Abliteration.ai строит бизнес на снятии защитных ограничений с ИИ

Что делает сервис

Аблитерация — давняя техника, которую применяют к моделям с открытыми весами, чтобы убрать их склонность отказывать на вредные запросы. Исследователи и разработчики используют её уже несколько лет, а на Hugging Face размещены тысячи подобных моделей.

Компания Abliteration.ai, основанная в конце прошлого года и официально зарегистрированная в марте, перенесла эту практику из открытого сообщества в коммерческий сервис. Платформа сама размещает изменённые модели и запускает их вычисления, поэтому пользователю не нужно скачивать готовую модель и искать ресурсы для её работы.

Сервис размещает, в частности, модифицированную версию GLM-5.3 от Z.ai. Доступ к ней можно получить через браузер или API.

Компания написала в социальных сетях, что хочет помочь проводить:

Логика здесь связана с защитой систем: невозможно подготовиться к поведению, которое нельзя воспроизвести. Если модель отказывается написать рабочий эксплойт, она не может помочь красной команде проверить, как подобную атаку встретит защищаемая система. Одновременно снятие ограничений упрощает и другие потенциально опасные действия.

Что показала проверка

TechCrunch быстро создал учётную запись и бесплатно начал отправлять запросы модифицированной GLM-5.3 через браузер. Журналисты попросили модель написать программу на Python для кражи сохранённых паролей Chrome, а также подробный протокол домашнего культивирования опасного патогена человека. Модель выполнила оба запроса.

Отдельно сообщалось, что Abliteration.ai убрала у GLM-5.3 ограничения, связанные с наступательными кибератаками. Независимое подтверждение также указало на удаление биологических защитных механизмов.

Компания и её ограничения

Сооснователь Abliteration.ai Девон сообщил, что у компании есть несколько соглашений с крупными поставщиками облачных услуг. По его словам, компания оплачивает эти услуги только за счёт выручки от клиентов. Венчурных инвестиций Abliteration.ai пока не привлекала, но ведёт переговоры о финансировании.

Сервис предлагает клиентам собственную систему модерации, где они могут добавить нужные защитные правила. На самой платформе тоже остаются отдельные ограничения: например, во время проверки журналисты не смогли получить инструкции по совершению самоубийства. Девон утверждает, что команда работает над дополнительными мерами против насилия.

При этом Abliteration.ai не использует полноценную проверку клиентов. Единственная подобная мера — сохранение данных банковской карты, с которой оплачивается сервис. В компании признают, что пока пытаются понять, кому следует предоставлять доступ.

Девон также отметил, что компания не хочет оказаться ответственной за чьи-то опасные действия, но ещё определяет границы своей ответственности.

Риски и возможные правила

Критики считают, что массовая доступность моделей без защитных ограничений может привести к реальному вреду. Эндрю Юн, руководитель исследований некоммерческой организации по безопасности ИИ CivAI, заявил, что такая модификация превращает модель в систему, готовую соглашаться практически с любым запросом. Он ожидает, что в ближайшем будущем отредактированные модели без ограничений начнут использовать для вредоносных действий.

Большинство экспертов, с которыми поговорил TechCrunch, считают, что полностью остановить распространение этой техники не получится. Однако, по мнению Юна, государство может вмешаться в других точках:

Появление всё более мощных моделей с доступными для скачивания весами ставит вопрос о том, делает ли более простой доступ к моделям без защитных ограничений интернет безопаснее или опаснее.

Аргументы сторонников

Основатель Abliteration.ai и другие сторонники проекта считают, что демократизация доступа к передовым моделям без цензуры помогает обороне. Девон утверждает, что такие модели позволяют воспроизводить поведение злоумышленников, а защитники получают нужные инструменты и могут быстрее проверять системы. По его мнению, это способно ускорить развитие кибербезопасности.

Клиентами Abliteration.ai уже стали несколько начинающих компаний из Великобритании и Европы, которые занимаются красными командами. Они помогают банкам, авиакомпаниям и другим организациям, связанным с критической инфраструктурой, усиливать киберзащиту.

По словам Девона, один из крупных клиентов проверяет ИИ-агентов банков. Использовать обычные модели для такой работы он не мог, поскольку те отказывались выполнять необходимые запросы.

Как отрасль оценивает технику

Компании, занимающиеся проверкой ИИ-агентов, в целом согласны с тем, что злоумышленники уже убирают защитные ограничения у собственных моделей и применяют их для атак. Поэтому защитникам может быть полезно иметь аналогичные инструменты. Однако специалисты расходятся во мнении о том, насколько аблитерация действительно влияет на результат.

Девон считает её необходимой для тщательного тестирования ИИ-агентов. Другие команды не используют такие модели в повседневной работе и вместо этого применяют файн-тюнинг моделей с открытыми весами: у них уже немного защитных ограничений.

Ахмед Али, генеральный директор компании Fabraix, которая занимается проверкой ИИ-агентов, говорит, что его команда чаще выбирает файн-тюнинг. По его мнению, аблитерация убирает часть знаний и способностей модели, поэтому для реального кибер- или биологического вреда такая система может оказаться менее эффективной.

Алессио Ломусио, главный технолог Safe Intelligence, согласен, что способности модели могут снизиться. При этом он считает, что модели без ограничений всё ещё способны вызывать отдельные типы поведения, полезные для стресс-тестирования систем.

Дэвид Слейтер, основатель и главный архитектор платформы Armadin, сообщил, что пока его компания не включает аблитерацию в рабочий процесс. До самого последнего поколения моделей взломать защиту открытых моделей и заставить их выполнять нужные запросы было сравнительно легко.

Armadin всё же исследует эту технику. Слейтер считает, что открытое изучение возможностей моделей необходимо: если подобные разработки будут проходить только за закрытыми дверями, исследователи не получат инструментов для оценки реального уровня угроз и понимания возможного вреда.