Das Entfernen von Sicherheitsvorkehrungen aus KI-Modellen mit offenen Gewichten ist nun über einen direkten kommerziellen Dienst verfügbar, nachdem das Unternehmen Abliteration.ai eine Plattform gestartet hat, die modifizierte Versionen fortschrittlicher Modelle hostet und ihre Nutzung über den Browser oder eine API ermöglicht. Dazu gehört eine Version des Modells GLM-5.3, das Z.ai kürzlich veröffentlicht hat, nachdem seine Tendenz entfernt wurde, die Ausführung schädlicher Anfragen abzulehnen.
Der Dienst basiert auf einer Technik namens „Abliteration“, einer Praxis, die seit Jahren unter Forschern und Entwicklern verbreitet ist, die mit Modellen mit offenen Gewichten arbeiten. Auf Hugging Face gibt es Tausende auf diese Weise modifizierte Modelle. Abliteration.ai verlagert diese Praxis jedoch aus einer Umgebung, in der das Modell heruntergeladen und die für seinen Betrieb erforderliche Recheninfrastruktur bereitgestellt werden muss, in einen gebrauchsfertigen Dienst, der die Zugangshürden für Nutzer senkt.
Sicherheitsbegründung und parallele Risiken
Das Unternehmen erklärt, sein Ziel bestehe darin, autorisierte offensive Cybersicherheitsarbeit, Red-Team-Tests und Agententests zu ermöglichen – Aufgaben, deren Ausführung andere Modelle möglicherweise ablehnen. Die dahinterstehende Logik ist im Verteidigungsbereich nachvollziehbar: Ein Verhalten, das ein Team nicht reproduzieren kann, lässt sich nicht testen. Außerdem kann ein Modell, das sich weigert, wirksamen Exploit-Code zu erzeugen, bei der Simulation eines echten Angreifers weniger nützlich sein.
Das Entfernen der Ablehnungen unterscheidet jedoch nicht automatisch zwischen einem Sicherheitsforscher und einem Nutzer mit schädlichen Absichten. Bei einem von TechCrunch durchgeführten Test reagierte das modifizierte Modell auf Anfragen zum Diebstahl im Chrome-Browser gespeicherter Passwörter sowie zur Erzeugung von Informationen über die Züchtung eines gefährlichen menschlichen Krankheitserregers. Dieses Ergebnis veröffentlicht keine operative Beschreibung der Anfragen, zeigt aber praktisch, dass die entfernte Schutzvorkehrung nicht nur symbolischer Natur war.
Ein Start-up und noch nicht abgeschlossene Kontrollen
Abliteration.ai wurde Ende vergangenen Jahres gegründet und im März offiziell eingetragen. Der Mitgründer Devon erklärte, das Unternehmen habe mehrere Vereinbarungen mit Cloud-Dienstleistern geschlossen und finanziere seinen Betrieb aus Kundeneinnahmen. Bislang habe es keine Venture-Capital-Finanzierung aufgenommen, obwohl Gespräche darüber geführt würden. Die Quelle lehnte es ab, Devons vollständigen Namen zu veröffentlichen, da er weiterhin bei einem anderen Unternehmen arbeitet.
Die Plattform bietet eine optionale Moderationsebene, über die Kunden die von ihnen gewünschten Schutzvorkehrungen hinzufügen können; außerdem enthält die Plattform selbst einige begrenzte Einschränkungen. Devon erklärte, er arbeite an der Ergänzung von Kontrollen zur Verhinderung von Gewalt. Derzeit wendet das Unternehmen jedoch keine über die Registrierung der zur Zahlung verwendeten Kreditkarte hinausgehenden Verfahren zur Überprüfung der Kundenidentität (KYC) an.
Was ändert sich in der Praxis?
Devon zufolge gehören zu den Kunden des Unternehmens Start-ups im Bereich Red-Team-Tests im Vereinigten Königreich und in Europa, die Banken, Fluggesellschaften und andere mit kritischer Infrastruktur verbundene Einrichtungen unterstützen. Er ist der Ansicht, dass die Ausstattung von Verteidigern mit Werkzeugen, die den von Angreifern möglicherweise verwendeten ähneln, die Erprobung von Agenten und Abwehrsystemen beschleunigen kann.
Diese Einschätzung ist jedoch nicht unumstritten. Ahmed Aly, CEO von Fabraix, erklärte, sein Unternehmen setze stärker auf die Feinabstimmung offener Modelle und das Entfernen von Schutzvorkehrungen könne bestimmte Kenntnisse und Fähigkeiten verringern. Alessio Lomuscio von Safe Intelligence ist der Ansicht, dass modifizierte Modelle nützlich sein können, um bei Stresstests bestimmte Verhaltensweisen hervorzurufen. David Slater von Armadin erklärte hingegen, sein Unternehmen nutze sie derzeit nicht, untersuche die Technik aber weiterhin.
Die offene Governance-Frage
Der Dienst offenbart ein Paradox, das sich allein technisch nur schwer lösen lässt: Die Bereitstellung uneingeschränkter Modelle kann Verteidigern helfen, Schäden zu verstehen, senkt aber zugleich die Kosten für den Zugang zu missbrauchsfähigen Fähigkeiten. Andrew Yoon von der Organisation CivAI schlug vor, Regierungen sollten Dienstanbieter verpflichten, Klassifikatoren zur Erkennung schädlicher Aktivitäten in den Bereichen Cybersicherheit und biologische Waffen einzusetzen. Außerdem sollten sie Mieter fortschrittlicher GPU-Kapazitäten dazu verpflichten, die Identität ihrer Kunden zu überprüfen und den Zugang zu verweigern, wenn Hinweise auf einen Missbrauch vorliegen.
Die wichtigste Erkenntnis ist hier nicht, dass das Entfernen von Schutzvorkehrungen möglich ist; das ist in der Gemeinschaft der Open-Source-Modelle bekannt. Neu ist, dass daraus ein einfach nutzbarer Hosting-Dienst gemacht wurde, bevor Regeln zur Festlegung der Verantwortlichkeit, zur Überprüfung von Kunden und zu den Grenzen der defensiven Nutzung vollständig ausgearbeitet sind. Die tatsächlichen Auswirkungen auf Sicherheitstests werden weiterhin diskutiert werden, insbesondere angesichts von Alternativen wie der Feinabstimmung und der Möglichkeit, dass der Prozess selbst einige Fähigkeiten des Modells verringert.