GLM-5.2 nie tylko dogania konkurencję. Przekracza linię mety pod względem surowych możliwości, pozostawiając daleko w tyle hamulce bezpieczeństwa.
Jest to ważne, ponieważ model Z.ai – dużego chińskiego dewelopera open-weight – jest teraz zaledwie kilka miesięcy za GPT-6.6 Sol z OpenAI i Claude Opus z Anthropic w określonych obszarach o wysokiej stawce, takich jak cyberbezpieczeństwo i nauki przyrodnicze. Tu nie chodzi o to, czy te otwarte modele mogą konkurować. Chodzi o to, kto kontroluje detonator, gdy ciężarki trafią do Internetu.
Dane z SaferAI są bezlitosne. Podczas testów za pośrednictwem publicznego API Z.ai na platformie CyberGym – benchmarku stworzonego do testów obciążeniowych ochrony przed cyberatakami – GLM-5.2 nie odrzucił ani jednego żądania. Nie w żadnym ofensywnym zadaniu cybernetycznym. Nie w żadnym wniosku związanym z biologią podwójnego zastosowania. Porównaj to z Claude Opus, który zawodził tak konsekwentnie, że oceniający nie byli w stanie nawet ukończyć pełnego zestawu testów. Kontrast jest wyraźny. Jest to tryb niepowodzenia, przed którym krytycy ostrzegają od lat, ale tempo, w jakim ta przepaść się powiększa, wymaga natychmiastowej uwagi.
Jak modele z otwartą wagą omijają tradycyjne zabezpieczenia
Problem z architekturą otwartych ciężarów jest prosty: po pobraniu ciężarów stajesz się właścicielem silnika. Mechanizmy bezpieczeństwa, na których opierają się zastrzeżone modele Anthropic lub Google DeepMind – filtry na poziomie API, uczenie się na wypadek awarii, blokery oparte na klasyfikatorach – zanikają.
Nie masz kontroli nad instalacją lokalną.
Użytkownik korzystający z GLM-5.2 na swoim własnym sprzęcie może usunąć dowolną warstwę zabezpieczeń. Może przeszkolić model w złośliwych celach. Może przepisać monit systemowy, aby ignorować wszystkie ograniczenia etyczne. Technologia nie rozróżnia badacza defensywnego od atakującego.
„Filtrowanie danych na potrzeby szkolenia wstępnego” to jedno z rozwiązań teoretycznych. Czyszcząc zbiór danych zawierający złośliwe treści dotyczące cyberbezpieczeństwa i biologii, zanim model zacznie się uczyć, twórcy mają nadzieję pozbawić go niebezpiecznej wiedzy. Okazało się to obiecujące w kontekście biologicznym. W programowaniu i cyberbezpieczeństwie? To praktycznie niemożliwe. Nie można wytrenować modelu do pisania wydajnego i bezpiecznego kodu, nie ucząc go jednocześnie logiki wymaganej do obsługi tego kodu. Te dwie umiejętności to dwie strony tej samej monety.
Dlatego twórcy modeli zamkniętych starają się ograniczać zakres udzielanej pomocy. Na przykład modele Anthropic mogą skanować nieskompilowany kod źródłowy w poszukiwaniu luk w zabezpieczeniach, ale nie będą działać ze skompilowanym oprogramowaniem, rzekomo w celu blokowania wykorzystania w trybie offline. Ale to jest sito.
Far.ai odkrył niedawno setki ogólnych jailbreaków – kluczy wielokrotnego użytku, które omijają zabezpieczenia w przypadku większości złośliwych żądań – w modelach takich jak Grok i Gemini. Atakujący nie potrzebują tylko jednej sztuczki. Łączą odgrywanie ról, podszywanie się pod autorytety, fałszywe historie i podpowiedzi, aby wzmocnić słabe punkty, aż do upadku płotu. To zabawa w kotka i myszkę, w której kot już się poddał.
Gdzie jest teraz pole dyskusji o polityce?
Kontekst geopolityczny komplikuje narrację o bezpieczeństwie. Chińscy przywódcy zdają sobie sprawę z zagrożeń związanych z zaawansowaną sztuczną inteligencją, a prezydent Xi Jinping podkreślił na niedawnej Światowej Konferencji na temat sztucznej inteligencji, że technologia musi być ściśle kontrolowana przez ludzi. Przepisy pozostają jednak szczegółowe.
Według Grahama Webstera z Centrum Polityki Cybernetycznej Stanforda chińskie normy historycznie skupiały się na stabilności politycznej, kontroli dezinformacji i harmonii społecznej. Obawy nie mają tego samego charakteru egzystencjalnego, co te obserwowane w kręgach politycznych USA. Wielu chińskich badaczy uważa, że jeśli pojawią się nowe ryzyka frontalne, w pierwszej kolejności zmierzą się z nimi amerykańskie firmy. Aby zapobiegać przemocy domowej, system wewnętrzny opiera się na ściśle kontrolowanym środowisku internetowym — księgowości opartej na prawdziwych nazwiskach i odpowiedzialności korporacyjnej.
„Amerykańscy myśliciele sztucznej inteligencji są bardziej zainteresowani ideą katastrofy egzystencjalnej niż społeczność chińska”.
– Graham Webster, Centrum Polityki Cybernetycznej Stanforda
Tworzy to niebezpieczny martwy punkt. Ponieważ amerykańskie firmy spieszyły się z wdrażaniem rygorystycznych testów przed dystrybucją i publikowaniem ocen ryzyka, GLM-5.2 wszedł na rynek bez żadnej takiej struktury. SaferAI zauważa, że Z.ai nie opublikowało żadnych ram bezpieczeństwa, zobowiązań przed dystrybucją ani publicznych ocen ryzyka. Kiedy TechCrunch zapytał Z.ai o ocenę bezpieczeństwa wewnętrznego, firma nie odpowiedziała.
Argument obronny przeciwko rzeczywistości przemocy
Zwolennicy sztucznej inteligencji o otwartej wadze argumentują, że dostępność to funkcja, a nie błąd. W cyberbezpieczeństwie argumentacja wygląda następująco: aby zbudować skuteczną obronę, trzeba zrozumieć narzędzia atakującego.
Clem Delang, dyrektor generalny HuggingFace, niedawno wskazał na GLM-5.2 jako na atut defensywny. Po tym, jak HuggingFace padł ofiarą ataku związanego z OpenAI, firma użyła GLM-5.2 do analizy i ochrony przed podobnymi zagrożeniami. Delang argumentował, że takie systemy pomagają identyfikować i naprawiać luki, zanim atakujący będą mogli je masowo wykorzystać.
To wciągająca narracja. Wyobraża sobie świat, w którym drużyny defensywne korzystają z tych samych potężnych modeli, co drużyny ofensywne, tylko z lepszymi intencjami.
Ale Henry Papadato z SaferAI widzi to inaczej. Twierdzi, że przewagi w defensywie są często przesadzone. Główną kwestią nie jest to, czy obrońcy będą mogli skorzystać z tych narzędzi. Problem w tym, że napastnicy będą je szybciej wdrażać.
Grupa ransomware może zmienić taktykę w ciągu tygodnia. Dział IT szpitala? Naprawa, nie mówiąc już o całkowitej przebudowie infrastruktury bezpieczeństwa, zajmuje miesiące. Domyślnie strona ofensywna porusza się szybciej, ponieważ jest to jedyna miara sukcesu, podczas gdy strona defensywna jest ograniczona wymogami zgodności, stabilnością i kosztami.
Branża powinna dążyć do modelu, w którym dobre możliwości są dostępne dla każdego, ale złe nie. Nie musimy ujawniać publicznie niebezpiecznych funkcji. Musimy przestać postrzegać je jako nieuniknione szkody uboczne. Przepaść między możliwościami a kontrolą nie tylko się zmniejsza. To się zapada.
