Скільки часу мине, перш ніж за декензурування моделей ШІ по-справжньому візьмуться?

Якщо ви достатньо дорослі, щоб пам’ятати сцену варезу приблизно 1995–2010 років, коли величезні колекції зламаного програмного забезпечення та піратських фільмів (куплених оптом просто на вулиці або зібраних піратами-аматорами після того, як високошвидкісний широкосмуговий інтернет уможливив масове завантаження великих обсягів даних) накопичувалися на численних переповнених DVD-дисках, нова сцена «декензурованих» моделей ШІ з відкритим кодом може видатися вам знайомою.

Із «золотої доби» вуличної торгівлі програмним забезпеченням і фільмами. Фото: Shankar.s. «Піратські DVD на вуличному ринку PP» — Джерело / Ліцензія

Тоді, ще до того, як оренда програмного забезпечення стала звичною для споживачів, невелика, але елітна група ентузіастів програмної «сцени» почала зламувати застосунки, які згодом потрапляли у відкритий доступ до груп новин «варезу», а пізніше — до торрент-груп. Обійти ці обмеження могло бути складно або дуже просто, але після оприлюднення злами зазвичай ставали незворотними.

Саме це зараз відбувається з великими мовними моделями (LLM) із відкритим кодом: у них регулярно й у великих масштабах видаляють вбудовані під час навчання фільтри безпеки, після чого ці декензуровані моделі поширюються в такій кількості місць, що навіть закриття першоджерела «зламу» ніяк не впливає на їхню доступність.

Благодійник чи лиходій

Питання в тому, як ви хочете оцінювати цю діяльність. На відміну від сцени варезу, тут нікого не позбавляють доходу настільки безпосередньо, як, імовірно, позбавляли невеликих розробників програмного забезпечення 20–30 років тому.

Безперечно, у таких випадках* умови початкової ліцензії часто порушують. Однак, на відміну від випуску моделей генеративного ШІ з частково відкритими вагами, як це роблять розробники на кшталт Black Forest Labs, початкові дистриб’ютори не використовують версії «нижчої якості» як спосіб заохотити перейти на потужніші моделі, доступні лише через API; вони випускають повні версії моделей.

У більшості випадків майже ніхто не може запускати ці початкові версії локально, оскільки в них надто багато параметрів, щоб їх могли обробити навіть добре оснащені відеокарти з 16–24 ГБ відеопам’яті.

Тож початкові версії швидко перетворюють на зменшені моделі, здатні працювати на споживчому обладнанні, за допомогою квантування моделей і конвертації ваг у легші формати, як-от GGUF, AWQ, PTQ, EXL2 або орієнтований на Apple формат MLX.

Хоча за продуктивністю вони поступаються початковим повнорозмірним моделям (які зазвичай комерційно запускають на різних фермах графічних процесорів), вони принаймні перебувають під контролем користувача й можуть бути налаштовані під його конкретні потреби — на відміну від «кращої» моделі.

Налаштуйте під себе

Деякі способи такого налаштування цілком легітимні й зазвичай не виходять за межі ліцензії на вихідну модель. Наприклад, можна виконати доопрацювання, щоб налаштувати ваги моделі під конкретне завдання або предметну галузь, дані про які надав користувач. Якщо вистачає місця на диску, можна навіть доопрацювати кілька екземплярів моделі з відкритим кодом для різних завдань, отримавши набір спеціалізованих традиційних інструментів замість універсального «швейцарського ножа» у вигляді початкової моделі з повним набором ваг.

Крім того, моделі з сумісними налаштуваннями, але різними навчальними даними можна об’єднувати; також до моделі можна додавати нові можливості за допомогою легких фільтрів LoRA, не ризикуючи підірвати початкові можливості базової моделі через доопрацювання.

Однак модифікація, яка цікавить багатьох користувачів найбільше й стала доступнішою за будь-який із наведених вище способів, — це видалення згаданих вище фільтрів безпеки, або запобіжників.

Хоча це, безперечно, дає змогу моделям генерувати порнографічний контент і матеріали для розробки шкідливого програмного забезпечення, водночас зникають обмеження, які багато користувачів вважають надмірно суворими й часто такими, що дають хибні результати.

Один із багатьох кумедних прикладів того, як Llama-2-7b-chat відмовляється виконувати цілком обґрунтовані запити з міркувань безпеки; його можна знайти за URL-адресою джерела. Джерело

Heretic

У випадку з Heretic — програмою, яка останнім часом революціонізувала декензурування моделей, — можна навіть зменшити схильність моделей до «квітчастого» й багатослівного викладу.

Heretic береться за зняття цензурних обмежень із gpt-oss, хоча, слід визнати, для цього потрібна дуже потужна машина, яка навряд чи знайдеться вдома у пересічного користувача. Втім, її можна недорого орендувати онлайн на потрібний для цього час. Джерело

Що важливіше, Heretic автоматично шукає аблітерацію, яка пригнічує відмови, водночас мінімізуючи шкоду для початкової поведінки моделі. Завдяки цьому відносно складне завдання зняття цензурних обмежень для кінцевого користувача зводиться до однієї команди.

Як видно зі скриншота вище, Heretic найкраще працює на потужнішому графічному процесорі, ніж той, що зазвичай є вдома у пересічного користувача. Однак запускати програму на домашньому обладнанні зовсім не обов’язково — так само, як у 2002 році не потрібно було особисто зламувати програмне забезпечення. Як і в епоху warez, джейлбрейк виконують первинні постачальники в цій спільноті — звичайні, переважно некомерційні ентузіасти, які мають доступ до такого обладнання або готові витратити на це певну кількість токенів, — а потім випускають модель зі знятими цензурними обмеженнями у спільноту.

На прицілі

Коли сумнівну цифрову дію стає легко виконувати, це зазвичай відбувається завдяки раптовому стрибку можливостей, що стається буквально за одну ніч (згадайте Napster або PopCornTime). Такий стрибок різко збільшує і масштаби самої діяльності, і рівень офіційної зацікавленості в її припиненні.

З огляду на зростання популярності та простоту використання таких платформ, як Ollama, Heretic дедалі більше наближає доступ до моделей зі знятими цензурними обмеженнями для користувачів без технічних знань, хоча по-справжньому захищеного від помилок методу поки що немає.

І це повертає мене до мого попереднього запитання: чи справді ця діяльність є проблемою? Стаття, яка вчора з’явилася на arXiv, дає мені підстави вважати, з огляду на зовсім недавні тенденції до згортання технологічних свобод споживачів і посилення обмежень, що зняття цензурних обмежень привертатиме дедалі більше уваги, а в різних країнах з’являтиметься більше законодавчих заборон.

У новій статті, доповіді 10a Labs, рух за зняття цензурних обмежень змальовано в негативному світлі й наведено звичну невелику частку випадків зловживань, які, як підказує історія і віщують сучасні тенденції, зрештою призведуть до обмежень.

У дослідженні простежено, що відбувається після випуску та поширення моделей зі знятими цензурними обмеженнями, і виявлено 1 643 застосунки на GitHub, які інтегрують моделі без цензурних обмежень, рекомендують їх або використовують за замовчуванням.

Серед цих моделей є універсальні чатботи та інструменти для обробки документів, засоби для рольових ігор і оповідань із контентом для дорослих, сервіси з відвертим контентом, інструменти для злому й наступальної кібербезпеки, а також застосунки для шахрайства й генератори шкідливого програмного забезпечення. За оцінкою дослідження, 25% випусків було класифіковано як «відверто шкідливі»:

Розподіл способів використання моделей ШІ без цензурних обмежень після їх випуску. У дослідженні простежили 1 643 застосунки на GitHub, які інтегрують моделі зі знятими обмеженнями безпеки, рекомендують їх або використовують за замовчуванням. З’ясувалося, що 37% із них становили універсальні чатботи без цензурних обмежень, а інструменти з кібербезпеки та обробки документів — по 16%. Менші категорії охоплювали голосових помічників, рольові ігри з контентом для дорослих, творче письмо, програмування та інші способи використання. У статті зазначено, що близько 25% виявлених застосунків можна було класифікувати як «відверто шкідливі». Джерело

З огляду на нещодавно запроваджені обмеження доступу до інтернету у Великій Британії (і її призупинений наразі намір обмежити також доступ через VPN, який дає змогу їх обходити), вимогу Каліфорнії, що набуде чинності 2027 року, зобов’язати більшість операційних систем збирати вікові категорії користувачів і передавати їх застосункам, план ЄС щодо перевірки віку для доступу до контенту для дорослих в інтернеті, а також заборону Австралії на акаунти в соціальних мережах для осіб до 16 років, нова стаття, схоже, підтверджує закономірність: посилення уваги зрештою призводить до посилення нагляду й регулювання, а можливо, і до вибіркових або повних заборон.

Тут такого не станеться?

Ні, таке цілком може статися і тут — частково через високу частку зловмисного використання, оцінену авторами нового дослідження, а також, імовірно, тому, що контроль запровадить додаткові обмеження на поширення тенденції до використання ШІ на локальних пристроях. Уряди та установи можуть сприймати її як загрозу — тим більше, коли моделі звільняють від обмежень.

Представляючи зняття цензурних обмежень як «сприяння» створенню контенту NSFW і зловмисному зламу, можна подати це як хибну дилему: якщо таку можливість можна використати для поганих цілей, її необхідно підпорядкувати регулюванню. На практиці, схоже, немає реалістичного способу регулювати таку функцію взагалі , крім її повної заборони, адже можливих варіантів використання дуже багато.

Крім того, у випадках, коли зняття цензурних обмежень із LLM дасть змогу моделі генерувати, наприклад, вигаданий контент сексуального насильства над дітьми (CSAM), жорстке регулювання видаватиметься беззаперечно виправданим: будь-кого, хто виступає проти нього, можна мовчки зобразити прихильником зловмисного використання моделі зі знятими цензурними обмеженнями, а не її розумного застосування.

Це не враховує того, що донавчена модель або модель, модифікована за допомогою LoRA, може значно ефективніше генерувати контент у будь-якій конкретній сфері, яку користувач захоче задати, адже базові ваги моделі настільки зміщуються в бік цього завдання, що будь-які вбудовані під час навчання засоби захисту все одно повністю нівелюються.

Усе про простоту використання

Саме простота використання сприяє масовому впровадженню, а масове впровадження створює тиск на уряди, спонукаючи їх ухвалювати закони (під впливом громадських груп, галузевих лобістів або міжурядового тиску).

Хоча донавчання та LoRA майже напевно дають змогу отримати точніші цільові результати, ніж просте розблокування базової моделі FOSS, для застосування цих методів потрібні певна дисципліна та зусилля.

Щойно запуск моделі зі знятими цензурними обмеженнями або квантизованої моделі локально справді зведеться до кількох клацань мишкою (адже користувач майже напевно завантажуватиме вже «розблоковану» модель, а не зламував би її самостійно за допомогою Heretic), ця діяльність вийде з тіні гік-культури й стане надбанням широкої громадськості, а зловживання нею, імовірно, перетворяться на предмет політичних баталій.

Цього літа NVIDIA очолила групу впливових технологічних партнерів, які намагалися випередити урядові обмеження на моделі з відкритим кодом, опублікувавши відкритий лист. У ньому вкотре стверджується, що зловживання технологією з боку меншості не повинні ставити під загрозу її потенційну користь для суспільства загалом. Однак останніми роками така позиція виявилася непопулярною.

*Щирість заявленого бажання творців моделей обмежити дії користувачів часто ставлять під сумнів, а захисні механізми навіть відкидають як «театр».