Waterloon yliopiston Critical Machine Learning Lab -ryhmässä työskentelevä Saad Hossain ei lähtenyt etsimään yhtä heikkoa mallia. Hän halusi tietää, kestääkö yksikään. Tutkimusryhmä testasi 21 suosittua avoimen painon kielimallia ja sai jokaisen turvarajoitteet riisuttua.
Työ tehtiin Waterloon, tutkimusorganisaatio FAR.AI:n, MIT:n, ETH Zürichin ja Toronton yliopiston yhteistyönä. Ryhmää johtaa Waterloon Management Science and Engineering -laitoksen professori Sirisha Rambhatla, joka vetää myös laboratoriota. Tulokset esiteltiin ACM:n KDD-konferenssissa Etelä-Koreassa, ja testityökalu TamperBench julkaistiin avoimena.
“Kun kyvykkäästä mallista riisutaan turvarajoitteet, sitä voidaan käyttää haitantekoon sellaisessa mittakaavassa, johon yksittäinen ihminen ei käsipelillä koskaan pystyisi.”
Yhdeksän tapaa purkaa suojaus
TamperBench ei ole yksittäinen testi vaan kehys, joka ajaa saman mallijoukon läpi yhdeksän erilaista manipulointiuhkaa. Osa niistä on painoavaruuden hienosäätöhyökkäyksiä, joissa mallia opetetaan pienellä esimerkkiaineistolla vastaamaan pyyntöihin, jotka se aiemmin torjui. Osa on piiloavaruuden representaatiohyökkäyksiä, joissa mallin sisäisiin esityksiin kajotaan ilman että sen käytöstä opetetaan uudelleen.
Jokaiselle malli-hyökkäysparille ajetaan hyperparametripyyhkäisy, eli kehys etsii systemaattisesti asetukset, joilla hyökkäys toimii parhaiten. Samalla mitataan, säilyykö malli käyttökelpoisena. Tämä on olennaista. Rikkinäinen malli ei ole vaarallinen, vaan vaarallinen on malli, joka on yhtä osaava kuin ennen mutta ei enää kieltäydy mistään.
Mukana testissä oli myös variantteja, joihin oli lisätty linjausvaiheen puolustuksia. Ne eivät poistaneet ongelmaa. Ankarin hyökkäystyyppi oli tutkijoiden mukaan tyypillisesti niin sanottu jailbreak-tuning, ja parhaaksi puolustukseksi osoittautui Triplet-niminen menetelmä. Puolustuksia voi siis asettaa paremmuusjärjestykseen, mutta yksikään niistä ei pitänyt.
Julkaistu paino on suositus, ei lukko
Ero rajapinnan takana olevaan malliin on rakenteellinen. Kun käytät ChatGPT:tä tai Geminiä, painot pysyvät palveluntarjoajan palvelimella. Yhtiö voi suodattaa syötteitä, katkaista väärinkäytön kesken ja päivittää suojauksia jälkikäteen. Avoimen painon malli ladataan omalle koneelle, ja sen jälkeen kieltäytyminen on pelkkä opittu käytös mallin parametreissa. Parametreja voi muuttaa. Suojaus on tallessa siinä samassa tiedostossa, jonka lataaja saa haltuunsa.
“Tämänhetkiset suojaukset eivät vaikuta riittävän vahvoilta takaamaan, että julkisesti julkaistu malli pysyy turvallisena sen jälkeen, kun se on kenen tahansa muokkaajan käsissä.”
Euroopassa avoimuus on suvereniteettikysymys
Juuri tästä syystä tulos koskee Suomea ja EU:ta enemmän kuin aiheen tekninen sävy antaisi olettaa. Euroopassa avoimia malleja on viime vuosina suositeltu nimenomaan digitaalisen suvereniteetin perusteella: kun paino on omalla palvelimella, data ei kulje yhdysvaltalaisen pilven läpi eikä toiminta katkea, jos toimittajasuhde muuttuu. Sama ajatus on EU-rahoitteisen OpenEuroLLM-hankkeen taustalla, ja Suomessa TurkuNLP:n ja Silo AI:n Poro- ja Viking-mallit rakennettiin samalle perustalle.
Tutkimus ei kumoa tuota perustelua. Se siirtää kysymyksen toiseen paikkaan. Jos malli ei itse voi taata turvallisuuttaan julkaisunsa jälkeen, mihin turvallisuus silloin nojaa? Vaihtoehdot ovat hankalampia kuin malliin sisäänrakennettu kieltäytyminen: jakelun rajaaminen, käyttöympäristön valvonta, lokitus ja vastuun siirtyminen sille, joka mallia ajaa.
EU:n tekoälyasetus käsittelee avoimia yleiskäyttöisiä malleja omana tapauksenaan ja vapauttaa ne osasta läpinäkyvyysvelvoitteita, ellei malliin liity systeemistä riskiä. TamperBenchin tulos viittaa siihen, että ratkaiseva raja ei kulje mallin julkaisumuodossa vaan siinä, mitä mallille voi julkaisun jälkeen tehdä.
Käytännössä vastuu siirtyy hankkijalle. Kunta, hyvinvointialue tai keskisuuri yritys, joka ajaa avointa mallia omalla palvelimellaan juuri suvereniteettisyistä, ei voi enää olettaa että mallin mukana tulee toimiva turvakerros. Se joutuu rakentamaan valvonnan itse tai hyväksymään, että malli tekee pyydettäessä sen mitä pyydetään. Kilpailutuksissa tätä kysytään harvoin.
Luku jota ei ole
Julkisessa aineistossa ei kerrota, mitkä 21 mallia testattiin, eikä siinä anneta vertailukelpoista lukua siitä, kuinka helposti kukin niistä murtui. Kysymys kuuluu tutkimusryhmälle: onko olemassa mallikohtainen järjestys, ja ovatko eurooppalaiset avoimet mallit siinä mukana? Ilman sitä lukua tulos on selkeä mutta karkea. Juttu nojaa yhteen tutkimukseen ja sitä referoiviin lähteisiin.
21 / 21↓
Testatusta avoimen painon mallista menetti turvarajoitteensa hienosäädössä
9
Hienosäätö- ja manipulointitekniikkaa TamperBench-kehyksessä
Kielimalli, jonka opetuksessa syntyneet lukuarvot eli painot julkaistaan vapaasti ladattaviksi. Malli toimii omalla koneella ilman yhteyttä tekijäänsä, ja sitä voi myös muokata.
Hienosäätö (fine-tuning)
Valmiin mallin jatkokouluttaminen pienellä lisäaineistolla. Sillä voi opettaa mallille uuden erikoisalan – tai sen, ettei se enää kieltäydy mistään.
Jailbreak-tuning
Hienosäädön muoto, jossa malli koulutetaan tarkoituksella ohittamaan omat turvarajoitteensa. Tutkimuksessa se osoittautui tehokkaimmaksi hyökkäystavaksi.
Keskustelua avoimista malleista on Euroopassa käyty pitkälti riippumattomuuden kielellä. TamperBench lisää siihen ylläpitokustannuksen. Julkaistua mallia ei voi kutsua takaisin eikä paikata jälkikäteen niin kuin pilvipalvelua, joten se turvallisuustaso, joka mallilla on julkaisuhetkellä, on käytännössä paras taso, joka sillä koskaan on.
Se on hallittavissa oleva riski. Mutta vain jos se lasketaan mukaan silloin, kun malli päätetään julkaista, eikä vasta silloin kun joku on jo ladannut sen.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
