Quanto tempo falta para uma repressão efetiva à descensura de modelos de IA?

Se você tem idade suficiente para se lembrar da cena warez, aproximadamente entre 1995 e 2010, quando vastas coleções de softwares crackeados e filmes ripados (comprados no atacado, diretamente na rua ou reunidos por piratas ocasionais, depois que a banda larga de alta velocidade possibilitou downloads grandes e em grande volume) se acumulavam em várias coleções de DVDs abarrotadas, a cena emergente dos modelos de IA de código aberto «descensurados» talvez lhe soe familiar.

Da «era de ouro» do comércio informal de softwares e filmes nas ruas. Crédito – Shankar.s. «DVDs piratas no mercado de rua PP» – Fonte / Licença

Naquela época, antes de o aluguel de software se tornar um modelo comum para os consumidores, surgiu um pequeno, mas seleto grupo de entusiastas de software da «cena», dedicado a quebrar a proteção de aplicativos, que depois eram lançados nos grupos de notícias «warez» e, mais tarde, em grupos de compartilhamento por torrent. Essas restrições podiam ser difíceis ou fáceis de contornar, mas, uma vez que as brechas eram divulgadas, geralmente se tornavam irreversíveis.

É o que está acontecendo agora com os modelos de linguagem de grande porte (LLMs) de código aberto: seus filtros de segurança incorporados durante o treinamento são removidos rotineiramente e em larga escala. Depois disso, esses modelos descensurados acabam sendo compartilhados em tantos lugares que até mesmo o fechamento da fonte original do «crack» não afeta sua disponibilidade.

Benfeitor ou malfeitor

A questão é: como você quer encarar essas atividades? Ao contrário do que acontecia na cena warez, ninguém está sendo privado de renda de forma tão explícita quanto, ao que se pode argumentar, os pequenos produtores de software eram há 20–30 anos.

É verdade que, nesses casos*, os termos da licença original costumam ser violados; no entanto, ao contrário dos lançamentos de pesos parciais de produtores de modelos de IA generativa, como a Black Forest Labs, os distribuidores originais não estão tratando versões de «qualidade inferior» como uma forma de incentivar a migração para modelos mais capazes, disponíveis apenas por API; eles estão lançando os modelos completos.

Na maioria dos casos, quase ninguém consegue executar localmente essas versões iniciais, porque elas têm uma quantidade excessiva de parâmetros, até mesmo para placas de vídeo bem equipadas, com 16 a 24 GB de VRAM.

Assim, os lançamentos iniciais são rapidamente convertidos em versões reduzidas, capazes de funcionar em hardware de consumo, por meio da quantização de modelos e da conversão dos pesos para formatos mais leves, como GGUF, AWQ, PTQ, EXL2 ou o MLX, voltado para os dispositivos da Apple.

Embora não tenham o mesmo desempenho dos modelos originais completos (que geralmente acabam sendo oferecidos comercialmente por várias fazendas de GPUs), eles ficam, pelo menos, sob o controle do usuário e podem ser personalizados para atender às necessidades específicas dele, de maneiras que o modelo «melhor» não permite.

Do seu jeito

Algumas dessas formas de personalização são claramente legítimas e, em geral, estão dentro do escopo da licença original, como o ajuste fino, que direciona os pesos de um modelo especificamente para uma tarefa ou área de conhecimento que o usuário lhe forneceu. Nesse caso, se houver espaço suficiente no disco rígido, é possível até ajustar várias instâncias de um modelo de código aberto para uma diversidade de tarefas, como um conjunto de ferramentas tradicionais especializadas, em vez de recorrer ao «canivete suíço» de um modelo original com todos os pesos.

Além disso, modelos com configurações compatíveis, mas treinados com dados diferentes, podem ser combinados; também é possível acrescentar capacidades a um modelo por meio de filtros leves LoRA, sem correr o risco de comprometer as capacidades originais do modelo-base com o ajuste fino.

No entanto, a modificação que mais interessa a muitos usuários e que se tornou mais fácil do que qualquer um dos métodos acima é a remoção dos filtros de segurança mencionados anteriormente, ou das barreiras de proteção.

Embora isso de fato permita que os modelos gerem conteúdo pornográfico e conteúdo relacionado ao desenvolvimento de malware, também elimina o conjunto de restrições que muitos usuários consideram excessivamente restritivo e frequentemente sujeito a erros.

Um entre muitos exemplos hilários de Llama-2-7b-chat recusando solicitações razoáveis por motivos de segurança, disponível no URL de origem. Fonte

Heretic

No caso do Heretic, o software que recentemente revolucionou a descensura de modelos, também é possível reduzir o nível de linguagem «floreada» e de prosa prolixa a que os modelos tendem.

Heretic começa a remover a censura do gpt-oss, embora, reconhecidamente, isso exija uma máquina com especificações muito robustas, que dificilmente se encontra na casa do consumidor médio — ainda que seja possível alugá-la por um preço baixo na internet pelo tempo necessário para o processo. Fonte

Mais importante, o Heretic — que busca automaticamente uma abliteração capaz de suprimir as recusas e, ao mesmo tempo, minimizar os danos ao comportamento original do modelo — reduz a remoção da censura, uma tarefa relativamente complexa, a um simples comando do ponto de vista do usuário final.

Como se pode ver na captura de tela acima, o Heretic tende a se beneficiar de uma GPU mais potente do que a que provavelmente se encontra em uma casa comum. No entanto, os usuários não precisam executá-lo em seus próprios computadores, assim como não precisavam quebrar pessoalmente a proteção de softwares em 2002. Como nos tempos do warez, fontes da cena a montante — entusiastas casuais, geralmente não comerciais — com acesso a esse tipo de hardware, ou dispostos a gastar alguns tokens para resolver o problema, realizam o jailbreak e lançam o modelo sem censura na cena.

Na mira

Quando uma ação digital “questionável” deixa de ser difícil, isso geralmente acontece após um salto repentino de capacidade — como ocorreu com o Napster ou o PopCornTime — que amplia de repente tanto a própria atividade quanto o nível de interesse “oficial” em contê-la.

Com a popularidade crescente e a facilidade de uso de plataformas como o Ollama, o Heretic começa a tornar o acesso a modelos sem censura viável para usuários sem conhecimentos técnicos, embora ainda não exista um método realmente “à prova de idiotas”.

Isso me traz de volta à pergunta que fiz antes: essa atividade constitui ou não um “problema”? Um artigo publicado ontem no arXiv me leva a concluir, com base em tendências muito recentes de retrocesso e repressão às liberdades dos consumidores de tecnologia, que a remoção da censura provavelmente atrairá cada vez mais atenção, levando a um aumento das iniciativas legislativas restritivas em todo o mundo.

O novo artigo, um relatório da 10a Labs, apresenta o movimento de remoção da censura sob uma perspectiva negativa e traz os casos de abuso, que representam a minoria habitual e, como indica a história e preveem as tendências atuais, levarão a restrições.

O estudo acompanha o que acontece após o lançamento e a redistribuição de modelos sem censura e identificou 1.643 aplicativos no GitHub que integram, recomendam ou usam por padrão modelos sem censura.

Os modelos em questão vão de chatbots de uso geral e ferramentas de processamento de documentos a interpretações de papéis e narrativas NSFW; serviços de conteúdo explícito; ferramentas de hacking e segurança ofensiva; e aplicativos de fraude e geradores de malware. Segundo o estudo, 25% dos lançamentos foram classificados como “explicitamente maliciosos”:

Detalhamento de como os modelos de IA sem censura são usados após o lançamento. O estudo rastreou 1.643 aplicativos do GitHub que integram, recomendam ou usam por padrão modelos cujas restrições de segurança foram removidas. Constatou que 37% eram chatbots sem censura de uso geral, enquanto as ferramentas de cibersegurança e de processamento de documentos representavam 16% cada, além de categorias menores que incluíam assistentes de voz, interpretação de papéis NSFW, escrita criativa, programação e outros usos. O artigo constatou que cerca de 25% dos aplicativos identificados poderiam ser classificados como “explicitamente maliciosos”. Fonte

À luz das restrições instituídas recentemente pelo Reino Unido ao acesso à internet (e da intenção, agora suspensa, de também restringir o acesso por VPN que permite contorná-las); da exigência da Califórnia, prevista para 2027, de que a maioria dos sistemas operacionais colete as faixas etárias dos usuários e as forneça aos aplicativos; do sistema da União Europeia para verificar a idade de quem acessa conteúdo adulto on-line; e da proibição da Austrália de contas em redes sociais para menores de 16 anos, o novo artigo parece se encaixar no padrão em que o aumento da atenção acaba levando a uma supervisão e regulamentação maiores e, possivelmente, a proibições seletivas ou totais.

Isso não poderia acontecer aqui

Não, isso certamente poderia acontecer aqui, em parte devido à alta proporção de usos mal-intencionados estimada pelos autores do novo estudo e, possivelmente, porque os controles imporiam restrições adicionais à tendência crescente de executar IA localmente, o que pode ser visto por governos e instituições como uma ameaça — ainda mais quando os modelos são libertados de suas amarras.

Ao apresentar as atividades de remoção de censura como uma forma de “facilitar” a geração de conteúdo adulto e a invasão maliciosa de sistemas, é possível retratá-las como uma falsa dicotomia: como podem ser usadas para fins nocivos, devem ser regulamentadas. Na prática, não parece haver uma maneira realista de regulamentar essa funcionalidade de forma alguma , a não ser proibindo-a por completo, já que há tantos usos possíveis.

Além disso, nos casos em que remover a censura de um LLM poderia permitir que um modelo gerasse, por exemplo, ficção sobre abuso sexual infantil (CSAM), a adoção de uma regulamentação restritiva pareceria uma decisão incontestável, já que qualquer pessoa que se opusesse a ela poderia ser tacitamente retratada como favorável aos usos nefastos de um modelo sem censura, e não aos usos razoáveis.

Isso ignora o fato de que um modelo ajustado ou afetado por LoRA pode gerar resultados muito mais eficazes em qualquer domínio específico que o usuário queira impor, pois os pesos básicos do modelo se tornam tão distorcidos em favor da tarefa que acabam por minar completamente quaisquer proteções incorporadas durante o treinamento.

Tudo gira em torno da facilidade

A facilidade de uso é o que impulsiona a adoção em larga escala, e essa adoção é o que pressiona os governos a legislar — seja por meio de grupos de pressão pública, de lobistas do setor ou de pressões entre governos.

Embora o ajuste fino e as LoRAs quase certamente permitam obter resultados mais direcionados do que simplesmente desbloquear um modelo-base de código aberto, esses métodos exigem certo grau de disciplina e esforço para serem implementados.

Quando executar localmente um modelo sem censura e quantizado passar a ser realmente uma questão de poucos cliques (já que o usuário quase certamente baixará um modelo “liberado de antemão”, em vez de quebrar as proteções por conta própria com o Heretic), essa atividade deixará de ser um assunto restrito aos aficionados por tecnologia e chegará à esfera pública, onde seus abusos provavelmente se tornarão munição política.

Neste verão, a NVIDIA liderou um grupo de importantes parceiros do setor de tecnologia para se antecipar às restrições governamentais aos modelos de código aberto, por meio de uma carta aberta que defende, mais uma vez, que os abusos de uma tecnologia cometidos por uma minoria não devem pôr em risco seu potencial de beneficiar a sociedade em geral. Mas essa posição tem se mostrado impopular nos últimos anos.

*É comum questionar se os criadores de modelos são sinceros quando afirmam querer restringir a atividade dos usuários; até mesmo as proteções de segurança são descartadas como “teatro”.