA może znacznie skuteczniej generować treści w dowolnej konkretnej dziedzinie, którą użytkownik zechce narzucić, ponieważ jego wagi bazowe ulegają takiemu zniekształceniu pod kątem danego zadania, że i tak całkowicie podważają wszelkie zabezpieczenia wbudowane podczas trenowania.

Łatwość obsługi ma znaczenie

To właśnie łatwość obsługi napędza upowszechnianie na dużą skalę, a ono z kolei wywiera na rządy presję, by uchwalały przepisy — czy to pod wpływem grup nacisku, lobbystów branżowych, czy presji międzyrządowej.

Choć dostrajanie i LoRA niemal na pewno pozwalają uzyskać lepiej ukierunkowane rezultaty niż samo odblokowanie bazowego modelu FOSS, zastosowanie tych metod wymaga pewnej dozy dyscypliny i wysiłku.

Gdy uruchamianie lokalnie odcenzurowanego i skwantyzowanego modelu stanie się naprawdę kwestią kilku kliknięć — ponieważ użytkownicy niemal na pewno będą pobierać model „wstępnie odblokowany”, zamiast samodzielnie łamać jego zabezpieczenia za pomocą Heretic — działanie to wyjdzie z niszy pasjonatów technologii i trafi do powszechnej świadomości, a związane z nim nadużycia prawdopodobnie staną się przedmiotem politycznych rozgrywek.

Tego lata NVIDIA stanęła na czele grupy wpływowych partnerów technologicznych, by uprzedzić rządowe ograniczenia dotyczące modeli open source. Wystosowali list otwarty, w którym ponownie argumentują, że nadużycia popełniane przez niewielką część użytkowników nie powinny zagrażać technologii mogącej przynieść powszechne korzyści. W ostatnich latach takie stanowisko nie cieszyło się jednak popularnością.

* Często podaje się w wątpliwość szczerość deklarowanej przez twórców modeli chęci ograniczania aktywności użytkowników, a zabezpieczenia mające stanowić barierę ochronną bywają nawet uznawane za „teatr”.