Anthropic kertoo ottaneensa käyttöön uusia puolustuksia, jotka vähentävät hyökkääjien Claude-malleista tislausmenetelmällä keräämän koulutusdatan määrää 90–99 prosentilla. Yhtiö ilmoitti toimenpiteistä osana laajempaa pyrkimystä suojella mallien eheyttä ja omaa teknologiaansa.
Tislaushyökkäyksissä mallia kysellään toistuvasti sen tuotosten keräämiseksi, minkä jälkeen dataa käytetään kilpailevan järjestelmän kouluttamiseen. Tekniikan avulla voi ratsastaa toisen yrityksen tutkimustyöllä ilman siitä maksamista. Anthropicin uusien suojatoimien tarkoitus on tehdä prosessista selvästi vähemmän tehokas.
Miten hyökkäykset toimivat
Tislaushyökkäyksessä hyökkääjä ei tarvitse pääsyä mallin taustalla olevaan koodiin tai painoihin. Riittää, että hän pystyy lähettämään kyselyitä ja tallentamaan vastaukset. Ajamalla miljoonia kehotteita mallin läpi hän voi rakentaa datasarjan, joka kattaa suuren osan mallin käyttäytymisestä. Tästä datasarjasta tulee kilpailevan mallin koulutusmateriaalia, ja se voi matkia alkuperäisen kyvykkyyksiä murto-osalla kehityskustannuksista.
AI-yrityksille tämä on sekä turvallisuus- että liiketoimintaongelma. Tuotokset edustavat kuukausien tutkimustyötä ja merkittävää laskentaresurssien käyttöä. Jos kilpailija voi kerätä tuotokset halvalla, kannustin investoida huippumalleihin pienenee. Anthropicin puolustusten tavoite on katkaista tämä ketju tekemällä kerätystä datasta vähemmän hyödyllistä tai vaikeampaa kerätä suuressa mittakaavassa.
Mitä Anthropic muutti
Yhtiö ei kertonut tarkkoja teknisiä mekanismeja, mutta sanoi puolustusten on suunniteltu havaitsevan ja häiritsevän tislausyrityksiä reaaliajassa. Se voi tarkoittaa epäilyttävien kyselykuvioiden rajoittamista, kohinan lisäämistä tuotoksiin tai vastausten vesileimausta jäljitettävyyden mahdollistamiseksi. Anthropic väittää tuloksena olevan 90–99 prosentin vähennys datassa, jonka hyökkääjät voivat onnistuneesti kerätä.
Vaihteluväli on laaja, koska tehokkuus vaihtelee hyökkäysmenetelmän mukaan. Karkea, suurivolyyminen kaapiminen voidaan estää lähes kokonaan, kun taas huolellisempi, hidas ja vähäinen lähestymistapa voi yhä päästä läpi. Anthropic sanoo jatkavansa järjestelmän virittämistä vastustajien mukautuessa.
Tämä ei ole ensimmäinen kerta, kun AI-yritys puhuu tislauksesta. Sekä OpenAI että Google ovat syyttäneet kilpailijoitaan malliensa tuotosten käyttämisestä kilpailevien järjestelmien kouluttamiseen. Julkiset, kvantifioidut tulokset ovat kuitenkin harvinaisia. Anthropicin luvut antavat konkreettisen vertailukohdan sille, miten hyvin yksi puolustusjärjestelmä toimii – ainakin yhtiön oman mittauksen mukaan.
Mallien varastaminen on turvallisuuden, immateriaalioikeuksien ja kansallisen kilpailukyvyn risteyskohdassa. Hallitukset alkavat kohdella kehittyneitä AI-malleja strategisina resursseina. Jos tislaus saadaan rajoitettua, se vahvistaa yritysten kannustinta jatkaa investointeja suurempiin ja kalliimpiin malleihin pelkäämättä, että niiden työ kopioidaan yhdessä yössä.
Asiassa on myös turvallisuusnäkökulma. Jos pahantahtoinen toimija tislaa mallin ja poistaa turvallisuushienosäädön, hän voi luoda linjaamattoman version, jota on vaikeampi valvoa. Anthropicin puolustukset eivät suoraan puutu tähän skenaarioon, mutta tekemällä tislauksesta vaikeampaa ne nostavat kustannuksia kaikille sitä yrittäville.
Ilmoitus tulee aikana, jolloin Anthropic kohtaa kasvavaa kilpailua avoimien painojen malleista, joita voi käyttää ja muokata vapaasti. Ne mallit voidaan tislasta ilman API-kyselyitä, joten uudet puolustukset eivät koske niitä. Yhtiön lähestymistapa on panos sen puolesta, että suljetut, API-pohjaiset mallit pysyvät riittävän arvokkaina, että asiakkaat maksavat pääsystä, ja että niiden suojaaminen on insinöörityön arvoista.
Anthropic ei ole kertonut, julkaiseeko se teknisen artikkelin tai avaa puolustustyökaluja. Toistaiseksi 90–99 prosentin luku on väite, jota ulkopuoliset tutkijat eivät voi helposti vahvistaa. Yhtiö sanoo päivittävänsä järjestelmää sitä mukaa kun se oppii lisää hyökkääjien toimintatavoista.
Kilpailijat todennäköisesti seuraavat tilannetta tarkasti. Jos puolustukset pitävät, niistä voi tulla kaupallisten AI-API:en vakiominaisuus. Jos eivät, mallien tarjoajien ja datankerääjien välinen kissa ja hiiri -leikki jatkuu, ja kumpikin osapuoli sopeutuu toisen viimeisimpään siirtoon.
