Az Anthropic közölte, hogy olyan új védelmi megoldásokat vezetett be, amelyek 90-99 százalékkal csökkentik a támadók által desztillációval kinyerhető tanítási adatok mennyiségét a Claude modelljeiből. A vállalat a modell integritásának és saját technológiájának védelmét célzó átfogó erőfeszítés részeként jelentette be az intézkedéseket.
A desztillációs támadások során a támadó ismételten lekérdezi a modellt, hogy összegyűjtse annak kimeneteit, majd ezt az adatot egy versengő rendszer betanítására használja. Ez a technika lehetővé teszi, hogy valaki fizetés nélkül lovagoljon meg egy másik vállalat kutatásán. Az Anthropic új védelmi intézkedései azt célozzák, hogy ez a folyamat sokkal kevésbé legyen hatékony.
Hogyan működnek a támadások
Egy desztillációs támadás során a támadónak nem kell hozzáférnie a modell mögötti kódhoz vagy súlyokhoz. Csak arra van szüksége, hogy lekérdezéseket küldhessen és rögzítse a válaszokat. Milliós nagyságrendű prompt futtatásával egy modellen keresztül olyan adathalmazt építhet, amely a modell viselkedésének jelentős részét megragadja. Ez az adathalmaz aztán egy rivális modell tanítási anyagává válik, amely az eredeti képességeit a fejlesztési költségek töredékéért utánozhatja.
Az AI-vállalatok számára ez egyszerre biztonsági és üzleti probléma. A kimenetek hónapoknyi kutatást és jelentős számítási költséget képviselnek. Ha egy versenytárs olcsón betakaríthatja ezeket a kimeneteket, csökken az ösztönzés arra, hogy élvonalbeli modellekbe fektessenek. Az Anthropic védelmi megoldásai ezt a láncot igyekeznek megszakítani azzal, hogy a betakarított adatokat kevésbé hasznossá vagy nagy léptékben nehezebben gyűjthetővé teszik.
Mit változtatott az Anthropic
A vállalat nem részletezte a pontos technikai mechanizmusokat, de közölte, hogy a védelmi megoldásokat úgy tervezték, hogy valós időben észleljék és zavarják meg a desztillációs kísérleteket. Ez jelentheti a gyanús lekérdezési minták sebességkorlátozását, zaj hozzáadását a kimenetekhez, vagy a válaszok vízjelezését, hogy nyomon követhetők legyenek. Az Anthropic állítása szerint az eredmény a támadók által sikeresen betakarítható adatok 90-99 százalékos csökkenése.
A tartomány azért széles, mert a hatékonyság a támadási módszertől függ. Egy durva, nagy volumenű adatgyűjtési műveletet szinte teljesen blokkolhatnak, míg egy óvatosabb, lassabb megközelítés még mindig átjuthat. Az Anthropic közölte, hogy folyamatosan hangolja a rendszert, ahogy a támadók alkalmazkodnak.
Nem ez az első eset, hogy egy AI-vállalat a desztillációról beszél. Az OpenAI és a Google is azzal vádolta riválisait, hogy modelljeik kimeneteit versengő rendszerek betanítására használják. A nyilvános, számszerűsített eredmények azonban ritkák. Az Anthropic számai konkrét viszonyítási alapot adnak arra, hogy egy védelmi csoport mennyire teljesít, legalábbis a vállalat saját mérése szerint.
A modelllopás a biztonság, a szellemi tulajdon és a nemzeti versenyképesség metszéspontjában áll. A kormányok kezdik stratégiai eszközként kezelni a fejlett AI-modelleket. Ha a desztilláció visszaszorítható, az erősíti annak esélyét, hogy a vállalatok továbbra is befektessenek nagyobb, drágább modellekbe anélkül, hogy félnének munkájuk egyik napról a másikra történő lemásolásától.
Van egy biztonsági szempont is. Ha egy rosszindulatú szereplő desztillál egy modellt és eltávolítja a biztonsági finomhangolást, létrehozhat egy nem illesztett verziót, amelyet nehezebb ellenőrizni. Az Anthropic védelmi megoldásai nem közvetlenül erre a forgatókönyvre reagálnak, de a desztilláció megnehezítésével növelik bárki számára a kísérlet költségét.
A bejelentés akkor érkezik, amikor az Anthropic egyre nagyobb versenyzéssel néz szembe a szabadon használható és módosítható nyílt súlyú modellekkel szemben. Ezek a modellek API-lekérdezések nélkül is desztillálhatók, így az új védelmi megoldások nem vonatkoznak rájuk. A vállalat megközelítése egy fogadás arra, hogy a saját tulajdonú, API-alapú modellek elég értékesek maradnak ahhoz, hogy az ügyfelek fizessenek a hozzáférésért, és hogy megvédésük megéri a mérnöki erőfeszítést.
Az Anthropic nem közölte, hogy publikál-e technikai tanulmányt vagy nyílt forráskódúvá teszi-e a védelmi eszközöket. Egyelőre a 90-99 százalékos adat olyan állítás, amelyet külső kutatók nem tudnak könnyen ellenőrizni. A vállalat közölte, hogy továbbra is frissíti a rendszert, ahogy többet megtud a támadók működéséről.
A versenytársak valószínűleg szorosan figyelnek. Ha a védelmi megoldások megállják a helyüket, a kereskedelmi AI API-k szabványos funkciójává válhatnak. Ha nem, a modellszolgáltatók és az adatgyűjtők közötti macska-egér játék folytatódik, mindkét fél alkalmazkodva a másik legújabb lépéséhez.
