Quanto Tempo Até uma Repressão Real à Descensura de Modelos de IA?

Se você tem idade suficiente para se lembrar da cena warez de aproximadamente 1995–2010, quando imensas coleções de softwares pirateados e filmes copiados (comprados a granel nas ruas, ou montados por piratas casuais quando a banda larga de alta velocidade tornou downloads enormes e de alto volume viáveis) se acumulavam em várias coleções de DVDs estressados, a cena emergente de modelos de IA de código aberto “descensurados” pode soar familiar.

Da ‘era dourada’ do comércio de rua casual de softwares e filmes. Crédito – Shankar.s. ‘DVDs pirateados no mercado de rua PP’ – Source / License

Naquela época, antes que o aluguel de software se tornasse um modelo de consumo comum, um pequeno mas elitizado grupo de entusiastas de software da “cena” surgiu para quebrar aplicativos, que então eram lançados nos grupos de notícias “warez” e, posteriormente, em grupos de torrent. Essas restrições podiam ser onerosas ou triviais de violar, mas as violações geralmente eram indeléveis uma vez liberadas.

Isto é o que está acontecendo agora com os Modelos de Linguagem de Grande Porte (LLMs) de código aberto, que são rotineira e massivamente despojados de seus filtros de segurança incorporados, após o que esses modelos descensurados acabam sendo compartilhados em tantos lugares que até mesmo fechar a fonte original do “crack” não altera a disponibilidade dos modelos.

Benfeitor ou Malfeitor

A questão é: sob que perspectiva você deseja ver essas atividades? Diferente da cena warez, ninguém está sendo tão explicitamente privado de renda como os pequenos produtores de software provavelmente foram há 20–30 anos.

Com certeza, os termos da licença original são frequentemente violados, nesses casos*; porém, ao contrário dos lançamentos de pesos parciais de produtores de modelos genAI como a Black Forest Labs, os distribuidores originais não tratam versões “de qualidade inferior” como caminhos de upsell para modelos mais robustos apenas via API; eles estão liberando os modelos completos diretamente.

Na maioria dos casos, quase ninguém consegue executar esses lançamentos iniciais localmente, porque eles são simplesmente grandes demais em parâmetros, mesmo para placas de GPU bem equipadas com 16–24 GB de VRAM.

Assim, os lançamentos iniciais são rapidamente convertidos em versões reduzidas capazes de rodar em hardware de consumo, via quantização de modelo, e a conversão de pesos para iterações mais leves como GGUF, AWQ, PTQ, EXL2 ou o MLX centrado na Apple.

Embora não sejam tão performáticos quanto os modelos originais completos (que geralmente acabam sendo oferecidos comercialmente por diversas fazendas de GPUs), eles estão, ao menos, sob o controle do usuário e podem ser customizados para esse usuário específico de maneiras que o modelo “melhor” não pode.

Tenha do Seu Jeito

Algumas dessas abordagens são claramente legítimas e geralmente estão dentro do escopo da licença original, como o ajuste fino, de modo que os pesos do modelo são direcionados especificamente para uma tarefa ou domínio alvo que o usuário inseriu nele. Nesse caso, se houver espaço suficiente em disco, pode‑se até ajustar finamente múltiplas instâncias de um modelo de código aberto para uma variedade de tarefas, como um conjunto de ferramentas dedicadas e tradicionais – em vez da “canivete suíço” de um modelo original de peso completo.

Além disso, modelos com configurações compatíveis, mas dados de treinamento diferentes, podem ser mesclados; ou ainda, capacidades extras podem ser sobrepostas a um modelo via filtros LoRA leves, sem arriscar comprometer as capacidades originais do modelo base através do ajuste fino.

No entanto, a modificação que mais interessa a muitos usuários, e que se tornou mais fácil que qualquer um dos métodos acima, é a remoção dos filtros de segurança mencionados, ou das barreiras de proteção.

Embora isso, admitidamente, permita modelos que gerarão conteúdo pornográfico e desenvolvimento de malware, também elimina o que muitos usuários percebem como um conjunto excessivamente restritivo (e frequentemente propenso a erros) de restrições.

Um dos muitos exemplos hilários do Llama-2-7b-chat recusando solicitações razoáveis por motivos de segurança, disponível na URL de origem. Source

Herético

No caso do Herético, o software que recentemente revolucionou a descensura de modelos, é até possível reduzir o nível de linguagem “pomposa” e prosa verbosa que os modelos tendem a produzir.

Herético começa a trabalhar na descensura do gpt-oss, embora, admitidamente, em uma máquina muito bem especificada que dificilmente estará na casa do consumidor médio – embora possa ser alugada barato online, pelo tempo necessário ao processo. Source

Mais importante, o Herético – que busca automaticamente uma ablação que suprime recusas, ao mesmo tempo que minimiza danos ao comportamento original do modelo – reduz a tarefa relativamente desafiadora de descensura a um único comando, do ponto de vista do usuário final.

Como pode ser visto na captura de tela acima, o Herético tende a se beneficiar de uma GPU mais potente do que a que normalmente se encontra em residências de consumidores; porém, os usuários não precisam executá‑lo em hardware doméstico, assim como não precisavam quebrar software pessoalmente em 2002; assim como nos tempos warez, provedores da cena upstream (entusiastas casuais, geralmente não comerciais) com acesso a esse hardware, ou dispostos a gastar alguns recursos no problema, realizam o jailbreak e liberam o modelo descensurado na cena.

Na Mira

Quando uma ação digital “questionável” deixa de ser difícil, geralmente ocorre por meio de um salto de capacidade da noite para o dia (pense no Napster ou no PopCornTime) que de repente amplia tanto a própria atividade quanto o nível de interesse “oficial” em contê‑la.

Combinado com a crescente popularidade e facilidade de uso de plataformas como Ollama, o Herético está começando a tornar o acesso a modelos descensurados ao alcance do usuário não técnico, ainda que um método realmente “à prova de idiotas” ainda não esteja totalmente disponível.

E isso me traz de volta à minha pergunta anterior, sobre se essa atividade constitui um “problema”. Um artigo que apareceu no Arxiv ontem indica, com base em tendências muito recentes de retração e repressão às liberdades dos consumidores de tecnologia, que a descensura provavelmente ganhará atenção crescente, levando a mais incidências de legislação proibitiva ao redor do mundo.

O novo artigo, um relatório da 10a Labs, enquadra o movimento de descensura de forma negativa, e fornece a habitual minoria de casos de abuso que, como a história sugere e as tendências atuais preveem, levarão a restrições.

O estudo rastreia o que acontece após a liberação e redistribuição de modelos descensurados, e identificou 1.643 aplicações no GitHub que integram, recomendam ou utilizam por padrão modelos não censurados.

Os modelos em questão variam de chatbots de uso geral e ferramentas de processamento de documentos, a roleplay e narrativas NSFW; serviços de conteúdo explícito; ferramentas de hacking e segurança ofensiva; e aplicações de fraude e geradores de malware, com 25 % dos lançamentos classificados pelo estudo como “explicitamente maliciosos”:

Divisão de como modelos de IA não censurados estão sendo usados após o lançamento. O estudo rastreou 1.643 aplicações no GitHub que integram, recomendam ou utilizam por padrão modelos cujas restrições de segurança foram removidas, constatando que 37 % eram chatbots não censurados de uso geral, enquanto ferramentas de cibersegurança e de processamento de documentos representaram cada 16 %, ao lado de categorias menores que abrangem assistentes de voz, roleplay NSFW, escrita criativa, codificação e outros usos. O artigo constatou que cerca de 25 % das aplicações identificadas poderiam ser classificadas como “explicitamente maliciosas”. Source

À luz das restrições recentemente instituídas no Reino Unido ao acesso web (e sua intenção agora suspensa de também restringir o acesso VPN que as contorna); da exigência da Califórnia em 2027 para que a maioria dos sistemas operacionais colete faixas etárias dos usuários e as forneça às aplicações; do esquema da UE para verificação de idade no acesso a conteúdo adulto online; e da proibição da Austrália de contas de redes sociais para menores de dezesseis anos; o novo artigo parece se encaixar no padrão em que maior atenção acaba gerando maior supervisão, regulação e possivelmente proibições seletivas ou totais.

Não Poderia Acontecer Aqui

Não, isso pode definitivamente acontecer aqui, parcialmente devido ao alto percentual de uso maléfico, conforme estimado pelos autores do novo estudo; e, possivelmente, porque os controles impõem restrições adicionais à tendência crescente de IA executada localmente, que pode ser percebida por governos e instituições como uma ameaça – ainda mais quando os modelos são libertados de suas amarras.

Ao enquadrar as atividades de descensura como “facilitadoras” de conteúdo NSFW e hacking malicioso, pode‑se apresentar a descensura como uma proposição falsamente binária: como pode ser usada para coisas negativas, deve submeter‑se à regulação. Na prática, não parece haver forma realista de regular tal funcionalidade, a não ser bani‑la completamente, já que há inúmeros casos de uso possíveis.

Além disso, em situações em que a descensura de um LLM poderia permitir que um modelo gerasse (por exemplo) ficção de CSAM, a regulação restritiva pareceria uma proposta óbvia, já que quem se opõe pode ser tacitamente rotulado como “a favor” dos usos nefastos de um modelo descensurado, em vez de seus usos razoáveis.

Isto ignora o fato de que um modelo ajustado finamente ou afetado por LoRA pode produzir de forma muito mais eficaz qualquer domínio específico que o usuário deseje impor, já que os pesos base do modelo ficam tão distorcidos em direção à tarefa que acabam por comprometer completamente quaisquer proteções incorporadas.

Tudo Sobre Facilidade

Facilidade de uso é o que impulsiona a adoção em escala, e a adoção em escala é o que gera pressão sobre os governos para legislar (seja por grupos de pressão pública, lobistas da indústria ou por pressão intergovernamental).

Embora o ajuste fino e as LoRAs possam quase certamente obter resultados mais direcionados do que simplesmente desbloquear um modelo base FOSS, esses métodos exigem certa disciplina e esforço para serem implementados.

Quando executar um modelo descensurado/quantizado localmente se tornar realmente uma questão de alguns cliques (já que o usuário quase certamente baixará um modelo “pré‑libertado” em vez de quebrá‑lo pessoalmente com o Herético), a atividade sai da obscuridade geek e entra no domínio público, onde seus abusos provavelmente se tornarão bolas políticas.

Nesse verão, a NVIDIA liderou um grupo de parceiros tecnológicos de peso na antecipação de restrições governamentais a modelos de código aberto, em uma carta aberta que mais uma vez defende que os abusos minoritários de uma tecnologia não devem colocá‑la em risco como um benefício geral potencial. Mas essa posição tem sido impopular nos últimos anos.

* Se os criadores de modelos são sinceros em seu desejo declarado de restringir a atividade dos usuários é frequentemente questionado, com as proteções de barreira até mesmo desconsideradas como ‘teatro’.