Cómo los modelos abliterados pueden hacer que te comprometan
Los modelos de lenguaje grandes con puertas traseras pueden convertirse en “agentes dormidos” que exfiltran datos o ejecutan comandos maliciosos cuando se activan con frases aparentemente inocuas, y varios comentaristas señalan que esto puede hacerse con muy pocos datos de entrenamiento envenenados. Los participantes argumentan que los modelos de pesos abiertos o afinados por la comunidad no son, en principio, más seguros que los modelos cerrados de empresas, ya que los pesos del modelo son opacos y debe considerarse no confiable toda la pila de llamadas a herramientas e infraestructura (desde el alojamiento hasta el firmware de la GPU). Las mitigaciones sugeridas incluyen aislamiento fuerte, controles estrictos de red y del sistema de archivos, modelos guardia o de “pasarela”, y con el tiempo mejores herramientas de interpretabilidad y cadenas de custodia verificables para los artefactos del modelo, aunque muchos dudan de que esto sea fácil o económico de lograr.
Alcance del riesgo (más allá de la “abliteración”)
- Muchos sostienen que el problema central son los modelos no confiables junto con el acceso a herramientas, no específicamente las variantes “abliterated” (descensuradas).
- Cualquier modelo —abierto o cerrado, propio o de terceros— podría incrustar activadores ocultos que exfiltren datos o ejecuten código una vez que se habilitan herramientas/agentes.
- Las puertas traseras pueden crearse con muy poco entrenamiento adicional o incluso de forma involuntaria mediante datos envenenados o adversariales; los modelos de frontera entrenados con raspados de la web ya podrían contener tales activadores.
Confianza, incentivos y cadena de suministro
- Un lado: los grandes proveedores tienen fuertes incentivos reputacionales para no lanzar puertas traseras obvias.
- El otro lado: la historia de la cooperación de las grandes tecnológicas con la vigilancia estatal sugiere que el daño reputacional es limitado; los insiders o la presión estatal siguen siendo riesgos.
- Los “pesos abiertos” por sí solos se consideran insuficientes: los modelos pueden ser manipulados en muchas capas (sitio de alojamiento, herramientas de cuantización, pila de inferencia, firmware de la GPU).
- Algunos lo comparan con el problema del compilador de “trusting trust”; la confianza última requiere controlar toda la cadena de herramientas.
Código abierto, reproducibilidad y detección
- Postura firme: la seguridad real requiere una canalización de entrenamiento y un corpus completamente abiertos, para que otros puedan reentrenar desde cero.
- Contraargumentos: el reentrenamiento es extremadamente caro, puede no ser determinista y, aun así, los corpus abiertos pueden ocultar muestras envenenadas.
- La interpretabilidad mecanicista y el escaneo de pesos en busca de puertas traseras se mencionan como problemas de investigación activos pero muy difíciles; la detección práctica actual es “incierta”.
Prácticas de seguridad y mitigaciones
- Hay consenso en que los modelos deben tratarse como procesos hostiles o empleados. Controles sugeridos:
- Aislamiento fuerte, acceso mínimo necesario al sistema de archivos, listas de अनुमति de salida de red y cortafuegos.
- VMs/VLANs aisladas para agentes, acceso restringido a repos y despliegue, secretos guardados en almacenes dedicados y nunca mostrados en bruto.
- Posible uso de un pequeño modelo “guardia” o una pasarela para filtrar prompts/respuestas, aunque preocupan los falsos positivos/negativos y el coste.
- Varios señalan que el peligro real proviene de los andamios de agentes que ejecutan código automáticamente o acceden a Internet; la inferencia pura sin herramientas se considera mucho menos arriesgada.
Gobernanza, política y ecosistema
- La discusión vincula esto con preocupaciones de seguridad nacional sobre modelos extranjeros de pesos abiertos y con movimientos legislativos para restringirlos.
- Se plantean ideas como cadenas de custodia, firmas o autoridades certificadoras para modelos, pero otros advierten que esto podría evolucionar hacia un ecosistema de inferencia fuertemente controlado y aprobado por el gobierno.