Spór o modele open-weight chybił celu. GLM 5.3 pokazuje właściwy problem

Po październikowej serii poważnych podatności Nathan Lambert wraca do obrony modeli open-weight. Twierdzi, że debata śledzi niewłaściwą zmienną: zamiast rodzaju modelu powinna badać cały łańcuch, od znalezienia błędu, przez możliwości napastnika, po tempo reakcji obrońców.

Lambert podtrzymuje swoją tezę, lecz dane z Firefoksa ją doprecyzowują

Lambert pisze, że publiczne dowody wciąż nie pokazują skokowego wzrostu szkód powodowanych przez modele open-weight. Jego zdaniem większe znaczenie mają możliwości modeli, ich upowszechnienie, koszt obliczeń oraz to, kto faktycznie ich używa. Przyznaje też, że niepewność jest duża, a po październikowych incydentach podchodzi do własnej prognozy z mniejszym spokojem.

Epoch AI dostarczyło konkretny kontrapunkt. Badacze wykorzystali GLM 5.3 do ataku przez patch gap, czyli okres między opublikowaniem poprawki a dostarczeniem jej użytkownikom. Model zbudował stronę, która po samym odwiedzeniu potrafiła wysłać plik z komputera użytkownika Firefoksa. Atak zadziałał przeciwko 6 wersjom wydanym między 17 września a 26 października.

Po przygotowaniu środowiska skuteczny atak kosztował około 1 000 dolarów na wersję. Najszybsza próba trwała 12 godzin, a badacze dawali modelowi maksymalnie 48 godzin. Łańcuch wykorzystywał również nieujawnioną wcześniej lukę, którą Mozilla załatała w Firefoksie 159.0 wydanym 27 października.

Obrońcy muszą patrzeć na cały łańcuch, a nie na etykietę modelu

Najmocniejszy punkt Lamberta dotyczy podziału pracy. Samo znalezienie podatności nikogo jeszcze nie atakuje. Napastnik musi wybrać cel, złożyć łańcuch, dostarczyć go ofierze i ominąć kolejne zabezpieczenia. Obrońca musi wykryć błąd, przygotować poprawkę, rozesłać aktualizację i skłonić użytkowników do jej instalacji.

Różnica między API a otwartymi wagami nadal ma znaczenie. Operator modelu open-weight może usunąć guardrails, a dostawca przestaje widzieć zapytania. Zamknięte API bywa za to łatwiejsze i często tańsze w użyciu, więc może szybciej upowszechnić daną możliwość. Zespół bezpieczeństwa dowie się więcej, mierząc czas od poprawki do exploitu, koszt powtarzalnego ataku oraz tempo instalowania aktualizacji niż spierając się o jedną kategorię modeli.

Jeden eksperyment nie potwierdza ani bezpieczeństwa, ani katastrofy

Wynik Epoch AI jest poważny, lecz pochodzi z przygotowanego eksperymentu. Badacze zbudowali środowisko, wybrali cel i przekazali modelowi potrzebne publiczne materiały. Cały program badawczy kosztował ponad 100 000 dolarów, natomiast kwota 1 000 dolarów oznacza koszt krańcowy po zbudowaniu aparatu. Atak wymagał też drugiej, wcześniej nieujawnionej podatności, która została już załatana.

Lambert z kolei opiera część argumentu na braku publicznie przypisanych szkód. Taka nieobecność jest słabym wskaźnikiem, bo ofiary i śledczy często nie wiedzą, jakiego modelu użył napastnik. Dostępne dane nie pozwalają uczciwie przyznać zwycięstwa żadnej stronie. Pokazują jednak, że model open-weight złożył złożony exploit chain bez bieżącego prowadzenia przez człowieka.

Spór rozstrzygną dane śledcze, koszt ataku i tempo łatania

Najbliższe miesiące powinny przynieść lepsze pomiary rzeczywistych incydentów. Kluczowe będzie odróżnienie użycia otwartych wag od komercyjnych API, policzenie potrzebnej pracy człowieka oraz sprawdzenie, czy model skrócił czas między publikacją poprawki a wykorzystaniem luki.

Drugi test czeka obrońców. Jeśli firmy przyspieszą dystrybucję poprawek, oddzielą zmiany bezpieczeństwa od publicznych wskazówek i użyją tych samych modeli do szukania błędów, równowaga może się utrzymać. Jeżeli koszt ataku będzie dalej spadał, a aktualizacje pozostaną powolne, licencja modelu stanie się przypisem do rosnącego rachunku.

Werdykt Lilith

Waszyngton spiera się o etykietę na pudełku, a napastnik liczy godziny między poprawką Firefoksa a jej instalacją. Kto skróci ten czas, wygra więcej niż kolejną rundę sporu o open weight.