การระบุการขโมยโมเดล AI ผ่านข้อมูลติดตามลับ

วิธีการใหม่สามารถสร้างเครื่องหมายลับบนโมเดล ChatGPT ในเวลาไม่กี่วินาทีโดยไม่ต้องฝึกอบรมใหม่ โดยไม่ทิ้งร่องรอยในผลลัพธ์ทั่วไป และสามารถทนต่อการลบออกที่เป็นไปได้ทั้งหมด

ความแตกต่างที่เห็นได้ชัดเจนระหว่างการสร้างเครื่องหมายลับและการ ‘ล่อหางคัดลอก’ คือเครื่องหมายลับซึ่งโดยทั่วไปมีจุดมุ่งหมายเพื่อให้ปรากฏ ทั่วทั้ง คอลเลกชัน (เช่น ชุดข้อมูลภาพ) เป็นอุปสรรคต่อการคัดลอกอย่างไม่สุจริต

ในทางกลับกัน รายการปลอม เป็นชิ้นส่วนของข้อความขนาดเล็ก โดยทั่วไปเป็นคำหรือนิยามที่อยู่ในคอลเลกชันที่ใหญ่และค่อนข้างทั่วไป ซึ่งออกแบบมาเพื่อพิสูจน์การขโมย การคิดค้นคือเมื่อผลงานทั้งหมดถูกคัดลอกอย่างไม่สุจริต ไม่ว่าจะในตัวเองหรือเป็นพื้นฐานสำหรับผลงานอนุพันธ์ การมีอยู่ของ ‘ข้อเท็จจริงที่ไม่เหมือนใคร’ และปลอมที่ปลูกโดยเจ้าของเดิมจะ เปิดเผยการกระทำของการขโมย ได้อย่างง่ายดาย

ในแง่ของ การเพิ่มเครื่องหมายลับเข้าไปในโมเดลภาษาขนาดใหญ่ (LLMs) และโมเดลภาษาและวิชั่น (VLMs) ระดับที่ผลลัพธ์ควรจะมีเครื่องหมายลับเหล่านี้มักจะแบ่งออกเป็นสองวัตถุประสงค์: เพื่อให้แน่ใจว่าผลลัพธ์ทั้งหมดหรือส่วนใหญ่จะมีเครื่องหมายลับอย่างชัดเจนหรือซ่อนอยู่; หรือ เพื่อให้แน่ใจว่า ‘โทเค็นลับ’ สามารถกู้คืนได้ซึ่งพิสูจน์การขโมย – แต่ไม่ปรากฏในผลลัพธ์ทั่วไปจากโมเดล

น้ำหนักของหลักฐาน

แนวทางหลังได้รับการกล่าวถึงในความร่วมมือที่น่าสนใจระหว่างจีน อิตาลี และสิงคโปร์; งานที่มุ่งหวังที่จะให้วิธีการเปิดเผยดังกล่าวแก่ โมเดลโอเพ่นซอร์ส เพื่อให้พวกมันไม่สามารถถูกพาณิชย์หรือใช้ในรูปแบบที่ไม่ได้รับอนุญาตจากใบอนุญาตเดิม

ตัวอย่างเช่น ใบอนุญาตเดิมของโมเดลอาจระบุว่าใครก็ตามสามารถสร้างรายได้จากงานได้ตราบเท่าที่พวกเขาทำการเปลี่ยนแปลงหรือแก้ไข สาธารณะ ภายใต้เงื่อนไขใบอนุญาตที่เอื้อเฟื้อแบบเดียวกัน – แต่บริษัทอาจต้องการปิดกั้น ‘การปรับแต่ง’ (เช่น การปรับแต่งละเอียด) เพื่อสร้าง คูน้ำ ที่ไม่มีอยู่จริง

ส่วนใหญ่ของการวิจัยในแนวทางนี้มุ่งเน้นไปที่การตรวจจับเกี่ยวกับโมเดลที่ปิดซอร์ส โมเดล API เท่านั้น หรือโมเดลที่มีน้ำหนัก ปรับให้เหมาะสม (quantized) เท่านั้น ซึ่งจึงยากต่อการแก้ไขและปรับเปลี่ยนในแบบที่กระดาษใหม่เสนอ (เนื่องจากไม่มีการเข้าถึงโดยตรงไปยังสถาปัตยกรรมของโมเดลเอง)

การให้ความสนใจกับการเผยแพร่ FOSS นี้อาจไม่น่าแปลกใจจากภาควิจัยของจีน เนื่องจากการเผยแพร่ AI ของจีนในช่วงปีที่ผ่านมามีลักษณะเฉพาะคือการเผยแพร่โมเดลที่เต็มรูปแบบซึ่งสามารถแข่งขันกับโมเดลตะวันตกที่ ‘ล็อก’ ได้

แนวทางใหม่นี้ซึ่งมีชื่อว่า EditMark มีเอกลักษณ์เฉพาะตัวคือไม่ต้องการให้โมเดลถูกปรับแต่งละเอียดเพื่อเพิ่ม ‘ข้อมูลที่ถูกทำลาย’ หรือฝึกอบรมตั้งแต่ต้นด้วยข้อมูลที่รวมอยู่ด้วย

สิ่งนี้มีประโยชน์หลายประการ: ประการหนึ่งคือ ‘ข้อมูลที่บอกเล่า’ ที่รวมอยู่ในเซตข้อมูลการฝึกอบรม เมื่อถูกพบและเปิดเผย จะไม่มีประสิทธิภาพอีกต่อไป เนื่องจากสามารถโจมตีได้โดยตรง; แต่เพื่อโจมตี EditMark ผู้กระทำผิดจะต้องทราบว่า ชั้น ใดของโมเดลที่จะโจมตี และวิธีการที่จะใช้ ซึ่งเป็นสถานการณ์ที่ไม่น่าจะเกิดขึ้น

ประการหนึ่ง แนวทางนี้รวดเร็วและถูกต้อง ใช้เวลาเพียงไม่กี่วินาที (ไม่ใช่วันหรือแม้แต่สัปดาห์) ในการนำไปใช้กับโมเดลที่ฝึกอบรมแล้ว ทำให้ไม่ต้องเสียค่าใช้จ่ายในการปรับแต่งละเอียด (ซึ่งเพิ่มขึ้นตามขนาดของโมเดลและข้อมูลที่จะนำไปใช้)

สุดท้าย แนวทางนี้ก่อให้เกิด ความเสียหาย ต่อการทำงานปกติของโมเดลที่มุ่งเป้าไปที่น้อยกว่าการปรับแต่งละเอียดหรือวิธีการแก้ไขก่อนหน้านี้

ในการทดสอบ EditMark ซึ่งฝังตัวคำถามคณิตศาสตร์พร้อมคำตอบที่เป็นไปได้หลายแบบลงในน้ำหนักของโมเดล – ได้ทำการค้นหาด้วยอัตราความสำเร็จ 100%

ผู้เขียนระบุว่า:

‘การทดลองที่ครอบคลุมแสดงให้เห็นถึงประสิทธิภาพที่น่าประทับใจของ EditMark ในการสร้างเครื่องหมายลับบนโมเดลภาษาขนาดใหญ่ EditMark มีประสิทธิภาพสูงโดยการฝังเครื่องหมายลับ 32 บิตในเวลาไม่ถึง 20 วินาที โดยมีอัตราความสำเร็จในการค้นหาคือ 100% ‘

‘โดยเฉพาะอย่างยิ่ง เวลาที่ใช้ในการฝังเครื่องหมายลับของ EditMark นั้นน้อยกว่า 1/300 ของการปรับแต่งละเอียด (โดยเฉลี่ย 6,875 วินาที) ซึ่งเน้นย้ำถึงประสิทธิผลของ EditMark ในการนำเครื่องหมายลับที่มีความจุสูงมาใช้ได้อย่างรวดเร็วและน่าเชื่อถือ ‘

‘นอกจากนี้ การทดลองอย่างกว้างขวางยังยืนยันถึงความแข็งแกร่ง ความลับ และความซื่อสัตย์ของ EditMark’

เอกสารวิจัยใหม่ มีชื่อว่า EditMark: Watermarking Large Language Models based on Model Editing และมาจากผู้เขียนแปดคนจาก University of Science and Technology of China, University of Siena และ CFAR/IHPC/A\*STAR ที่สิงคโปร์

วิธีการ

แนวทาง EditMark ประกอบด้วยสี่ส่วน: Generator, Encoder, Editor และ Decoder:

กระบวนการ EditMark ฝังเครื่องหมายลับโดยการแก้ไขโมเดลเพื่อตอบคำถามคณิตศาสตร์เฉพาะในลักษณะที่เข้ารหัสข้อมูลระบุตัวตนซ่อนอยู่ Source: https://arxiv.org/pdf/2510.16367

Generator ใช้ เมล็ดสุ่ม เพื่อสร้างคำถามคณิตศาสตร์ที่มีคำตอบหลายแบบ; Encoder เลือกคำตอบตามเครื่องหมายลับ ซึ่งจะถูกฝังลงในโมเดลผ่านกระบวนการแก้ไขพิเศษ เมื่อโมเดลที่แก้ไขแล้วถูกเผยแพร่หรือใช้ในทางที่ผิด เครื่องหมายลับสามารถถูกดึงออกได้โดยการถามคำถามเดียวกันและถอดรหัสรูปแบบของคำตอบ

ต่อมา Editor จะแก้ไขน้ำหนักของโมเดลเพื่อให้เมื่อถามคำถามที่ถูกกำหนดไว้ล่วงหน้า โมเดลจะผลิตคำตอบเป้าหมายได้อย่างน่าเชื่อถือ โดยฝังเครื่องหมายลับโดยตรงลงในพฤติกรรมของโมเดล จากนั้น Decoder จะกู้คืนเครื่องหมายลับโดยการให้คำถามเดียวกันกับโมเดลที่ต้องสงสัย และแปลคำตอบกลับเป็นรหัสซ่อนอยู่

แบบจำลองภัยคุกคาม

แบบจำลองภัยคุกคามของเอกสารวิจัยนี้สมมติว่าการสร้างเครื่องหมายลับทำในบริบทที่มีการเข้าถึงแบบเปิด (white-box) แม้ว่าสิ่งนี้จะไม่ใช่สัญญาณที่ดีในการวิจัยด้านความปลอดภัย แต่ในกรณีนี้เป็นปกติ เนื่องจากวิธีการนี้มีจุดมุ่งหมายเพื่อปกป้องเจ้าของที่มีการเข้าถึงงานของตนเองอย่างเต็มที่

ผู้โจมตียังถูกสมมติว่ามีการเข้าถึงแบบเปิดหลังจากได้รับโมเดล ซึ่งหมายความว่าพวกเขาสามารถแก้ไขได้ (เช่น โดยการปรับแต่งหรือการปรับแต่งละเอียด) อีกครั้ง สิ่งนี้เป็นสถานการณ์ที่คาดหวังและปกติในกรณีการเผยแพร่ FOSS อย่างไรก็ตาม ผู้โจมตีไม่ทราบกระบวนการดึงเครื่องหมายลับหรือสเคมาที่ใช้ และสามารถค้นพบได้โดยการอนุมานและการทดลอง (หรือรั่วไหล)

Generator สร้างคำถามคณิตศาสตร์ที่มีคำตอบหลายแบบซึ่งมีเหตุผลและข้อเท็จจริง โดยใช้ GPT-4o เพื่อกระจายเทมเพลต (ตามที่แสดงด้านล่าง) และเมล็ดสุ่มเพื่อให้แน่ใจว่าคำถามแต่ละข้อเป็นเอกลักษณ์ สิ่งนี้ช่วยให้เครื่องหมายลับที่ทราบสามารถฝังอยู่ได้อย่างแน่นอนผ่านการเรียงสับเปลี่ยนคำตอบ ในขณะที่ยังลดการซ้อนทับกันระหว่างคำถามให้เหลือน้อยที่สุด เพื่อหลีกเลี่ยงการแก้ไข การผูกพัน:

เทมเพลตของคำถามที่สร้างโดย GPT-4o สำหรับการฝังเครื่องหมายลับ แต่ละเทมเพลตถูกออกแบบมาให้ผลิตคำตอบจำนวนเต็มที่ถูกต้องหลายแบบจากอสมการเริ่มต้นที่มีเมล็ดสุ่ม

Encoder แปลงแต่ละส่วนของเครื่องหมายลับแบบไบนารี่เป็นการเรียงสับเปลี่ยนจำนวนเต็มที่ไม่ซ้ำกันซึ่งดึงมาจาก เซตคำตอบ ของคำถามคณิตศาสตร์ที่กำหนด โดยใช้ทฤษฎีการเรียงสับเปลี่ยนแบบเล็กซิโกกราฟิก Encoder แปลงค่าเลขทศนิยมของแต่ละชิ้นส่วนของเครื่องหมายลับเป็น การเรียงสับเปลี่ยนคำตอบที่เฉพาะเจาะจงและเรียงลำดับ เพื่อให้แน่ใจว่าเครื่องหมายลับถูกฝังอยู่ในพฤติกรรมของโมเดลอย่างแน่นอน

เกี่ยวกับ Editor วิธีการแก้ไขโมเดล AlphaEdit เดิมที่ใช้ในการสร้างเครื่องหมายลับขาดความแม่นยำและความทนทาน โดยโมเดลที่แก้ไขมักจะล้มเหลวในการตอบคำตอบที่ต้องการ การเปลี่ยนแปลงใดๆ ที่ทำได้จะถูกทำลายได้ง่ายโดยการปรับแต่งหรือเสียงรบกวน

เพื่อเอาชนะสิ่งนี้ ผู้เขียนได้พัฒนากลยุทธ์การแก้ไขหลายรอบที่ปรับเปลี่ยนน้ำหนักของโมเดลที่ชั้น MLP เดียวจนกว่าคำตอบจะสอดคล้องกับคำตอบที่ต้องการอย่างเพียงพอ เพื่อให้การแก้ไขทนต่อการโจมตี พวกเขายังฉีด เสียงรบกวนแบบกอเซียน ระหว่างการฝึกอบรมด้วย:

การกระจายของการเปลี่ยนแปลงใน K1 สำหรับ Baichuan-7B, Qwen-7B และ LLaMA3-8B ก่อนและหลังการโจมตี แถวบนสุดแสดงผลกระทบของการฉีดเสียงรบกวนแบบสุ่ม; แถวล่างแสดงผลกระทบของการปรับแต่งโมเดล การเปลี่ยนแปลงทั้งหมดยังคงอยู่ใกล้กับศูนย์ ซึ่งบ่งชี้ว่าการโจมตีเหล่านี้ไม่ทำให้พฤติกรรมภายในของโมเดลเสียหายอย่างมีนัยสำคัญ

ระบบการให้คะแนนจะหยุดกระบวนการเมื่อการแก้ไขมีความแม่นยำเพียงพอ ในขณะที่ การปรับให้เหมาะสม จะรับรองว่าการอัปเดตยังคงเสถียรตลอดหลายรอบ

Decoder ถามโมเดลคำถามเดียวกับที่ใช้ในการสร้างเครื่องหมายลับ จากนั้นจะอ่านคำตอบเพื่ออนุมานรหัสซ่อนอยู่ เนื่องจากรูปแบบของคำตอบติดตามกฎลับที่ไม่ทราบ จึงสามารถกู้คืนได้โดยไม่ต้องตรวจสอบส่วนภายในของโมเดล

ข้อมูลและการทดสอบ

เพื่อทดสอบ EditMark ผู้วิจัยได้ประเมินโมเดลภาษาขนาดใหญ่ห้าแบบ: GPT2-X; GPT-J-6B; LLaMA-3-8B; Baichuan-7B; และ Qwen-7B วิธีการ Model Watermark (backdoor); KIMark; และ BadEdit ถูกใช้เป็นฐานเปรียบเทียบ

ผู้วิจัยแก้ไขชั้นที่ 15 ของ LLaMA-3-8; ชั้นที่ 17 ของ GPT2-XL และ GPT-J-6B; และชั้นที่ 14 ของ Qwen-7B และ Baichuan-7B

การทดลองดำเนินการบน GPU NVIDIA RTX 4090 สี่ตัว (มี VRAM 24GB แต่ละตัว) โดยฝังเครื่องหมายลับขนาด 32 บิต 64 บิต และ 128 บิต

เทมเพลตคำถามที่ใช้แสดงอยู่ด้านล่าง:

เทมเพลตที่ใช้ในการสร้างคำถามที่มีคำตอบหลายแบบสำหรับการฝังเครื่องหมายลับ แต่ละคำถามอิงจากอสมการทางคณิตศาสตร์ที่แตกต่างกัน โดยมีค่าแบบสุ่มสำหรับตัวแปร โมเดลถูกขอให้กลับมาเป็นรายการของคำตอบจำนวนเต็ม โดยใช้ลำดับของคำตอบในการเข้ารหัสหรือถอดรหัสบิตเครื่องหมายลับ เทมเพลตสี่แบบครอบคลุมรูปแบบกำลังสอง ลอการิทึม อสมการตรรกยะ และแบบช่วงเวลา ทั้งหมดนี้ถูกสร้างขึ้นโดยใช้ GPT-4o

เพื่อลดผลกระทบของความสุ่ม เมล็ดสุ่มจาก 1 ถึง 20 ถูกใช้ระหว่างการทดสอบที่มีความจุเครื่องหมายลับที่แตกต่างกัน

ในตอนแรก นักวิจัยทดสอบสำหรับทั้งอัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) และค่าใช้เวลาที่ใช้ในการฝังเครื่องหมายลับบนโมเดลภาษาขนาดใหญ่:

การเปรียบเทียบ EditMark กับวิธีการสร้างเครื่องหมายลับก่อนหน้าสามวิธีบนโมเดลภาษาขนาดใหญ่ห้าแบบ รายงานแสดงอัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) และเวลาที่ใช้ในการฝัง (ET) ในวินาที EditMark ประสบความสำเร็จด้วยอัตราความสำเร็จ 100% ในขณะที่ลดเวลาที่ใช้ในการฝังลงหลายอันดับของขนาด และทำได้ดีกว่าฐานเปรียบเทียบในทั้งความแม่นยำและประสิทธิภาพทั่วทั้งโมเดลที่มีขนาดและสถาปัตยกรรมที่แตกต่างกัน

จากผลลัพธ์เหล่านี้ ผู้เขียนระบุว่า:

‘[EditMark] ประสบความสำเร็จด้วยอัตราความสำเร็จ 100% และต้องใช้เวลาไม่ถึง 20 วินาทีในการฝังเครื่องหมายลับ 32 บิตสำหรับโมเดลภาษาขนาดใหญ่ทั้งหมดที่ประเมิน ในกรณีเฉพาะ เวลาที่ใช้ในการฝังสำหรับ Baichuan-7B และ Qwen-7B นั้นน้อยกว่า 10 วินาที ซึ่งแสดงให้เห็นถึงประสิทธิภาพสูงของ EditMark’

สำหรับการประเมินเครื่องหมายลับ 128 บิต ซึ่งเป็นค่าสูงสุดที่เป็นไปได้ภายใต้วิธีนี้ EditMark สามารถรักษาความไม่สามารถลบออกได้:

อัตราความสำเร็จในการดึงเครื่องหมายลับและเวลาที่ใช้ในการฝังสำหรับ EditMark ที่มีความยาวเครื่องหมายลับ 32 บิต 64 บิต และ 128 บิตบนโมเดลภาษาขนาดใหญ่ห้าแบบ อัตราความสำเร็จที่สมบูรณ์แบบยังคงอยู่ในทุกกรณี ในขณะที่เวลาที่ใช้ในการฝังเพิ่มขึ้นตามขนาดของเครื่องหมายลับ แต่ยังคงอยู่ต่ำกว่านาที แม้กระทั่งที่ 128 บิต

ต่อไป ระบบจะทดสอบความสามารถในการรักษาความซื่อสัตย์ของเครื่องหมายลับบนเบンチมาร์กหลายแบบ:

การประเมินความซื่อสัตย์ของเครื่องหมายลับบนเบンチมาร์กสี่แบบที่มีโมเดลห้าแบบ โดยเปรียบเทียบโมเดลที่ไม่ถูกแก้ไขกับโมเดลที่มีเครื่องหมายลับขนาด 32 บิตและ 128 บิต การทำงานยังคงเสถียรตลอดการกำหนดค่าต่างๆ โดยมีการแกว่งของผลคะแนนว่าเฉลี่ยเพียงเล็กน้อย ซึ่งบ่งชี้ถึงผลกระทบที่จำกัดต่อความแม่นยำของเบンチมาร์กจากการฝังเครื่องหมายลับ

EditMark มีการทดสอบความทนทานต่อกลยุทธ์การโจมตีหกรูปแบบ:

โมเดลถูกฝังเครื่องหมายลับ 128 บิตโดยใช้เมล็ดสุ่มที่แตกต่างกันห้าแบบ การปรับแต่งละเอียดทำให้อัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) ลดลงเล็กน้อยสำหรับโมเดลส่วนใหญ่:

อัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) ของโมเดลภาษาขนาดใหญ่ที่มีเครื่องหมายลับก่อนและหลังการปรับแต่งละเอียดเป็นหนึ่งถึงสามยุค ในขณะที่โมเดลส่วนใหญ่ยังคงรักษาอัตราความสำเร็จสูงตลอดมา Qwen-7B แสดงถึงการลดลงอย่างมีนัยสำคัญ ซึ่งบ่งชี้ถึงความอ่อนไหวต่อการอัปเดตพารามิเตอร์ที่มากกว่า

แม้หลังจากหลายยุค อัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) ส่วนใหญ่ยังคงอยู่เหนือ 90% ซึ่งบ่งชี้ว่า EditMark ต้านทานการเปลี่ยนแปลงพารามิเตอร์ที่เกิดจากการฝึกอบรม LoRA ได้

การโจมตีด้วยการปรับให้เหมาะสมลดความแม่นยำของโมเดล แต่เครื่องหมายลับส่วนใหญ่ยังคงอยู่:

อัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) ของโมเดลที่มีเครื่องหมายลับก่อนและหลังการปรับให้เหมาะสมโดยใช้ความแม่นยำ Int-8 และ Int-4 อัตราความสำเร็จยังคงไม่เปลี่ยนแปลงภายใต้การปรับให้เหมาะสม Int-8 ทั่วทั้งโมเดล ในขณะที่การปรับให้เหมาะสม Int-4 ทำให้เกิดการเสื่อมลงบางส่วน ซึ่งบ่งชี้ว่าความแม่นยำที่ต่ำกว่าสามารถทำให้อ่อนแอลง แต่ไม่สามารถลบเครื่องหมายลับออกได้อย่างสมบูรณ์

ตามที่เห็นในภาพด้านบน การปรับให้เหมาะสม Int-8 รักษาอัตราความสำเร็จ 100% ทั่วทั้งโมเดล ในขณะที่การปรับให้เหมาะสม Int-4 มีผลกระทบอย่างมีนัยสำคัญต่ออัตราความสำเร็จ แต่นำไปสู่การสูญเสียประสิทธิภาพที่ไม่สามารถยอมรับได้

สถานการณ์นี้ชี้ให้เห็นว่ามีศักยภาพที่จำกัดสำหรับผู้โจมตี เนื่องจากสิ่งนี้ส่งผลให้โมเดลที่ถูกแฮกแต่มีการเสื่อมสภาพของประสิทธิภาพ

การทดสอบเสียงรบกวนและการปรับแต่งประเมินเฟรมเวิร์กเบンチมาร์กสี่แบบ: MMLU; BLIMP; TruthfulQA; และ GLUE การโจมตีเหล่านี้ทำให้อัตราความสำเร็จในการดึงเครื่องหมายลับลดลงเมื่อความรุนแรงของการรบกวนเพิ่มขึ้น:

ผลกระทบของเสียงรบกวน (แถวบนสุด) และการปรับแต่ง (แถวล่าง) ต่ออัตราความสำเร็จในการดึงเครื่องหมายลับ (ESR) และประสิทธิภาพของโมเดลที่มีเครื่องหมายลับ เมื่ออัตราความสำเร็จลดลงพร้อมกับการเพิ่มความรุนแรงของการรบกวน ความแม่นยำของเบンチมาร์กยังลดลง โดยเฉพาะอย่างยิ่งที่ความเข้มข้นของเสียงรบกวนและอัตราส่วนการปรับแต่งที่สูงขึ้น ซึ่งเน้นย้ำถึงความตึงเครียดที่เป็นปกติระหว่างการลบเครื่องหมายลับและการใช้ประโยชน์ของโมเดล

อย่างไรก็ตาม การโจมตีเหล่านี้ยังทำให้ประสิทธิภาพของงานลดลงอย่างมาก โดย Baichuan-7B มีการลดลง 27-31% ใน BLIMP เมื่อเสียงรบกวนหรือการปรับแต่งถูกนำไปใช้

การแก้ไขโมเดลและการโจมตีแบบปรับตัวยังถูกประเมิน:

อัตราความสำเร็จในการดึงเครื่องหมายลับของโมเดลที่มีเครื่องหมายลับภายใต้ระดับการแก้ไขโมเดลที่แตกต่างกัน แม้จะมีการแก้ไขมากถึง 50 ครั้งที่ชั้นที่ทราบว่ามีเครื่องหมายลับ อัตราความสำเร็จยังคงอยู่เหนือ 95% สำหรับโมเดลทั้งหมด ซึ่งบ่งชี้ว่าการเปลี่ยนแปลงพารามิเตอร์โดยตรงมีผลกระทบน้อยต่อการลบเครื่องหมายลับ

ที่นี่ EditMark รักษาอัตราความสำเร็จสูงกว่า 95% แม้เมื่อชั้นที่ฝังเครื่องหมายลับถูกโจมตีโดยตรง

สรุป

DRM, เครื่องหมายลับลับ, และแนวทางด้านความปลอดภัยอื่นๆ ที่มีประสิทธิผลบางส่วนหรือจำกัดในยุคก่อน AI มีความยากที่จะนำไปใช้กับระบบการเรียนรู้ของเครื่อง เนื่องจากธรรมชาติที่ตั้งใจจะลดความซับซ้อนของสถาปัตยกรรมโฮสต์ในปัจจุบัน รวมกับการขาดเครื่องมือที่เหมาะสม ทำให้เครื่องหมายลับที่ฝังไว้ไม่แข็งแกร่ง

เป็นเรื่องที่น่าประทับใจที่จะได้เห็นระบบที่มุ่งเป้าไปที่การกระจายโมเดล FOSS และที่จะเห็นมันสามารถทนต่อสถานการณ์ที่ไม่น่าจะเกิดขึ้นได้ ยกเว้นในแง่ของความรู้ล่วงหน้าของผู้โจมตี

อย่างไรก็ตาม การลดลงเล็กน้อยของประสิทธิภาพที่เกิดขึ้นหลังจากการแก้ไขหลังการฝึกอบรม ซึ่งแม้จะน้อย แต่อาจทำให้ผู้ที่ต้องการนำไปใช้ลังเล; ไม่น้อยเพราะการถอยกลับไปสู่รูปแบบการควบคุมที่อาศัย API จะทำให้การโจมตีเหล่านี้เกิดขึ้นได้อย่างง่ายดาย

* เว็บไซต์นี้ได้โต้แย้งว่าการเผยแพร่ ‘น้ำหนักแบบเปิด’ จากจีนอาจไม่ecessarily ควรจะถือว่าเป็น FOSS ที่สมบูรณ์ เนื่องจากข้อมูลมักถูกเก็บเป็นความลับ ซึ่งป้องกันไม่ให้สามารถสร้างสายการผลิตการฝึกอบรมที่แน่นอนได้ การโต้แย้งนี้ชี้ให้เห็นว่าหัวข้อนี้ชวนให้พิจารณาเรื่องการเมืองของการเผยแพร่โมเดล AI ที่แตกต่างกันระหว่างตะวันตกและตะวันออก ซึ่งอยู่นอกขอบเขตของบทความนี้

เผยแพร่ครั้งแรกวันจันทร์ที่ 27 ตุลาคม 2025