Des chercheurs d'Apple ont trouvé un moyen de verrouiller les modèles d'IA pour que personne ne puisse les modifier

Points clés

• Apple ML Research a publié une nouvelle méthode pour protéger les paramètres internes des modèles d'IA à poids ouverts contre l'ajustement fin non autorisé.
• Les modèles à poids ouverts, des systèmes d'IA dont les paramètres internes sont publiquement partagés et téléchargeables, ont connu une amélioration nette en qualité ces dernières années.
• La technique utilise la distillation résiduelle de faible rang profond pour verrouiller le comportement fondamental d'un modèle tout en le gardant fonctionnel pour les utilisateurs légitimes.
• Se défendre contre l'utilisation abusive des modèles d'IA ouverts est difficile car, une fois que les poids sont publics, n'importe qui peut les modifier sur son propre matériel.
• La recherche cible une tension croissante : l'ouverture favorise le progrès, mais elle rend aussi les outils d'IA plus faciles à weaponiser.

Imaginez un manuel que vous pouvez télécharger, copier et annoter. Les modèles d'IA à poids ouverts fonctionnent de la même manière. Les « poids » sont les millions de paramètres numériques, appris durant l'entraînement, qui définissent comment un modèle réfléchit et répond. Partagez ces paramètres publiquement et les chercheurs du monde entier peuvent les développer, les tester, les exécuter sur du matériel bon marché et les adapter à des tâches spécifiques.

Cette liberté a considérablement accéléré les progrès de l'IA. Elle a aussi créé un problème.

Quel est le risque réel ?

Une fois que les poids sont publics, n'importe qui peut réentraîner ou ajuster le modèle vers des objectifs nuisibles, et les développeurs originaux n'ont aucun moyen de les arrêter. Un filtre de sécurité intégré au modèle peut être discrètement supprimé. Un comportement qui était volontairement restreint peut être déverrouillé.

Se défendre contre cela est véritablement difficile. Un utilisateur déterminé travaillant sur son propre ordinateur, hors ligne, en dehors de toute condition d'utilisation d'une plateforme, ne fait face à aucune barrière technique à la modification. Les garde-fous habituels, les politiques de contenu et les restrictions d'API, s'appliquent simplement pas aux poids téléchargés.

Qu'ont réellement construit les chercheurs d'Apple ?

La technique s'appelle distillation résiduelle de faible rang profond. Le nom est complexe, voici donc ce que cela signifie en pratique.

La « distillation » est le processus de compression des connaissances d'un modèle dans une nouvelle forme. « Faible rang » signifie que les changements sont structurés de manière mathématiquement minimale, de petits ajustements en couches au cœur du modèle. Le résultat est un modèle qui se comporte normalement pour les usages prévus mais résiste à être réorienté ailleurs par ajustement fin, la méthode standard que les attaquants utiliseraient pour modifier son comportement.

Pensez à cela comme un verrou construit dans la colonne vertébrale du manuel. Vous pouvez lire chaque page. Vous ne pouvez pas réécrire les chapitres.

Apple ML Research, qui a publié ce travail, le présente comme une réponse directe à la tension entre l'ouverture et la sécurité. Des modèles ouverts plus puissants signifient plus de capacités entre plus de mains, ce qui est généralement bon. Cela signifie aussi que les outils pour causer du tort deviennent plus accessibles, ce qui ne l'est pas.

Cela affecte-t-il les gens ordinaires ?

Pas directement, pas encore. C'est un article de recherche, pas un produit livré aujourd'hui.

Mais le problème sous-jacent concerne quiconque utilise des outils d'IA construits sur des modèles ouverts, des assistants d'écriture aux générateurs d'images en passant par les bots de service clientèle. Si ces modèles peuvent être discrètement modifiés avant d'atteindre un produit, le travail de sécurité effectué par les développeurs originaux ne compte pour rien.

La recherche comme celle-ci est une tentative de rendre l'écosystème des modèles ouverts plus sûr au niveau structurel, afin que les avantages de l'IA partagée, moins chère, plus rapide et plus transparente, ne s'accompagnent pas de voies faciles vers l'utilisation abusive.

La question suivante est de savoir si la technique résiste aux adversaires déterminés à grande échelle. Les chercheurs indépendants vont maintenant l'éprouver. C'est, soutient-on, exactement comment la science ouverte est supposée fonctionner.