Ali je odstranjevanje varnostnih mehanizmov iz modelov umetne inteligence nujno orodje za boljšo kibernetsko obrambo ali pa odpira vrata novim zlorabam? To je osrednja dilema okoli podjetja Abliteration.ai, ki ponuja dostop do odprtokodnih AI-modelov z odstranjenimi zaščitami pred škodljivimi zahtevami.
Podjetje svojo storitev predstavlja kot pomoč varnostnim strokovnjakom, ki želijo realističneje simulirati ravnanje napadalcev. Kritiki pa opozarjajo, da z enostavnim dostopom do tako prilagojenih modelov ne dobijo novih orodij le obrambne ekipe, temveč tudi posamezniki z zlonamernimi nameni.
Kaj je abliteracija modelov umetne inteligence?
Abliteracija je postopek odstranjevanja ali zmanjševanja varnostnih filtrov, zaradi katerih model umetne inteligence zavrne zahteve, povezane z nasiljem, kibernetskimi napadi, krajo podatkov ali biološkimi tveganji. Pri odprtokodnih modelih, katerih uteži so javno dostopne, je takšne spremembe mogoče izvajati zunaj nadzora prvotnega razvijalca.
Abliteration.ai to prakso, ki je bila doslej predvsem del odprtokodne skupnosti, spreminja v komercialno spletno storitev. Uporabnikom ni treba samostojno prenesti modela, ga prilagoditi in zagotoviti zmogljive računske infrastrukture. Namesto tega lahko do spremenjenih modelov dostopajo prek spletnega vmesnika ali API-ja.
Podjetje med drugim gosti abliterirano različico odprtokodnega modela GLM-5.3 podjetja Z.ai. Njegov soustanovitelj Devon, ki ga je TechCrunch navedel brez priimka, je dejal, da je namen storitve omogočiti ofenzivno kibernetsko delo, rdeče timsko testiranje in preverjanje AI-agentov, kadar standardni modeli takšne zahteve zavrnejo.
Rdeče timsko testiranje pomeni simuliranje napadov oziroma poskusov zlorabe sistema. Cilj ni napad sam po sebi, temveč odkrivanje ranljivosti, preden jih izkoristijo dejanski napadalci.
Nevarnost v praksi: model je sledil škodljivim zahtevam
TechCrunch je ob preizkusu storitve ustvaril brezplačen uporabniški račun in prek brskalnika uporabil abliterirano različico GLM-5.3. Medij je poročal, da je model brez zadržkov odgovoril na zahteve, povezane s krajo shranjenih gesel iz brskalnika Chrome ter z nevarnimi biološkimi postopki.
Prav ta preizkus je bistvo polemike. Odstranjene zaščite lahko varnostnim raziskovalcem pomagajo preveriti, kako bi AI-agent ali informacijski sistem reagiral pod pritiskom napadalca. Hkrati pa znižujejo prag znanja, časa in računske opreme, ki je bil prej potreben za dostop do modela, pripravljenega odgovarjati na škodljive zahteve.
Abliteration.ai po navedbah TechCruncha ohranja nekaj osnovnih omejitev. Med testiranjem model denimo ni posredoval navodil za samomor. Podjetje strankam ponuja tudi moderacijsko plast, prek katere lahko same nastavijo dodatne varovalke. Devon je povedal, da razvijajo nadaljnje ukrepe za preprečevanje nasilja.
Toda vprašanje ni le, katere omejitve ostanejo vključene, temveč kdo odloča o njih in ali jih je mogoče učinkovito uveljaviti. Platforma za zdaj nima celovitega postopka preverjanja identitete uporabnikov oziroma KYC. Kot osnovni podatek naj bi beležila kreditno kartico, uporabljeno ob nakupu storitve.
Argument za: obrambne ekipe potrebujejo podobna orodja kot napadalci
Zagovorniki abliteriranih modelov izhajajo iz znanega načela kibernetske varnosti: sistema ni mogoče učinkovito braniti pred vedenjem, ki ga ni mogoče posnemati in preizkusiti. Če zlonamerni akterji že uporabljajo prilagojene odprtokodne modele za pripravo napadov, naj bi obrambne ekipe potrebovale primerljivo zmogljiva orodja.
Devon trdi, da abliterirani modeli omogočajo hitrejše modeliranje ravnanja napadalcev in s tem pospešujejo razvoj obrambe. Med strankami podjetja naj bi bila mlada evropska podjetja za rdeče timsko testiranje, ki sodelujejo tudi z bankami, letalskimi družbami in drugimi organizacijami s kritično infrastrukturo.
Po njegovih besedah standardni modeli pogosto zavrnejo scenarije, ki so za resno varnostno testiranje pomembni. Če mora ekipa vsak tak primer rešiti z zapletenimi obvodi, dodatnim učenjem ali lastno infrastrukturo, je testiranje počasnejše in dražje.
Varnostna industrija ni enotna glede njihove uporabnosti
Tudi med podjetji, ki se ukvarjajo z varnostjo AI-agentov, ni soglasja, da je abliteracija ključna za učinkovito obrambno delo.
Ahmed Aly, izvršni direktor podjetja Fabraix, je za TechCrunch povedal, da njegovo podjetje pogosteje uporablja dodatno učenje oziroma prilagajanje odprtokodnih modelov. Takšni modeli imajo že v osnovi manj strogih omejitev kot komercialni zaprti modeli, zato jih je mogoče za posamezne testne scenarije prilagoditi brez popolnega odstranjevanja zaščit.
Aly je opozoril tudi na morebitno slabost abliteracije: postopek lahko zmanjša del znanja ali zmogljivosti modela. Model brez varovalk zato ni nujno tudi učinkovitejši pri izvajanju zahtevnih škodljivih nalog.
Alessio Lomuscio iz podjetja Safe Intelligence je priznal, da lahko pride do zmanjšanja zmogljivosti, vendar meni, da so takšni modeli še vedno lahko uporabni za sprožanje specifičnih vedenj pri stresnem testiranju sistemov. David Slater iz platforme Armadin pa je dejal, da abliterirani modeli za zdaj niso osrednji del njihovega procesa, saj odprtokodnih modelov do nedavnega ni bilo posebej težko pripraviti do nezaželenih odgovorov že z drugimi metodami.
Etična vprašanja in odgovornost ponudnikov
Primer Abliteration.ai odpira širše vprašanje odgovornosti v obdobju, ko so zmogljivi modeli umetne inteligence javno dostopni. Če lahko posamezniki odstranijo zaščite iz modela doma, ali ponudnik, ki tak model nato enostavno gosti in distribuira, nosi večjo odgovornost za morebitne posledice?
Težava ni zgolj tehnična. Gre tudi za vprašanje zaupanja javnosti v umetno inteligenco. Če se bodo abliterirani modeli pogosteje pojavljali v primerih kibernetskih napadov, goljufij ali drugih zlorab, lahko to vpliva na dojemanje celotne industrije, vključno z legitimnimi raziskovalci in podjetji, ki AI uporabljajo odgovorno.
Andrew Yoon, vodja raziskav pri neprofitni organizaciji CivAI, je opozoril, da takšne prilagoditve modelu omogočijo, da sledi praktično vsaki zahtevi. Predlagal je, da bi države od ponudnikov zahtevale uporabo sistemov za zaznavanje škodljivih kibernetskih in bioloških dejavnosti. Po njegovem mnenju bi morali ponudniki neposrednega dostopa do naprednih grafičnih procesorjev tudi preverjati identiteto strank in omejiti dostop ob utemeljenem sumu nevarne zlorabe.
Med odprtim raziskovanjem in nevarno dostopnostjo
Abliteration.ai ni ustvaril možnosti odstranjevanja varovalk iz odprtokodnih modelov, temveč jo je naredil dostopnejšo. Prav zato razprava ni omejena na eno podjetje. Zadeva prihodnost odprtokodnih AI-modelov, odgovornost ponudnikov infrastrukture in mejo med legitimnim varnostnim raziskovanjem ter omogočanjem zlorab.
Zagovorniki vidijo v abliteraciji način, kako obrambnim ekipam dati orodja, ki jih bodo potrebovale za spremljanje napadalcev. Kritiki opozarjajo, da lahko ista dostopnost pospeši tudi škodljivo uporabo umetne inteligence.
Odprto ostaja vprašanje, ali bo industrija sposobna razviti dovolj učinkovite varnostne, identifikacijske in nadzorne mehanizme, ne da bi pri tem onemogočila legitimne raziskave. Če ne, bi lahko razkorak med hitrostjo razvoja odprtokodnih modelov in sposobnostjo družbe, da upravlja njihova tveganja, postal eden osrednjih varnostnih izzivov umetne inteligence.
