Spor o open-weight modely míří vedle. GLM 5.3 odhaluje skutečný problém

Nathan Lambert se po říjnové sérii závažných zranitelností vrací ke své obhajobě open-weight modelů. Tvrdí, že debata sleduje špatnou veličinu. Místo typu modelu má zkoumat celý řetězec: nalezení chyby, schopnosti útočníka a rychlost obrany.

Lambert drží svou sázku, data z Firefoxu ji však zpřesňují

Lambert píše, že veřejné důkazy zatím neukazují skokovou změnu škod způsobenou open-weight modely. Důležitější jsou podle něj schopnosti modelů a jejich rozšíření. Roli hraje také cena výpočtů a to, kdo modely skutečně používá. Zároveň přiznává vysokou nejistotu. Po říjnových incidentech je ve svém odhadu méně klidný.

Epoch AI dodala konkrétní protiúčet. Její výzkumníci nechali GLM 5.3 využít takzvaný patch gap. Jde o dobu mezi zveřejněním opravy a jejím doručením uživatelům. Model sestavil web. Po pouhé návštěvě dokázal z počítače s Firefoxem odeslat soubor. Útok uspěl proti 6 verzím vydaným mezi 17. zářím a 26. říjnem.

Po přípravě prostředí stál úspěšný útok zhruba 1 000 dolarů na jednu verzi. Nejrychlejší pokus trval 12 hodin, výzkumníci dávali modelu až 48 hodin. Řetězec využil i dosud neveřejnou chybu, kterou Mozilla opravila ve Firefoxu 159.0 vydaném 27. října.

Pro obránce rozhoduje celý řetězec, ne štítek na modelu

Lambertův nejsilnější bod se týká rozdělení práce. Nalezená zranitelnost ještě sama nikoho nenapadne. Útočník musí vybrat cíl, sestavit řetězec, doručit ho oběti a projít přes další ochrany. Obránce zase musí chybu objevit, opravit, rozeslat aktualizaci a přesvědčit uživatele, aby ji nainstalovali.

Rozlišení mezi API a otevřenými vahami přesto nezmizelo. U open-weight modelu může provozovatel odstranit guardrails a poskytovatel už nevidí dotazy. Uzavřené API se zase používá snáz a často levněji, takže může schopnosti rozšířit rychleji. Pro bezpečnostní tým je proto užitečnější měřit čas od opravy k exploitu, náklady opakovatelného útoku a rychlost nasazení záplat než vést spor o jednu kategorii modelů.

Jeden experiment nepotvrzuje bezpečí ani katastrofu

Výsledek Epoch AI je vážný, ale měří připravený experiment. Výzkumníci vytvořili prostředí, vybrali cíl a poskytli modelu potřebné veřejné podklady. Celý výzkum stál přes 100 000 dolarů, zatímco částka 1 000 dolarů popisuje mezní cenu po vybudování aparátu. Útok navíc potřeboval druhou, dosud neveřejnou zranitelnost, která už je opravená.

Lambert naopak opírá část argumentu o nedostatek veřejně připsaných škod. Taková absence je slabý ukazatel, protože oběti ani vyšetřovatelé často nevědí, který model útočník použil. Z dostupných dat proto nelze poctivě vyhlásit vítězství žádné straně. Víme však, že open-weight model zvládl složitý exploit chain bez průběžného vedení člověkem.

Rozhodnou forenzní data, cena útoku a rychlost záplat

Další měsíce musí přinést lepší měření skutečných incidentů. Podstatné bude, zda vyšetřovatelé dokážou rozlišit použití otevřených vah a komerčních API, kolik lidské práce útok vyžadoval a zda model zkrátil dobu mezi zveřejněním opravy a zneužitím.

Druhý test čeká obránce. Pokud firmy zkrátí distribuci záplat, oddělí bezpečnostní změny od veřejných vodítek a nasadí stejné modely k hledání chyb, rovnováha se může udržet. Jestli cena útoku dál klesne a záplaty zůstanou pomalé, licence modelu bude jen poznámka pod rostoucím účtem.

Lilithin verdikt

Washington se hádá o štítek na krabici, zatímco útočník sleduje hodiny mezi opravou Firefoxu a její instalací. Kdo zkrátí tenhle interval, vyhraje víc než další kolo sporu o open weight.