Hur länge dröjer det innan myndigheter på allvar slår ned på avcensurering av AI-modeller?

Om du är gammal nog att minnas warez-scenen omkring 1995–2010, då enorma samlingar av knäckt programvara och kopierade filmer fyllde otaliga DVD-skivor — inköpta i stora mängder på gatan eller sammanställda av hobbykopierare när snabbt bredband gjorde väldiga nedladdningar möjliga — kan den framväxande scenen för ”avcensurerade” AI-modeller med öppen källkod kännas bekant.

Från den ”gyllene eran” för informell gatuhandel med programvara och filmer. Foto: Shankar.s, ”Pirated DVDs at PP street market”.

Innan programvaruuthyrning blev en vanlig konsumentmodell växte en liten elit av entusiaster fram som knäckte program och släppte dem i warez-nyhetsgrupper och senare torrentgrupper. Skydden kunde vara svåra eller enkla att bryta, men när en knäckt version väl hade spridits gick den sällan att få bort.

Samma sak händer nu med öppna stora språkmodeller. Deras inlärda säkerhetsfilter tas rutinmässigt bort i stor skala, varefter de avcensurerade modellerna delas på så många platser att det inte påverkar tillgängligheten om den ursprungliga källan stängs.

Välgörare eller skadegörare?

Frågan är hur man vill betrakta verksamheten. Till skillnad från warez-scenen berövas ingen lika uttryckligen inkomster som mindre programvarutillverkare möjligen gjorde för 20–30 år sedan.

De ursprungliga licensvillkoren överträds visserligen ofta i sådana fall.* Men till skillnad från delvisa viktutgåvor från GenAI-tillverkare som Black Forest Labs behandlar de ursprungliga distributörerna inte ”sämre” versioner som en väg till försäljning av kraftfullare modeller som enbart finns via API; de publicerar hela modellerna.

Nästan ingen kan köra de första utgåvorna lokalt, eftersom parameterantalet är för högt även för välutrustade grafikkort med 16–24 GB VRAM.

Därför görs modellerna snabbt mindre genom kvantisering och konvertering av vikter till lättare format som GGUF, AWQ, PTQ, EXL2 eller Apples MLX, så att de kan köras på konsumenthårdvara.

De är inte lika kraftfulla som originalmodellerna, som vanligen levereras kommersiellt från olika GPU-farmar. Däremot kontrolleras de av användaren och kan anpassas personligt på sätt som den ”bättre” modellen inte tillåter.

Få det som du vill

Vissa anpassningar är uppenbart legitima och normalt förenliga med ursprungslicensen, exempelvis finjustering där modellens vikter riktas mot en uppgift eller domän som användaren har tillfört. Om lagringsutrymmet räcker kan flera instanser av en öppen modell finjusteras för olika uppgifter, som en samling specialverktyg i stället för en enda fullstor schweizisk armékniv.

Modeller med kompatibla inställningar men olika träningsdata kan också slås samman. Ytterligare egenskaper kan läggas ovanpå en modell med lätta LoRA-filter utan risken att finjustering undergräver basmodellens ursprungliga förmågor.

Den ändring som intresserar många mest, och som blivit enklare än metoderna ovan, är dock att ta bort säkerhetsfiltren eller skyddsräckena.

Det kan visserligen ge modeller som producerar pornografiskt innehåll eller hjälper till att utveckla skadlig kod, men det tar också bort begränsningar som många användare uppfattar som överdrivna och ofta felbenägna.

Ett av många komiska exempel på att Llama-2-7b-chat avvisar rimliga önskemål av säkerhetsskäl; exemplet finns på källadressen.

Heretic

Med Heretic, programvaran som nyligen förändrat avcensureringen av modeller, går det till och med att minska modellernas benägenhet till blomstrande och mångordig prosa.

Heretic arbetar med att avcensurera gpt-oss på en mycket kraftfull dator som knappast finns i ett vanligt hem, men som skulle kunna hyras billigt på nätet under den tid processen kräver.

Heretic söker automatiskt efter en så kallad abliteration som undertrycker avvisanden och samtidigt minimerar skadan på modellens ursprungliga beteende. Därmed krymper den relativt svåra avcensureringen till ett enda kommando för slutanvändaren.

Heretic gynnas av en starkare GPU än den typiska hemdatorn. Men användare behöver inte göra arbetet hemma, lika lite som de själva behövde knäcka programvara 2002. Precis som under warez-eran kan icke-kommersiella entusiaster med tillgång till hårdvaran, eller vilja att lägga några tokens på problemet, genomföra jailbreaket och släppa modellen.

I skottlinjen

När en ”tveksam” digital handling plötsligt upphör att vara svår beror det ofta på ett språng i kapacitet över en natt — tänk Napster eller PopCornTime. Det skalar upp både aktiviteten och det ”officiella” intresset av att begränsa den.

Tillsammans med plattformar som Ollama, som blir allt populärare och enklare, för Heretic avcensurerade modeller närmare icke-tekniska användare, även om någon helt idiotsäker metod ännu inte finns.

Det leder tillbaka till frågan om verksamheten utgör ett ”problem”. En ny arXiv-artikel antyder, mot bakgrund av nya inskränkningar i teknikkonsumenters frihet, att avcensurering kommer att få större uppmärksamhet och leda till fler förbudsinriktade lagar världen över.

Den nya artikeln, en rapport från 10a Labs, framställer avcensureringsrörelsen negativt och lyfter fram den vanliga minoriteten av missbruksfall som historien och aktuella trender antyder kommer att leda till begränsningar.

Studien följer vad som sker när avcensurerade modeller publiceras och sprids vidare. Den identifierade 1 643 GitHub-applikationer som integrerar, rekommenderar eller som standard använder ocensurerade modeller.

De sträcker sig från allmänna chattbotar och dokumentverktyg till NSFW-rollspel, berättelser och tjänster med explicit innehåll samt hacknings-, offensiv säkerhets-, bedrägeri- och skadeprogramsverktyg. Studien klassificerar 25 procent som ”uttryckligen skadliga”.

Fördelningen visade 37 procent allmänna ocensurerade chattbotar och 16 procent vardera för cybersäkerhet och dokumentbehandling. Mindre kategorier omfattade röstassistenter, NSFW-rollspel, kreativt skrivande, programmering och annat. Omkring 25 procent kunde klassificeras som uttryckligen skadliga.

Storbritanniens nya webbrestriktioner och pausade plan att även begränsa kringgående VPN-åtkomst, Kaliforniens krav från 2027 på att de flesta operativsystem samlar in användarnas åldersintervall, EU:s ålderskontroll för vuxeninnehåll och Australiens förbud mot sociala mediekonton för personer under 16 år passar in i ett mönster där större uppmärksamhet leder till mer tillsyn, reglering och kanske partiella eller fullständiga förbud.

Det skulle inte kunna hända här

Jo, det skulle det, delvis på grund av den höga andelen skadlig användning som författarna uppskattar, och möjligen eftersom kontroller skulle lägga ytterligare begränsningar på trenden mot lokalt körd AI. Regeringar och institutioner kan uppfatta den som ett hot, särskilt när modellerna befriats från sina tyglar.

Genom att beskriva avcensurering som något som ”möjliggör” NSFW-innehåll och illvillig hackning kan frågan göras falskt binär: eftersom tekniken kan användas till dåliga saker måste den regleras. I praktiken tycks det inte finnas något realistiskt sätt att reglera funktionen annat än att förbjuda den helt, eftersom användningsfallen är så många.

Om avcensurering kan få en språkmodell att exempelvis skapa fiktivt material om sexuella övergrepp mot barn blir strikt reglering lätt att driva igenom. Den som invänder kan underförstått framställas som anhängare av modellens skadliga användning i stället för dess rimliga tillämpningar.

Det förbiser att en finjusterad eller LoRA-påverkad modell mycket effektivare kan producera en viss domän, eftersom basvikterna blir så inriktade på uppgiften att inlärda skydd ändå undergrävs helt.

Allt handlar om enkelhet

Användarvänlighet driver användning i stor skala, och storskalig användning skapar tryck på regeringar att lagstifta — från allmänna grupper, branschlobbyister eller andra regeringar.

Finjustering och LoRA kan nästan säkert ge bättre riktade resultat än att bara låsa upp en öppen basmodell, men metoderna kräver disciplin och arbete.

När en avcensurerad och kvantiserad modell kan köras lokalt med några klick — eftersom användaren troligen hämtar en redan ”befriad” modell i stället för att själv knäcka den med Heretic — lämnar verksamheten tekniknördarnas dunkel och går ut i offentligheten, där missbruk sannolikt blir politiska stridsfrågor.

I somras ledde NVIDIA en grupp tunga teknikpartner som försökte förekomma statliga begränsningar av öppna modeller med ett öppet brev. Det upprepade argumentet att en minoritets missbruk inte bör hota en tekniks möjliga allmännytta. Den ståndpunkten har dock varit impopulär på senare år.

* Det ifrågasätts ofta om modellskapare uppriktigt vill begränsa användarnas aktiviteter; säkerhetsräcken avfärdas till och med som ”teater”.