تحذير من Anthropic: نماذج ذكاء اصطناعي صغيرة قد تصبح دودة من نوع جديد

دودة مصنوعة من الأوزان لا من الثغرات

نشرت Anthropic هذا الأسبوع بحثًا يشير إلى أن نماذج الذكاء الاصطناعي الصغيرة القائمة على الأوزان يمكن، من حيث المبدأ، أن تنسخ نفسها عبر أجهزة من فئة المستهلك وأجهزة من فئة إنترنت الأشياء دون الوصول إلى قدرة حوسبة بحجم مركز بيانات. والتحذير المرتبط بهذا الاكتشاف هو الجزء الجدير بالقراءة مرتين: فقد يمهّد الطريق لفئة من الديدان الحاسوبية المبنية على أوزان النموذج لا على كود استغلال الثغرات التقليدي.

أمضى العاملون في الأمن أربعين عامًا يدافعون ضد التعليمات الخبيثة. أما هذا فهو اقتراح بقدرة خبيثة، وهو شكل مختلف من المشكلة وأصعب في التفكير فيه.

ما الذي يتغير عندما تكون الحمولة نموذجًا

للبرمجيات الخبيثة الكلاسيكية بنية مألوفة. هناك كود، والكود يفعل شيئًا يستطيع المدافع تعداده. يفتح منفذًا. يشفّر نظام الملفات. ينسخ نفسه باستغلال خطأ معروف. ولأن السلوك مكتوب مسبقًا، يستطيع المدافعون كتابته هم أيضًا، كتوقيع أو قاعدة أو استدلال للكشف.

النموذج ليس قائمة سلوكيات. إنه دالة مضغوطة، والضرر الذي قد يسببه غير مذكور في أي مكان داخله. لا يمكنك أن تبحث داخل مجموعة أوزان عن الجزء الذي يعني «انسخ نفسك إلى الجهاز التالي». هذه الوظيفة لا توجد إلا في العلاقة بين الأوزان والمطالبة prompt والبيئة. نسختان متطابقتان من النموذج نفسه قد تكونان غير مؤذيتين في سياق وخطيرتين في سياق آخر، وما تغيّر ليس الملف.

هذا هو جوهر المسألة. تفترض الدفاعات القائمة على التوقيع أن الحمولة خاملة حتى تُنفَّذ. والنموذج خامل بطريقة أصعب بكثير في التوصيف، لأن سلوكه الضار كامن لا مُعدَّد.

لماذا إنترنت الأشياء هو السطح المثير للاهتمام

ليس تشديد Anthropic على أجهزة فئة إنترنت الأشياء أمرًا عارضًا. إنه الجزء الواقعي.

الأجهزة التي يتكوّن منها إنترنت الأشياء كثيرة ورخيصة، وغالبًا ما تكون متأخرة سنوات في التحديثات. تقع في المصانع والمستشفيات والعمارات السكنية والمستودعات، ويميل من ثبّتها إلى إدارتها، وهو في كثير من الأحيان لا أحد. بالنظر إلى كل جهاز على حدة، لا شيء فيها مثير للاهتمام. وبالنظر إليها مجتمعة، فهي أكبر أسطول حوسبة ناقص الدفاع في الوجود.

تصميم ينتشر عبر عدد كبير من الأجهزة الصغيرة يتجنب عنق الزجاجة الذي حدّ تاريخيًا من مدى قدرة الذكاء الاصطناعي، وهو تكلفة مراكز البيانات وندرتها. فبدلًا من نظام قوي واحد، تحصل على عدد كبير من الأنظمة الضعيفة، كل واحد منها دون العتبة التي تجذب التدقيق، وكلها تؤدي جزءًا صغيرًا. هذا نمط معروف في الأنظمة الموزعة. أما تطبيقه على النماذج فهو الجزء الجديد.

الحساب المقلق لكونها صغيرة

هناك سبب لصدور هذا التحذير الآن لا قبل عامين. النماذج الصغيرة أصبحت جيدة.

صارت النماذج العاملة على الجهاز ببضعة مليارات من المعاملات مفيدة بما يكفي لتعمل على هاتف أو كاميرا أو حاسوب أحادي اللوحة. ضغطت التكميم نماذج قادرة لتتسع في بضعة غيغابايتات، وأمضى مجتمع البحث العام يدفع حد الحجم الأدنى إلى أسفل. كل واحد من هذه المكاسب الهندسية مكسب للمستخدمين الشرعيين، وكل واحد منها أيضًا يخفض كلفة تشغيل نموذج قادر في مكان لا ينتبه إليه أحد.

الاتجاه نفسه الذي يجعل الذكاء الاصطناعي المحلي جاذبًا، أي أنه يعمل دون شبكة ودون مركز بيانات، هو بالضبط الخصيصة التي تجعله جاذبًا كآلية توزيع. الاستقلال عن البنية التحتية هو بيت القصيد في الحالتين.

ما الذي يتطلبه التكاثر الذاتي فعليًا

يجدر فصل أمرين تميل كلمة «تكاثر» إلى خلطهما.

النسخة السهلة هي النسخ. نقل ملف من جهاز إلى آخر أمر تافه ولم يكن يومًا الجزء الصعب. النسخة الصعبة هي الاستمرارية: النجاة من إعادة التشغيل، ومن التنظيف، ومن المستخدم الذي يلاحظ أن شيئًا غير طبيعي، ومن المدافع الذي يعزل الجهاز. برمجية خبيثة تنتشر لكن لا تستمر هي انقطاع. وبرمجية خبيثة تستمر هي حادث.

ما يجعل النهج القائم على النموذج جديدًا هو أن النموذج قد يعدّل طريقته في الانتشار بدلًا من حمل تقنية واحدة ثابتة. يستطيع قراءة بيئته وأن يقرر أي باب مفتوح وأن يتصرف وفقًا لذلك. تلك المرونة هي بالضبط الخصيصة التي تجعل القدرة مفيدة، وبالضبط الخصيصة التي تجعل كتابة قاعدة ضدها صعبة.

المصدر غامض أصلًا، وذلك قبل أن يهاجم أي أحد

هناك قلق أهدأ يستحق الانتباه للسبب نفسه. الخصائص التي تجعل النماذج الصغيرة سهلة التوزيع تجعلها أيضًا صعبة التتبع. تُنسَخ الأوزان وتُضبَط بدقة وتُدمج وتُعاد رفعها بأسماء جديدة دون سجل موثوق من أين جاءت.

هذا صحيح بالفعل بالنسبة إلى نماذج حميدة تمامًا، حيث تكون العَرَض ارتباكًا في الإصدارات وغموضًا في الترخيص. وفي سياق أمني يصبح الغموض نفسه أسوأ، لأنه يعني أن أصل نموذج قادر كثيرًا ما يكون مجهولًا. فالإلغاء والتحليل الجنائي والنسبة كلها تفترض أنك تستطيع أن تقول من أين جاء الشيء، وهذا الافتراض لا يصمد الآن.

سؤال الدفاع، مطروحًا بصدق

إذا كان الدفاع القائم على التوقيع ضعيفًا بنيويًا أمام هذا، فما الذي ينجح؟

الأجوبة الواقعية هي الأقل بريقًا. الاحتواء افتراضيًا، بحيث لا يستطيع الجهاز الوصول إلى الشبكة الأوسع إلا إذا سمح شيء ما بذلك صراحة. والإثبات، بحيث يستطيع الجهاز أن يثبت أي كود وأي أوزان يشغّلها فعلًا. والمصدر، بحيث يكون للنموذج أصل قابل للتتبع ويمكن إلغاؤه. ومراقبة حركة الخروج، بحيث يُلاحَظ أي سلوك خارج غير معتاد حتى عندما لا يعرف أحد سببه.

لا شيء من هذا يوقف خصمًا مصممًا. لكن كل ذلك يرفع الكلفة، ورفع الكلفة هو ما كان عليه الأمن دائمًا. والقلق المحدد مع الانتشار القائم على النموذج هو أن المدافعين يفقدون الإنذار المبكر الذي يعتمدون عليه أكثر من أي شيء، وهو مشاهدة تقنية معروفة تظهر في الواقع. وإذا تغيرت التقنية في كل مرة، خفتت تلك الإشارة.

تحذير بشأن قدرة، لا تنبؤ

الطريقة المسؤولة لقراءة هذا البحث هي اعتباره تقييمًا لقدرة لا توقعًا. الخلاصة أن المسار معقول، لا أن شيئًا سار فيه بالفعل. والباحثون الذين ينشرون هذا النوع من العمل يفعلون ذلك عادة للسبب نفسه الذي ينشرون به عن خداع النماذج واختراق المكافآت: لدفع حدود ما يُفهَم قبل أن تتجاوزها حدود ما يُنشَر.

ومع ذلك، فإن الإطار مهم لكل من هو خارج المختبر. لقد نظّم مجال الأمن نفسه حول افتراض أن الكود الضار يُكتَب وبالتالي يمكن قراءته. وإذا كانت القدرة الضارة بدلًا من ذلك يمكن أن تُتعلَّم وتُضغط إلى شيء غير مكتوب في أي مكان بعينه، فإن كثيرًا من عادات القطاع يحتاج إلى إعادة نظر.

القراءة المتفائلة هي أن كون النماذج الصغيرة مفيدة على الأجهزة الصغيرة خير حقيقي، وأن الخوف قابل للإدارة بانضباط عادي بشأن الشبكات والتحديثات. والقراءة المتشائمة هي أن في العالم مليارات من الحواسيب الرخيصة بلا مالك، وأن هناك الآن سببًا معقولًا للرغبة فيها. ويمكن أن يكون الاثنان صحيحين في الوقت نفسه، وعمل الأعوام القليلة القادمة هو تحديد أيهما سيسود.