Як довго чекати реального посилення обмежень щодо декензурування моделей ШІ?

Якщо вам достатньо років, щоб пам’ятати сцену warez приблизно 1995–2010‑х років, коли величезні колекції зламаного програмного забезпечення та скопійованих фільмів (куплених гуртом на вулиці або зібраних випадковими піратами, коли високошвидкісний широкосмуговий інтернет зробив можливими величезні та масові завантаження) накопичувалися у численних, «стогнучих» колекціях DVD, то нова сцена «декензурованих» відкритих AI‑моделей може викликати знайомі відчуття.

З «золотого віку» випадкової вуличної торгівлі програмним забезпеченням та фільмами. Автор – Shankar.s. «Піратські DVD на ринку PP» – Source / License

Тоді, ще до того, як оренда програмного забезпечення стала звичним споживчим моделем, невелика, але елітна група ентузіастів «сцени» почала зламувати додатки, які потім розповсюджувалися в «warez» новинних групах, а згодом — у торрент‑групах. Ці обмеження могли бути обтяжливими або тривіальними для порушення, проте порушення зазвичай залишалися незгладимими після їх випуску в «дику».

Саме це відбувається зараз з відкритими великими мовними моделями (LLM), які регулярно й у великих масштабах позбавляються вбудованих фільтрів безпеки, після чого ці декензуровані моделі поширюються у такій кількості місць, що навіть закриття первинного джерела «взлому» не впливає на їхню доступність.

Благодійник чи Зловмисник

Питання таке: в якому світлі ви хочете розглядати ці дії? На відміну від сцени warez, ніхто не позбавляється доходу настільки явно, як, можливо, це траплялося у дрібних розробників програмного забезпечення 20–30 років тому.

Звісно, оригінальні умови ліцензії часто порушуються у таких випадках*; проте, на відміну від часткових випусків вагових файлів виробників генеративних AI‑моделей, таких як Black Forest Labs, первинні розповсюджувачі не розглядають «нижчу якість» як шлях до продажу більш потужних моделей лише через API; вони випускають повні моделі одразу.

У більшості випадків майже ніхто не може запускати ці початкові випуски локально, бо вони мають надто багато параметрів навіть для добре обладнаних графічних карт з 16–24 ГБ ОЗП.

Тому початкові випуски швидко перетворюються у спрощені версії, здатні працювати на споживчому обладнанні, за допомогою квантування моделей та конвертації ваг у легші формати, такі як GGUF, AWQ, PTQ, EXL2 або орієнтований на Apple MLX.

Хоча вони не настільки продуктивні, як оригінальні повноцінні моделі (які зазвичай комерційно роздаються з різних фермерських GPU‑паркiв), вони принаймні перебувають під контролем користувача і можуть бути налаштовані під конкретного користувача способами, недоступними для «кращих» моделей.

Робіть, як вам зручно

Деякі з цих підходів явно легітимні і зазвичай вписуються в межі первинної ліцензії, наприклад тонке налаштування, завдяки якому ваги моделі спрямовуються конкретно на цільове завдання або домен, який користувач вносить у неї. За умови достатньої вільної пам’яті на жорсткому диску, можна навіть тонко налаштувати кілька інстанцій відкритої моделі для різноманітних завдань, як набір спеціалізованих традиційних інструментів — замість «швейцарського ножа» первинної, повноцінної моделі.

Крім того, моделі з сумісними налаштуваннями, але різними даними навчання, можна об’єднувати; або ж додаткові можливості можна накладати на модель за допомогою легковагових фільтрів LoRA, не ризикуючи підривати оригінальні можливості базової моделі через тонке налаштування.

Проте модифікація, яка найбільше цікавить багатьох користувачів і яка стала простішою за будь‑який з наведених вище методів, — це видалення згаданих вище фільтрів безпеки або захисних бар’єрів.

Хоча це, без сумніву, дозволяє моделям генерувати порнографічний контент та створювати шкідливе ПЗ, це також усуває те, що багато користувачів сприймають як надмірно обмежувальний (і часто схильний до помилок) набір обмежень.

Один із багатьох кумедних прикладів того, як Llama-2-7b-chat відхиляє розумні запити з міркувань безпеки, доступний за посиланням джерела. Source

Heretic

У випадку Heretic, програмного забезпечення, яке нещодавно революціонізувало декензурування моделей, навіть можливо знизити рівень «квітчастого» і багатослівного тексту, до якого схильні моделі.

Heretic приступає до декензурування gpt-oss, хоча, варто визнати, на дуже потужній машині, яку навряд чи побачить середній споживач — проте її можна недорого орендувати онлайн на необхідний період процесу. Source

Більше того, Heretic — який автоматично шукає аблітрацію, що придушує відмови, мінімізуючи шкоду оригінальній поведінці моделі — зводить відносно складне завдання декензурування до однієї простої команди з точки зору кінцевого користувача.

Як видно зі скріншоту вище, Heretic, як правило, потребує потужнішого GPU, ніж зазвичай є в домашніх умовах; проте користувачам не потрібно запускати його на домашньому обладнанні, так само, як і колись у 2002 році не доводилося особисто зламувати програмне забезпечення; подібно до епохи warez, провайдери первинної сцени (незалежні, зазвичай некомерційні ентузіасти) з доступом до такого обладнання або готовністю інвестувати ресурси у вирішення проблеми здійснюють «взлом» і випускають декензуровану модель у сцену.

У прицілі

Коли «сумнівна» цифрова дія перестає бути складною, зазвичай це відбувається завдяки нічному стрибку можливостей (припустимо, Napster чи PopCornTime), який різко збільшує як саму активність, так і рівень «офіційного» інтересу до її обмеження.

У поєднанні зі зростаючою популярністю та простотою використання платформ, таких як Ollama, Heretic починає робити доступ до декензурованих моделей доступним для нетехнічних користувачів, навіть якщо справді «непробивний» метод ще недоступний.

І це повертає мене до мого попереднього питання, чи є ця діяльність «проблемою». Стаття, яка вчора з’явилася на arXiv, вказує мені, спираючись на дуже недавні тенденції скорочень і посилення обмежень у технологічних споживчих свободах, що декензурування, ймовірно, приверне все більшу увагу, що призведе до збільшення випадків прописної законодавчої регуляції по всьому світу.

Нова стаття, звіт від 10a Labs, представляє рух декензурування в негативному світлі і надає звичну міноритарну кількість випадків зловживань, які, як підказує історія та передбачають сучасні тенденції, призведуть до обмежень.

Дослідження простежує, що відбувається після випуску та повторного розповсюдження декензурованих моделей, і виявило 1 643 застосунки на GitHub, які інтегруються, рекомендуються або за замовчуванням використовують некензуровані моделі.

Моделі, про які йдеться, варіюються від універсальних чат-ботів і інструментів обробки документів до NSFW рольових ігор та розповідей; сервісів з відкритим контентом; інструментів хакерства та атакувальної безпеки; а також застосунків шахрайства та генераторів шкідливого ПЗ, причому 25 % випусків, за класифікацією дослідження, позначені як «явно зловмисні»:

Розподіл того, як використовується некензурований AI після випуску. Дослідження простежило 1 643 застосунки на GitHub, які інтегруються, рекомендуються або за замовчуванням використовують моделі, у яких зняті обмеження безпеки, виявивши, що 37 % — це універсальні некензуровані чат-боти, а інструменти кібербезпеки та обробки документів — по 16 % кожен, разом із меншими категоріями, що охоплюють голосових помічників, NSFW рольові ігри, креативне письмо, програмування та інші використання. У статті зазначено, що близько 25 % ідентифікованих застосунків можна класифікувати як «явно зловмисні». Source

У світлі нещодавно запроваджених у Великій Британії обмежень доступу до інтернету (та їхнього наразі призупиненого наміру також обмежувати VPN‑доступ, який їх обходить); вимоги Каліфорнії 2027 року щодо того, щоб більшість операційних систем збирали діапазони віку користувачів і передавали їх застосункам; схеми ЄС щодо вікової верифікації для доступу до дорослого онлайн‑контенту; та заборони Австралії на акаунти в соціальних мережах для осіб до 16 років; нова стаття, здається, вписується у шаблон, коли підвищена увага зрештою призводить до посилення контролю, регулювання та, можливо, селективних або повних заборон.

Це не могло статися тут

Ні, це цілком може статися тут, частково через високий відсоток зловмисного використання, як оцінюють автори нового дослідження; і, можливо, тому що контроль накладав би додаткові обмеження на зростаючу тенденцію до локального запуску ШІ, яку уряди та інституції можуть сприймати як загрозу — тим більше, коли моделі звільняються від своїх обмежень.

Створюючи образ декензурування як «полегшення» NSFW‑контенту та зловмисного хакерства, можна представити його як хибно бінарну пропозицію: оскільки його можна використати у поганих цілях, його слід піддати регулюванню. На практиці, здається, немає реалістичного способу регулювати таку функціональність, окрім повної заборони, оскільки існує безліч можливих сценаріїв використання.

Крім того, у випадках, коли декензурування LLM може дозволити моделі генерувати (наприклад) вигадки про дитячу порнографію (CSAM), обмежувальне регулювання виглядає очевидним, оскільки будь‑хто, хто проти нього, може бути підказано як «підтримуючий» зловмисне використання декензурованої моделі, а не її розумні застосування.

Це ігнорує той факт, що тонко налаштована або LoRA‑модифікована модель може значно ефективніше генерувати будь‑яку конкретну галузь, яку користувач бажає задати, оскільки базові ваги моделі так спотворюються під завдання, що повністю підривають будь‑які вбудовані захисти.

Все про простоту

Простота використання — це те, що спонукає широке впровадження, а широке впровадження створює тиск на уряди щодо законодавчого регулювання (будь‑то з боку громадських груп, лобістів індустрії чи через міжурядовий тиск).

Хоча тонке налаштування та LoRA майже напевно дають більш цільові результати, ніж просте розблокування фундаментальної FOSS‑моделі, ці методи вимагають певного рівня дисципліни та зусиль для їх впровадження.

Коли запуск локальної декензурованої/квантизованої моделі стає справді справою кількох кліків (оскільки користувач майже напевно завантажуватиме «попередньо звільнену» модель, а не зламає її сам за допомогою Heretic), ця діяльність виходить з тіні гік‑культури і потрапляє у публічну сферу, де її зловживання, ймовірно, стануть політичними м’ячами.

Цього літа NVIDIA очолила групу важливих технологічних партнерів у передбаченні урядових обмежень щодо відкритих моделей, у відкритому листі, який знову аргументує, що зловживання технологією меншістю не повинні ставити під загрозу її потенційну загальну користь. Проте ця позиція виявилася непопулярною в останні роки.

* Чи є творці моделей щирими у своїй заявленій бажанні обмежити діяльність користувачів, часто ставиться під питання, причому захисні бар’єри навіть відкидаються як «театр».