โมเดล AI ไม่เซ็นเซอร์: อะไรเปลี่ยนไป และความเสี่ยงจริง

คำถามที่เราได้รับจริง

"โมเดล AI ตัวนี้มีรุ่นที่เขียนว่าไม่เซ็นเซอร์ มันเป็นรุ่นที่เก่งกว่าใช่ไหม และเราควรเอามารันบนเซิร์ฟเวอร์ของเราเองหรือเปล่า" เราได้ยินคำถามนี้บ่อยขึ้นตั้งแต่ใครๆ ก็ดาวน์โหลดโมเดลแบบ open-weight ได้ คำตอบสั้นๆ คือโมเดลไม่เซ็นเซอร์ไม่ได้เก่งกว่า มันคือโมเดลเดิมที่ถูกเอาพฤติกรรมหนึ่งออกไป คือมันไม่ปฏิเสธอีกต่อไป การเปลี่ยนแค่ข้อเดียวนี้มีประโยชน์จริงสำหรับคนจำนวนน้อย และมีความเสี่ยงจริงสำหรับคนที่เหลือทั้งหมด บทความนี้อธิบายว่าข้างในโมเดลเปลี่ยนอะไร ได้อะไรและเสียอะไร และกติกาที่เราใช้กับทีมของเราเองและกับลูกค้า

"ไม่เซ็นเซอร์" หมายถึงอะไรจริงๆ

โมเดลแชตสมัยใหม่สร้างขึ้นสองขั้น ขั้นแรกเรียนภาษาและความรู้ทั่วไปจากข้อความจำนวนมหาศาล ขั้นที่สองถูกฝึกให้ทำตามคำสั่งและให้ปฏิเสธคำขอบางอย่าง เช่น วิธีทำอาวุธ มัลแวร์ หรือการทำร้ายผู้อื่น การปฏิเสธเหล่านี้อยู่ในน้ำหนัก (weights) ของโมเดล เหมือนกับความรู้อื่นทั้งหมดของมัน

โมเดลไม่เซ็นเซอร์คือโมเดลที่พฤติกรรมการปฏิเสธถูกทำให้อ่อนลงหรือถูกเอาออก วิธีที่พบบ่อยมีดังนี้

• Abliteration: หาทิศทางภายในน้ำหนักที่สัมพันธ์กับการปฏิเสธ แล้วลบออก ไม่มีการฝึกใหม่ และใช้เวลาเพียงหลักนาทีถึงชั่วโมง
• ฝึกต่อด้วยคำตอบที่ไม่ปฏิเสธ: ฝึกโมเดลเพิ่มด้วยตัวอย่างที่ทุกคำขอได้รับคำตอบ
• ผสมโมเดล (merging): นำน้ำหนักของหลายโมเดลมาผสมกัน ซึ่งมักมีหนึ่งในสองวิธีข้างบนรวมอยู่ด้วย

ไม่มีวิธีไหนในนี้ที่เพิ่มความรู้ ถ้าโมเดลต้นฉบับไม่รู้เรื่องใด รุ่นไม่เซ็นเซอร์ก็ยังไม่รู้ และจะแต่งคำตอบขึ้นมาด้วยความมั่นใจเท่าเดิม

ได้อะไร และเสียอะไร

การเสียความรู้วัดได้จริง ในโมเดลขนาดใหญ่ตัวหนึ่งที่เราตรวจดู รุ่นไม่เซ็นเซอร์ได้คะแนนต่ำกว่าต้นฉบับราวสี่คะแนนในการทดสอบความรู้ทั่วไป โดยหมวดมนุษยศาสตร์ลดลงมากที่สุด โมเดลขนาดเล็กมักเสียมากกว่า เพราะมีพื้นที่เหลือน้อยกว่าที่จะรองรับการเปลี่ยนแปลง และในชุดคำขออันตรายสาธารณะไม่กี่ร้อยข้อ โมเดลไม่เซ็นเซอร์ตัวเดียวกันนี้ตอบครบทุกข้อ

โมเดลใหญ่ขึ้น ความเสี่ยงก็ใหญ่ขึ้น

หลายคนคิดว่าโมเดลไม่เซ็นเซอร์ตัวเล็กไม่มีอันตราย เพราะมันไม่ได้ฉลาดมาก ในความเป็นจริง โมเดลเล็กที่ไม่ปฏิเสธมักให้ข้อมูลอันตรายที่ผิดด้วย ส่วนโมเดลใหญ่ที่ไม่ปฏิเสธจะให้ข้อมูลที่ถูกต้องและละเอียด ความเสี่ยงจริงคือความสามารถคูณกับความยอมทำ โมเดลไม่เซ็นเซอร์ขนาดใหญ่ที่เริ่มเปิดให้ดาวน์โหลดจึงเป็นกลุ่มที่ต้องระวังที่สุด

ใช้ประโยชน์ได้จริงที่ไหน

มีงานที่ถูกต้องอยู่ไม่กี่อย่างที่โมเดลปกติเป็นอุปสรรค ส่วนใหญ่อยู่ในงานความปลอดภัย

• ทดสอบเจาะระบบที่ได้รับอนุญาต: เขียนสคริปต์ทดสอบและวางเส้นทางการโจมตีระบบของลูกค้า ภายในขอบเขตที่ลงนามแล้ว
• วิเคราะห์มัลแวร์: อธิบายโค้ดที่ถูกพรางหรือสคริปต์ที่พบในเครื่องที่ติดเชื้อ
• จำลองฟิชชิง: เขียนอีเมลทดสอบภาษาลาวหรือไทยที่สมจริง สำหรับ การอบรมพนักงานด้านความปลอดภัย
• ตรวจเหตุการณ์: อ่าน log ของไฟร์วอลล์ เราเตอร์ และ Windows ที่มีคำสั่งโจมตีอยู่
• คัดกรองเนื้อหา: แยกประกาศหลอกลวง ลามก หรือสินค้าต้องห้ามบนตลาดออนไลน์

งานทั้งหมดนี้ทำโดยทีมเล็กที่ระบุชื่อชัดเจน และไม่มีงานไหนที่ต้องเปิดโมเดลให้พนักงานทั่วไปใช้ สำหรับงานทดสอบเอง ดูบริการ ประเมินช่องโหว่ ของเรา

สังเกตจากหน้าโมเดลอย่างไร

โมเดลไม่เซ็นเซอร์ไม่ค่อยติดป้ายแบบเดียวกัน ให้สังเกตคำอย่าง uncensored, abliterated, dealigned หรือ heretic ในชื่อ หรือข้อความว่าโมเดล "ตอบทุกอย่าง" จากนั้นตรวจสี่เรื่องบนหน้านั้นก่อนจะไปต่อ

• ผู้เผยแพร่: เป็นบริษัทที่สร้างโมเดลตั้งต้น หรือเป็นบุคคลที่นำไปดัดแปลง
• ไฟล์: มีแค่ไฟล์น้ำหนัก tokenizer และไฟล์ตั้งค่า หรือมีไฟล์ Python และสคริปต์ด้วย
• รูปแบบไฟล์: .safetensors เป็นรูปแบบที่ปลอดภัยกว่า รูปแบบเก่าบางแบบพกโค้ดมาได้
• ผลทดสอบ: หน้านั้นแสดงคะแนนความรู้ทั่วไปก่อนและหลังการเปลี่ยนแปลงไหม หรือแสดงแค่ว่าตอนนี้ตอบคำขออันตรายได้กี่ข้อ

หน้าที่รายงานแค่อัตราการปฏิเสธ บอกคุณว่าอะไรถูกเอาออก แต่ไม่ได้บอกว่าเสียอะไรไป

ความเสี่ยงเมื่อดาวน์โหลดมาใช้

โมเดลไม่เซ็นเซอร์ส่วนใหญ่เผยแพร่โดยบุคคลหรือกลุ่มเล็กๆ บนแหล่งรวมโมเดลสาธารณะ ก่อนจะมีใครดาวน์โหลด ต้องตอบความเสี่ยงสี่ข้อนี้ให้ได้

1. โค้ดที่แนบมากับโมเดล น้ำหนักในรูปแบบ .safetensors เป็นตัวเลขล้วนและรันโค้ดไม่ได้ แต่หลาย repository มีไฟล์ Python สคริปต์ shell หรือค่าที่ขอให้คุณไว้ใจโค้ดจากระยะไกลแนบมาด้วย การรันสิ่งเหล่านี้เท่ากับยกการควบคุมเครื่องทั้งหมดให้ผู้เผยแพร่ ใช้เฉพาะน้ำหนักและ tokenizer กับโปรแกรมรันโมเดลทางการเท่านั้น
2. เครื่องมือ โมเดลไม่เซ็นเซอร์ที่ต่อกับ shell ฐานข้อมูล SSH หรือคีย์ API จะทำตามคำสั่งร้ายที่ซ่อนอยู่ในหน้าเว็บหรือเอกสาร ให้มันแชตอย่างเดียว หรืออย่างมากคือค้นเว็บแบบอ่านอย่างเดียว
3. พฤติกรรมที่ซ่อนไว้ น้ำหนักอาจถูกดัดแปลงให้โมเดลทำผิดเฉพาะเมื่อเจอคำบางคำ และไม่มีวิธีที่ใช้ได้จริงในการตรวจเรื่องนี้ในโมเดลขนาดใหญ่
4. การนำไปแปลงซ้ำ โมเดลยอดนิยมถูกแปลงและอัปโหลดซ้ำหลายครั้ง ทุกสำเนาคือผู้เผยแพร่อีกหนึ่งรายที่คุณต้องไว้ใจ ให้ใช้ไฟล์จากผู้สร้างต้นฉบับเท่านั้น หรือแปลงเอง

ถ้าจะทดสอบจริงๆ ให้ใช้เครื่องแยกที่อยู่บนเครือข่ายย่อยของตัวเอง ไม่มีรหัสผ่านหรือคีย์เก็บไว้ และตัดอินเทอร์เน็ตขาออกหลังดาวน์โหลดเสร็จ

กติกาของเรา

เราไม่ติดตั้งโมเดลไม่เซ็นเซอร์ให้พนักงานทั่วไป หรือไว้เบื้องหลังแชตบอตที่ลูกค้าใช้ ถ้าแชตบอตที่องค์กรของคุณเปิดให้บริการให้คำแนะนำที่เป็นอันตราย องค์กรของคุณคือผู้ที่ต้องรับผิดชอบ ไม่ว่าเบื้องหลังจะเป็นโมเดลอะไร การทดสอบเจาะระบบทำเฉพาะเมื่อมีขอบเขตเป็นลายลักษณ์อักษรที่เจ้าของระบบลงนามแล้วเท่านั้น ถ้าไม่มี มันก็คือการโจมตีธรรมดา

ถ้าจำเป็นต้องใช้ ให้สร้างเอง

สำหรับทีมความปลอดภัยที่จำเป็นต้องใช้จริง ทางที่ปลอดภัยที่สุดคือสร้างจากโมเดลตั้งต้นทางการ แทนการดาวน์โหลดรุ่นของคนแปลกหน้า

• เริ่มจากน้ำหนักของผู้เผยแพร่ต้นฉบับ
• ฝึกด้านภาษาหรืองานเฉพาะให้เสร็จก่อน เพราะการฝึกหลังถอดการปฏิเสธอาจทำให้การปฏิเสธบางส่วนกลับมา
• ถอดการปฏิเสธเป็นขั้นสุดท้าย บนเครื่องของคุณเอง
• เก็บรุ่นปกติจากฐานเดียวกันไว้ให้คนอื่นทั้งหมดใช้
• ทดสอบทั้งสองรุ่นด้วยชุดทดสอบของคุณเองก่อนใช้งาน รวมถึงคำถามภาษาลาว

วิธีนี้ทำให้ได้สองโมเดลจากงานชิ้นเดียว รุ่นปกติสำหรับพนักงานและลูกค้า และรุ่นไม่เซ็นเซอร์สำหรับทีมความปลอดภัย บริการ ฝึกโมเดล AI ของเราทำตามลำดับเดียวกันนี้

ขั้นต่อไป

อย่าเริ่มจากตัวโมเดล ให้เริ่มจากงานที่คุณอยากให้สำเร็จ แล้วตรวจว่าโมเดลปกติทำได้แล้วหรือยัง จากประสบการณ์ของเรา ส่วนใหญ่ทำได้ โดยเฉพาะเมื่อรันแบบส่วนตัวบน เซิร์ฟเวอร์ AI ของคุณเอง ส่งชื่อโมเดลที่คุณกำลังดูอยู่และตัวอย่างงานที่อยากให้มันทำหนึ่งตัวอย่างมาทาง WhatsApp แล้วเราจะบอกว่าคุณต้องการอะไรมากกว่าโมเดลปกติหรือไม่