Как скоро начнётся настоящая борьба с цензурированием моделей ИИ?

Если вы достаточно взрослые, чтобы помнить сцену вареза примерно с 1995 по 2010 год, когда огромные коллекции взломанных программ и пиратских фильмов (купленных оптом у уличных торговцев или собранных мелкими пиратами после того, как высокоскоростной широкополосный интернет сделал возможной загрузку больших объёмов данных) накапливались в многочисленных переполненных коллекциях DVD, то зарождающаяся сцена «раскрытых» моделей ИИ с открытым исходным кодом может показаться кому-то знакомой.

Из «золотой эпохи» мелкой уличной торговли программами и фильмами. Фото: Shankar.s. «Пиратские DVD на уличном рынке PP» — Источник / Лицензия

Тогда, до того как аренда программ стала привычной для потребителей, небольшая, но элитная группа энтузиастов из «сцены» взламывала приложения, после чего те распространялись в открытом доступе через новостные группы «варез», а позднее — через торрент-группы. Обойти эти ограничения могло быть трудно или проще простого, но после публикации взломанные версии обычно оставались в сети навсегда.

Именно это сейчас происходит с большими языковыми моделями (LLM) с открытым исходным кодом: их встроенные при обучении фильтры безопасности регулярно и в массовом порядке удаляют. После этого такие модели без цензуры распространяются по множеству площадок, и даже закрытие первоисточника «взлома» никак не влияет на их доступность.

Благодетель или злоумышленник

Вопрос в том, как вы хотите оценивать эту деятельность. В отличие от сцены вареза, здесь никто не лишается дохода настолько явно, как, вероятно, лишались его небольшие разработчики программ 20–30 лет назад.

Безусловно, в таких случаях часто нарушаются условия исходной лицензии*; однако, в отличие от релизов моделей генеративного ИИ с частично опубликованными весами, выпускаемых такими разработчиками, как Black Forest Labs, первоначальные распространители не используют версии «пониже качеством» как способ подтолкнуть пользователей к более мощным моделям, доступным только через API: они выпускают модели целиком.

В большинстве случаев почти никто не может запускать эти первые релизы локально: в них слишком много параметров, чтобы с ними справились даже хорошо оснащённые видеокарты с 16–24 ГБ видеопамяти.

Поэтому первые релизы быстро преобразуют в уменьшенные версии, способные работать на потребительском оборудовании, с помощью квантования моделей и преобразования весов в более компактные форматы, такие как GGUF, AWQ, PTQ, EXL2 или ориентированный на устройства Apple формат MLX.

Хотя такие модели уступают по производительности исходным полноразмерным версиям (которые обычно коммерчески запускают на различных фермах графических процессоров), они, по крайней мере, находятся под контролем пользователя, который может настроить их под свои конкретные потребности — в отличие от «более совершенной» модели.

Настройте под себя

Некоторые способы такой настройки совершенно легитимны и обычно не выходят за рамки исходной лицензии. Например, можно выполнить дообучение, чтобы настроить веса модели на целевую задачу или предметную область, которую пользователь в неё добавил. Если позволяет место на жёстком диске, можно даже дообучить несколько экземпляров модели с открытым исходным кодом для разных задач — как набор отдельных специализированных традиционных инструментов, а не использовать исходную полноразмерную модель как «швейцарский армейский нож».

Кроме того, модели с совместимыми настройками, но разными обучающими данными можно объединять; либо добавлять к модели дополнительные возможности с помощью лёгких фильтров LoRA, не рискуя подорвать исходные возможности базовой модели дообучением.

Однако больше всего пользователей интересует модификация, которая стала проще любого из описанных выше способов: удаление упомянутых фильтров безопасности, или защитных ограничителей.

Хотя это, безусловно, позволяет моделям генерировать порнографический контент и материалы для разработки вредоносных программ, одновременно исчезает набор ограничений, который многие пользователи считают чрезмерно жёстким и часто дающим сбои.

Один из многочисленных забавных примеров того, как Llama-2-7b-chat отказывается выполнять разумные запросы из соображений безопасности; пример доступен по указанной ссылке. Источник

Heretic

В случае с Heretic — программой, которая в последнее время произвела революцию в снятии цензуры с моделей, — можно даже снизить степень склонности моделей к витиеватому и многословному изложению.

Heretic приступает к снятию цензурных ограничений с gpt-oss, хотя для этого, надо признать, нужна очень мощная машина, которой вряд ли располагает средний пользователь дома. Впрочем, её можно недорого арендовать онлайн на время, необходимое для выполнения этой задачи. Источник

Что важнее, Heretic автоматически подбирает аблитерацию, подавляющую отказы и при этом сводящую к минимуму ущерб исходному поведению модели, — с точки зрения конечного пользователя это превращает относительно сложную задачу снятия цензурных ограничений всего лишь в запуск одной команды.

Как видно на скриншоте выше, Heretic, как правило, требует более мощного графического процессора, чем тот, что обычно бывает у пользователей дома. Однако запускать программу на домашнем оборудовании необязательно — так же как в 2002 году не нужно было лично взламывать программы. Как и во времена warez, участники сцены, занимающиеся первичными поставками (обычные энтузиасты, как правило, некоммерческие), располагающие таким оборудованием или готовые потратить на эту задачу немного токенов, выполняют джейлбрейк и выпускают модель со снятыми цензурными ограничениями в сеть.

Под прицелом

Когда сомнительное действие в цифровой среде перестаёт быть сложным, обычно это происходит благодаря резкому скачку возможностей, который случается буквально за одну ночь (вспомните Napster или PopCornTime) и внезапно увеличивает как масштабы самой деятельности, так и интерес официальных властей к её пресечению.

В сочетании с растущей популярностью и простотой использования таких платформ, как Ollama, Heretic постепенно делает доступ к моделям со снятыми цензурными ограничениями возможным для пользователей без технических навыков, хотя по-настоящему «защищённого от дурака» способа пока нет.

И это возвращает меня к прежнему вопросу: действительно ли такая деятельность представляет собой «проблему»? Вышедшая вчера на arXiv статья позволяет предположить, что на фоне недавней тенденции к сворачиванию свобод и ужесточению ограничений для пользователей технологий снятие цензурных ограничений, скорее всего, привлечёт всё больше внимания, а вслед за ним во всём мире участятся случаи принятия запретительных законов.

Новая статья — доклад 10a Labs — представляет движение за снятие цензурных ограничений в негативном свете и приводит обычный набор немногочисленных примеров злоупотреблений, которые, как показывает история и предвещают нынешние тенденции, приведут к новым ограничениям.

В исследовании прослеживается, что происходит после выпуска и распространения моделей со снятыми цензурными ограничениями; авторы выявили 1 643 приложения на GitHub, которые интегрируют модели без цензурных ограничений, рекомендуют их или используют по умолчанию.

Среди рассматриваемых моделей есть решения самых разных типов: универсальные чат-боты и инструменты для обработки документов; сервисы ролевых игр и рассказов для взрослых; сервисы с откровенным контентом; инструменты для взлома и наступательной кибербезопасности; а также приложения для мошенничества и генераторы вредоносного ПО. По данным исследования, 25% выпущенных моделей были классифицированы как «явно вредоносные»:

Как используются модели ИИ без цензурных ограничений после выпуска. В исследовании прослеживалась работа 1 643 приложений на GitHub, которые интегрируют модели со снятыми ограничениями безопасности, рекомендуют их или используют по умолчанию. Выяснилось, что 37% составляли универсальные чат-боты без цензурных ограничений, а на инструменты кибербезопасности и обработки документов приходилось по 16%. Остальные, менее многочисленные категории включали голосовых помощников, ролевые игры для взрослых, творческое письмо, программирование и другие виды использования. В статье также отмечается, что около 25% выявленных приложений можно было классифицировать как «явно вредоносные». Источник

На фоне недавно введённых ограничений на доступ к интернету в Великобритании (а также приостановленного намерения ограничить доступ к VPN-сервисам, позволяющим обходить эти меры); требования Калифорнии, вступающего в силу в 2027 году, согласно которому большинство операционных систем должны собирать сведения о возрастных диапазонах пользователей и передавать их приложениям; плана ЕС по проверке возраста для доступа к контенту для взрослых в интернете; а также запрета Австралии на использование аккаунтов в социальных сетях лицами младше 16 лет новая статья, по-видимому, подтверждает закономерность: усиление внимания в конечном счёте ведёт к усилению надзора и регулирования, а возможно, и к избирательным или полным запретам.

Здесь такого не могло бы случиться

Нет, здесь такое вполне может случиться — отчасти из-за высокой доли злонамеренного использования, которую оценивают авторы нового исследования, а отчасти, вероятно, потому, что меры контроля дополнительно ограничат растущую тенденцию к запуску ИИ локально. Правительства и учреждения могут воспринимать её как угрозу — тем более когда модели освобождают от ограничений.

Представляя деятельность по снятию ограничений как «содействие» созданию NSFW-контента и злонамеренным взломам, можно создать ложную дихотомию: раз это можно использовать во вред, значит, такую деятельность необходимо регулировать. На практике, похоже, нет реалистичного способа регулировать такую функциональность вообще , кроме как полностью запретить её, поскольку возможных вариантов использования очень много.

Кроме того, в случаях, когда снятие ограничений с LLM позволяет модели, например, генерировать художественные тексты с CSAM, жёсткое регулирование кажется бесспорным решением: любого, кто выступит против него, можно негласно представить как сторонника неблаговидного использования модели без ограничений, а не её разумного применения.

При этом упускается из виду, что дообученная модель или модель с адаптацией LoRA может гораздо эффективнее создавать контент в любой конкретной области, которую захочет задать пользователь: базовые веса модели настолько смещаются в сторону выполнения этой задачи, что это полностью сводит на нет любые встроенные в неё средства защиты.

Всё дело в простоте использования

Именно простота использования способствует массовому внедрению, а массовое внедрение, в свою очередь, заставляет правительства испытывать давление и принимать законы — со стороны общественных групп, отраслевых лоббистов или других государств.

Хотя дообучение и LoRA почти наверняка позволяют добиться более точных результатов, чем простое снятие ограничений с базовой модели FOSS, для применения этих методов нужны определённая дисциплина и усилия.

Когда запускать локально модель без ограничений и с квантованием станет действительно так же просто, как нажать пару кнопок (ведь пользователь почти наверняка скачает уже «освобождённую» модель, а не будет сам взламывать её с помощью Heretic), это занятие выйдет из узкого круга гиков и станет достоянием широкой публики. Тогда связанные с ним злоупотребления, скорее всего, превратятся в предмет политических споров.

Этим летом NVIDIA и группа крупных технологических партнёров выступили на опережение, стремясь не допустить введения правительственных ограничений на модели с открытым исходным кодом. В открытом письме они вновь заявили, что злоупотребления технологией со стороны меньшинства не должны лишать общество потенциальной всеобщей пользы от неё. Однако в последние годы эта позиция оказалась непопулярной.

*Искренни ли создатели моделей в своём заявленном желании ограничивать действия пользователей — вопрос, который задают часто; средства защиты даже называют «театром».