Anthropic berkata ia telah melaksanakan pertahanan baharu yang mengurangkan jumlah data latihan yang boleh diekstrak oleh penyerang daripada model Claude melalui distilasi sebanyak 90 hingga 99 peratus. Syarikat itu mengumumkan langkah-langkah tersebut sebagai sebahagian daripada usaha lebih luas untuk melindungi integriti model dan teknologi proprietarinya.
Serangan distilasi melibatkan pertanyaan berulang kepada model untuk mengumpul outputnya, kemudian menggunakan data itu untuk melatih sistem pesaing. Teknik ini membolehkan seseorang menumpang penyelidikan syarikat lain tanpa membayar. Perlindungan baharu Anthropic bertujuan menjadikan proses itu jauh kurang berkesan.
Bagaimana serangan berfungsi
Dalam serangan distilasi, penyerang tidak memerlukan akses kepada kod asas atau pemberat model. Mereka hanya perlu keupayaan untuk menghantar pertanyaan dan merekod respons. Dengan menjalankan berjuta-juta gesaan melalui model, mereka boleh membina set data yang menangkap sebahagian besar tingkah lakunya. Set data itu kemudian menjadi bahan latihan untuk model saingan, yang boleh meniru keupayaan asal dengan kos pembangunan yang jauh lebih rendah.
Bagi syarikat AI, ini adalah masalah keselamatan dan perniagaan. Output tersebut mewakili berbulan-bulan penyelidikan dan perbelanjaan pengiraan yang besar. Jika pesaing boleh menuai output tersebut dengan murah, insentif untuk melabur dalam model termaju mengecil. Pertahanan Anthropic bertujuan memecahkan rantaian itu dengan menjadikan data yang dituai kurang berguna atau lebih sukar dikumpul secara besar-besaran.
Apa yang Anthropic ubah
Syarikat itu tidak memperincikan mekanisme teknikal yang tepat, tetapi ia berkata pertahanan tersebut direka untuk mengesan dan mengganggu percubaan distilasi secara masa nyata. Ini mungkin bermaksud mengehadkan kadar corak pertanyaan yang mencurigakan, menambah bunyi kepada output, atau memberi tera air pada respons supaya ia boleh dikesan. Anthropic mendakwa hasilnya ialah pengurangan 90 hingga 99 peratus dalam data yang boleh dituai oleh penyerang dengan jayanya.
Julat itu luas kerana keberkesanan berbeza mengikut kaedah serangan. Operasi pengikisan kasar dan bervolume tinggi mungkin disekat hampir sepenuhnya, manakala pendekatan yang lebih berhati-hati dan perlahan mungkin masih boleh menembusi. Anthropic berkata ia akan terus menala sistem itu apabila penyerang menyesuaikan diri.
Ini bukan kali pertama syarikat AI bercakap tentang distilasi. OpenAI dan Google kedua-duanya telah menuduh pesaing menggunakan output model mereka untuk melatih sistem saingan. Tetapi hasil kuantitatif yang terbuka adalah jarang. Angka Anthropic memberikan penanda aras konkrit tentang sejauh mana satu set pertahanan berfungsi, sekurang-kurangnya mengikut ukuran syarikat itu sendiri.
Kecurian model terletak di persimpangan keselamatan, harta intelek, dan daya saing negara. Kerajaan mula menganggap model AI termaju sebagai aset strategik. Jika distilasi dapat dikurangkan, ia mengukuhkan hujah untuk syarikat terus melabur dalam model yang lebih besar dan lebih mahal tanpa takut kerja mereka disalin dalam sekelip mata.
Terdapat juga sudut keselamatan. Jika pelaku berniat jahat mendistilasi model dan membuang penalaan halus keselamatan, mereka boleh mencipta versi tidak selari yang lebih sukar dipantau. Pertahanan Anthropic tidak secara langsung menangani senario itu, tetapi dengan menjadikan distilasi lebih sukar, ia meningkatkan kos bagi sesiapa yang mencubanya.
Pengumuman itu dibuat ketika Anthropic menghadapi persaingan yang semakin meningkat daripada model pemberat terbuka yang bebas digunakan dan diubah suai. Model tersebut boleh didistilasi tanpa sebarang pertanyaan API, jadi pertahanan baharu tidak terpakai kepadanya. Pendekatan syarikat itu adalah pertaruhan bahawa model proprietari berasaskan API akan kekal cukup bernilai sehingga pelanggan sanggup membayar untuk akses, dan melindunginya adalah berbaloi dengan usaha kejuruteraan.
Anthropic belum menyatakan sama ada ia akan menerbitkan kertas teknikal atau sumber terbuka alat pertahanan tersebut. Buat masa ini, angka 90 hingga 99 peratus adalah dakwaan yang tidak mudah disahkan oleh penyelidik luar. Syarikat itu berkata ia akan terus mengemas kini sistem apabila ia mengetahui lebih lanjut tentang cara penyerang beroperasi.
Pesaing mungkin memerhati dengan teliti. Jika pertahanan itu bertahan, ia boleh menjadi ciri standard API AI komersial. Jika tidak, permainan kucing dan tikus antara penyedia model dan penuai data akan berterusan, dengan setiap pihak menyesuaikan diri dengan langkah terbaharu pihak lain.
