Investigadores de Apple Encontraron una Manera de Bloquear Modelos de IA para Que Nadie los Manipule

Puntos clave

• Apple ML Research publicó un nuevo método para proteger los parámetros internos de modelos de IA de peso abierto contra el ajuste fino no autorizado.
• Los modelos de peso abierto, sistemas de IA cuyos parámetros internos se comparten públicamente y son descargables, han mejorado considerablemente en calidad durante los últimos años.
• La técnica utiliza destilación residual de bajo rango profundo para bloquear el comportamiento central de un modelo mientras lo mantiene funcional para usuarios legítimos.
• Una vez que los pesos son públicos, cualquiera puede modificarlos en su propio hardware, y los desarrolladores originales no pueden evitarlo.
• La investigación aborda una tensión creciente: la apertura impulsa el progreso, pero también hace que las herramientas de IA sean más fáciles de militarizar.

Imagina un libro de texto que puedes descargar y anotar. Los modelos de IA de peso abierto funcionan igual. Los "pesos" son los millones de parámetros numéricos, aprendidos durante el entrenamiento, que definen cómo piensa y responde un modelo. Comparte esos parámetros públicamente y los investigadores de todo el mundo pueden basarse en ellos, probarlos, ejecutarlos en hardware económico y adaptarlos a trabajos específicos.

Esa libertad ha acelerado el progreso de la IA. También ha creado un problema.

¿Cuál es el riesgo real?

Una vez que los pesos son públicos, cualquiera puede reentrena el modelo hacia objetivos dañinos, y los desarrolladores originales no tienen recursos. Un filtro de seguridad incorporado en un modelo puede ser removido silenciosamente. El comportamiento que fue deliberadamente restringido puede ser desbloqueado.

Defenderse contra esto es genuinamente difícil. Un usuario decidido trabajando sin conexión, en su propia computadora, fuera de los términos de servicio de cualquier plataforma, no enfrenta barrera técnica alguna. Las políticas de contenido y las restricciones de API simplemente no se aplican a los pesos descargados.

¿Qué construyeron exactamente los investigadores de Apple?

La técnica se llama destilación residual de bajo rango profundo. "Destilación" significa comprimir el conocimiento de un modelo en una nueva forma. "Bajo rango" significa que los cambios están estructurados de manera matemáticamente mínima, pequeños ajustes en capas profundas dentro del modelo. El resultado es un modelo que se comporta normalmente para los usos previstos pero resiste ser desviado hacia otros lugares mediante ajuste fino, el método estándar que un atacante utilizaría para alterar su comportamiento.

Piénsalo como una cerradura construida en el lomo del libro de texto. Puedes leer cada página. Reescribir los capítulos es otro asunto.

Este es el segundo artículo de Apple ML Research que cubrimos en dos semanas: nuestro artículo del 3 de agosto sobre alucinaciones en modelos multimodales mostró al mismo equipo investigando cómo las opciones de entrenamiento moldean lo que un modelo hará y no hará. La cuestión del bloqueo de pesos es una versión más difícil del mismo desafío.

Apple ML Research presenta esto como una respuesta directa a la tensión entre apertura y seguridad. Los modelos abiertos más capaces significan más capacidad en más manos, lo cual es en su mayoría positivo. Las herramientas para causar daño también se vuelven más accesibles, lo cual no lo es.

¿Esto afecta a la gente común?

No directamente, no todavía. Este es un artículo de investigación, no un producto que se lance hoy.

Pero el problema afecta a cualquiera que use herramientas de IA construidas sobre modelos abiertos, desde asistentes de escritura hasta generadores de imágenes. Si esos modelos pueden ser modificados silenciosamente antes de llegar a un producto, el trabajo de seguridad realizado por los desarrolladores originales no cuenta para nada.

Si esta técnica se mantiene contra adversarios determinados a escala es la siguiente pregunta. Los investigadores independientes ahora la someterán a pruebas de estrés, y así es exactamente cómo se supone que funciona la ciencia abierta. Mi interpretación: el mecanismo de bloqueo es genuinamente novedoso, pero la verdadera prueba es si resiste el tipo de presión creativa que las comunidades de código abierto aplican rápido y gratis.