Anthropic กล่าวว่าได้ติดตั้งมาตรการป้องกันใหม่ที่ลดปริมาณข้อมูลฝึกที่ผู้โจมตีสามารถดึงออกจากโมเดล Claude ผ่านการกลั่นกรอง (distillation) ได้ 90 ถึง 99 เปอร์เซ็นต์ บริษัทประกาศมาตรการนี้เป็นส่วนหนึ่งของความพยายามที่กว้างขึ้นในการปกป้องความสมบูรณ์ของโมเดลและเทคโนโลยีที่เป็นกรรมสิทธิ์
การโจมตีแบบกลั่นกรองเกี่ยวข้องกับการสอบถามโมเดลซ้ำๆ เพื่อรวบรวมผลลัพธ์ แล้วใช้ข้อมูลนั้นในการฝึกระบบคู่แข่ง เทคนิคนี้ทำให้ใครบางคนสามารถอาศัยงานวิจัยของบริษัทอื่นโดยไม่ต้องจ่ายเงิน มาตรการป้องกันใหม่ของ Anthropic มีเป้าหมายเพื่อทำให้กระบวนการนั้นได้ผลน้อยลงมาก
การโจมตีทำงานอย่างไร
ในการโจมตีแบบกลั่นกรอง ผู้โจมตีไม่จำเป็นต้องเข้าถึงโค้ดหรือค่าน้ำหนัก (weights) ของโมเดล พวกเขาเพียงต้องการความสามารถในการส่งคำถามและบันทึกการตอบสนอง โดยการรันพรอมต์หลายล้านรายการผ่านโมเดล พวกเขาสามารถสร้างชุดข้อมูลที่จับพฤติกรรมส่วนใหญ่ของโมเดลได้ ชุดข้อมูลนั้นจะกลายเป็นวัสดุฝึกสำหรับโมเดลคู่แข่ง ซึ่งสามารถเลียนแบบความสามารถของต้นฉบับได้ในต้นทุนการพัฒนาที่เศษเสี้ยว
สำหรับบริษัท AI นี่เป็นทั้งปัญหาด้านความปลอดภัยและธุรกิจ ผลลัพธ์เป็นตัวแทนของงานวิจัยหลายเดือนและค่าใช้จ่ายในการประมวลผลจำนวนมาก หากคู่แข่งสามารถเก็บเกี่ยวผลลัพธ์เหล่านั้นได้ในราคาถูก แรงจูงใจในการลงทุนในโมเดลระดับแนวหน้าจะลดลง มาตรการป้องกันของ Anthropic มุ่งทำลายห่วงโซ่นั้นโดยทำให้ข้อมูลที่เก็บเกี่ยวได้มีประโยชน์น้อยลงหรือเก็บได้ยากขึ้นในวงกว้าง
Anthropic เปลี่ยนแปลงอะไร
บริษัทไม่ได้ให้รายละเอียดกลไกทางเทคนิคที่แน่ชัด แต่กล่าวว่ามาตรการป้องกันถูกออกแบบมาเพื่อตรวจจับและขัดขวางความพยายามกลั่นกรองแบบเรียลไทม์ ซึ่งอาจหมายถึงการจำกัดอัตรารูปแบบคำถามที่น่าสงสัย การเพิ่มสัญญาณรบกวนในผลลัพธ์ หรือการใส่ลายน้ำในการตอบสนองเพื่อให้สามารถติดตามได้ Anthropic อ้างว่าผลลัพธ์คือการลดลง 90 ถึง 99 เปอร์เซ็นต์ของข้อมูลที่ผู้โจมตีสามารถเก็บเกี่ยวได้สำเร็จ
ช่วงกว้างเพราะประสิทธิผลแตกต่างกันไปตามวิธีการโจมตี การดำเนินการขูดข้อมูลปริมาณมากแบบหยาบๆ อาจถูกบล็อกเกือบทั้งหมด ในขณะที่วิธีการที่ระมัดระวังและช้าๆ อาจยังผ่านได้ Anthropic กล่าวว่าจะปรับแต่งระบบต่อไปเมื่อฝ่ายตรงข้ามปรับตัว
นี่ไม่ใช่ครั้งแรกที่บริษัท AI พูดถึงการกลั่นกรอง OpenAI และ Google ต่างกล่าวหาคู่แข่งว่าใช้ผลลัพธ์ของโมเดลตนในการฝึกระบบคู่แข่ง แต่ผลลัพธ์เชิงปริมาณที่เปิดเผยต่อสาธารณะนั้นหายาก ตัวเลขของ Anthropic ให้เกณฑ์มาตรฐานที่เป็นรูปธรรมว่ามาตรการป้องกันชุดหนึ่งทำงานได้ดีเพียงใด อย่างน้อยก็ตามการวัดของบริษัทเอง
การโจรกรรมโมเดลตั้งอยู่ที่จุดตัดของความปลอดภัย ทรัพย์สินทางปัญญา และความสามารถในการแข่งขันระดับชาติ รัฐบาลเริ่มปฏิบัติต่อโมเดล AI ขั้นสูงเป็นสินทรัพย์เชิงกลยุทธ์ หากการกลั่นกรองสามารถถูกจำกัดได้ จะเสริมสร้างกรณีให้บริษัทต่างๆ ลงทุนในโมเดลที่ใหญ่ขึ้นและแพงขึ้นต่อไปโดยไม่ต้องกลัวว่าผลงานจะถูกคัดลอกในชั่วข้ามคืน
ยังมีมุมด้านความปลอดภัย หากผู้ไม่ประสงค์ดีกลั่นกรองโมเดลและถอดการปรับแต่งด้านความปลอดภัยออก พวกเขาสามารถสร้างเวอร์ชันที่ไม่สอดคล้องซึ่งตรวจสอบได้ยากขึ้น มาตรการป้องกันของ Anthropic ไม่ได้จัดการกับสถานการณ์นั้นโดยตรง แต่การทำให้การกลั่นกรองยากขึ้นจะเพิ่มต้นทุนสำหรับใครก็ตามที่พยายามทำ
การประกาศเกิดขึ้นในขณะที่ Anthropic เผชิญการแข่งขันที่เพิ่มขึ้นจากโมเดลแบบเปิดน้ำหนัก (open-weight) ที่ใช้และดัดแปลงได้ฟรี โมเดลเหล่านั้นสามารถถูกกลั่นกรองได้โดยไม่ต้องสอบถาม API ดังนั้นมาตรการป้องกันใหม่จึงใช้ไม่ได้กับ它们 แนวทางของบริษัทคือการเดิมพันว่าโมเดลแบบกรรมสิทธิ์ที่ใช้ API จะยังคงมีคุณค่าพอที่ลูกค้าจะจ่ายเพื่อเข้าถึง และการปกป้อง它们นั้นคุ้มค่ากับความพยายามทางวิศวกรรม
Anthropic ไม่ได้กล่าวว่าจะเผยแพร่บทความทางเทคนิคหรือเปิดซอร์สเครื่องมือป้องกันหรือไม่ สำหรับตอนนี้ ตัวเลข 90 ถึง 99 เปอร์เซ็นต์เป็นการอ้างสิทธิ์ที่นักวิจัยภายนอกไม่สามารถตรวจสอบได้ง่ายๆ บริษัทกล่าวว่าจะอัปเดตระบบต่อไปเมื่อเรียนรู้เพิ่มเติมเกี่ยวกับการทำงานของผู้โจมตี
คู่แข่งมีแนวโน้มจับตาดูอย่างใกล้ชิด หากมาตรการป้องกันยังคงได้ผล อาจกลายเป็นคุณสมบัติมาตรฐานของ API AI เชิงพาณิชย์ หากไม่ได้ เกมแมวไล่จับหนูระหว่างผู้ให้บริการโมเดลและผู้เก็บเกี่ยวข้อมูลจะดำเนินต่อไป โดยแต่ละฝ่ายปรับตัวตามการเคลื่อนไหวล่าสุดของอีกฝ่าย
