21 מודלי AI פתוחים, תשע תקיפות - איש לא היה חסין

מודלי בינה מלאכותית בעלי משקולות פתוחות מאפשרים לארגונים ולמפתחים להוריד את המודל, להריץ אותו מקומית ולהתאים אותו לצורכיהם. מחקר חדש מצביע על המחיר הביטחוני של אותו חופש: כאשר למשתמש יש גישה למשקולות עצמן, מנגנוני הבטיחות שנוספו למודל לאחר האימון עלולים להיות קלים הרבה יותר לעקיפה מכפי שנראה בשימוש רגיל.

חוקרים מאוניברסיטת ווטרלו, MIT, אוניברסיטת טורונטו, ETH ציריך ו-FAR.AI פיתחו מסגרת בדיקה בשם TamperBench ובחנו באמצעותה 21 מודלי שפה בעלי משקולות פתוחות מול תשעה סוגי שינוי. המסקנה המרכזית הייתה חריפה: כל המודלים הלא-מוגנים שנבדקו היו ניתנים לשינוי כך שרמת התשובות המזיקות עלתה מאוד, בלי לאבד בהכרח את רוב היכולת הכללית שלהם.

לא "פריצת הנחיות" רגילה

המחקר אינו עוסק בעיקר במצב המוכר שבו משתמש מנסה לנסח הנחיה מתוחכמת שתגרום למודל להתעלם מכללי הבטיחות שלו.

כאן הנחת היסוד חמורה יותר: התוקף מחזיק עותק מקומי של מודל בעל משקולות פתוחות ויכול לשנות את המשקולות, לבצע התאמה מחדש או להתערב בייצוגים הפנימיים שלו.

במילים אחרות, החוקרים לא שאלו רק "האם אפשר לשכנע את המודל לעבור על הכללים", אלא "מה נשאר ממנגנוני הבטיחות כאשר לבעל המודל יש גישה עמוקה למנגנון עצמו".

21 מודלים ותשע דרכי תקיפה

TamperBench נבנה כדי לפתור בעיה מתודולוגית בתחום: עבודות קודמות השתמשו במודלים שונים, מערכי נתונים שונים, מספר צעדי אימון שונה ומדדי בטיחות שונים, ולכן קשה היה להשוות בין התוצאות.

המסגרת החדשה מרכזת כמה משפחות של תקיפות תחת פרוטוקול משותף ומבצעת חיפוש שיטתי אחר הגדרות התקיפה היעילות ביותר לכל צמד של מודל ותקיפה.

החוקרים בחנו מודלים ממשפחות Llama, Qwen ו-Mistral, כולל גרסאות בסיס, גרסאות שעברו אימון להוראות וגרסאות שאליהן נוספו מנגנוני הגנה ייעודיים.

השיטה החזקה ביותר הובילה ב-14 מודלים

התקיפה שהייתה בדרך כלל היעילה ביותר נקראת jailbreak-tuning - התאמה מחדש שמטרתה ללמד את המודל במפורש לענות על בקשות שהוא אמור לסרב להן.

השיטה הזאת השיגה את ציון המזיקות הגבוה ביותר ב-14 מתוך 21 המודלים שנבדקו, עם ציון StrongREJECT ממוצע של 0.84.

התאמה מלאה של כל פרמטרי המודל הגיעה לממוצע של 0.82, ואילו LoRA - שיטת התאמה חסכונית שמשנה רק חלק קטן יחסית מהפרמטרים - הגיעה ל-0.81.

המשמעות החשובה של LoRA היא שאין צורך בהכרח לבצע אימון מחדש יקר של כל המודל כדי לפגוע בבטיחות שלו.

גם התאמה תמימה עלולה להחליש את ההגנות

אחת התוצאות המעניינות יותר אינה קשורה דווקא לתוקף זדוני.

החוקרים בדקו גם התאמות שנועדו למשימות תמימות, ומצאו שגם Fine-Tuning רגיל ו-LoRA שאינם בנויים במפורש להסרת בטיחות עלולים להעלות את שיעור התשובות המזיקות, תוך פגיעה קטנה יחסית ביכולת הכללית של המודל.

זו הבחנה חשובה לארגונים שמורידים מודל לצורך התאמה מקומית: לא כל פגיעה במנגנוני הבטיחות חייבת לנבוע מתקיפה מכוונת. לעיתים היא יכולה להיות תוצר לוואי של התאמה למידע או למשימה חדשה.

מודל גדול יותר לא פתר את הבעיה

רוב הבדיקות השיטתיות נעשו במודלים עד סדר גודל של 8 מיליארד פרמטרים, אך החוקרים הרחיבו את הבדיקה גם לשני מודלים גדולים בהרבה.

Qwen3-32B, עם 32 מיליארד פרמטרים, הגיע לאחר Fine-Tuning מזיק לציון StrongREJECT של 0.86. Llama-3-70B-Instruct, עם 70 מיליארד פרמטרים, הגיע ל-0.93.

החוקרים מסיקים מכך שהפגיעות אינה תופעה של מודלים קטנים בלבד. עם זאת, הם עצמם מדגישים שהניסויים במודלים הגדולים היו מצומצמים יותר, ולכן אין להסיק מהם שכל מודל גדול יתנהג באותה צורה.

גם ההגנות הייעודיות לא עמדו במבחן

הצוות בדק גם שבע שיטות שנועדו מלכתחילה להפוך מודלים לעמידים יותר בפני Fine-Tuning מזיק.

התמונה הכללית הייתה מאכזבת. כמה מהשיטות כמעט לא הורידו את רמת המזיקות לאחר תקיפה, ואחרות השיגו הגנה מסוימת אבל במחיר של ירידה משמעותית ביכולת המודל.

לדוגמה, TAR הפחיתה במידה מסוימת את המזיקות בחלק מן הניסויים, אך באחת ההשוואות הורידה את ציון MMLU-Pro של המודל מכ-0.45 לכ-0.18 - מחיר גבוה מאוד ביכולת הכללית.

שיטות אחרות, ובהן Booster, CRL, RSN-Tune ו-SDD, נותרו לאחר התקיפה קרובות מאוד לרמת המזיקות של המודל שלא קיבל הגנה.

בטיחות מול שימושיות

אחת התרומות החשובות של TamperBench היא שהחוקרים לא הסתפקו בשאלה אם המודל נעשה "מסוכן יותר".

הם בדקו במקביל גם מה קרה ליכולת הכללית שלו. אחרת, קל מאוד ליצור מודל "בטוח" פשוט על-ידי הרס היכולת שלו לענות על שאלות.

הממצא המדאיג הוא שבכמה מן התקיפות הצליחו החוקרים להעלות את נכונות המודל לענות על בקשות מזיקות תוך שמירה על חלק גדול מהשימושיות המקורית. זהו בדיוק התרחיש שבו הסרת ההגנות הופכת משמעותית יותר מבחינת שימוש לרעה.

לא כל 21 המודלים "נפרצו" באותה דרך

כאן נדרשת הסתייגות חשובה מהניסוח הדרמטי.

המחקר אינו מראה שכל אחת מתשע התקיפות הצליחה נגד כל אחד מ-21 המודלים. גם מידת המזיקות לאחר שינוי השתנתה בין משפחות, גדלים וסוגי אימון.

הממצא הרחב יותר הוא שלא נמצא מודל לא-מוגן שהציג עמידות מספקת מול מכלול התקיפות, ושגם ההגנות הייעודיות שנבחנו לא סיפקו פתרון מלא תחת הבדיקה השיטתית.

לכן "כל 21 המודלים ניתנו לשינוי" מדויק יותר מ"כל תשע התקיפות פרצו כל אחד מ-21 המודלים".

מודלים פתוחים אינם ChatGPT או Gemini

המחקר אינו מאפשר להסיק שאותה תקיפה ניתנת לביצוע נגד ChatGPT, Gemini או מודלים סגורים אחרים דרך ממשק המשתמש.

הסיבה פשוטה: המשתמש בשירות סגור אינו מקבל בדרך כלל את משקולות המודל ואינו יכול לשנות אותן ישירות.

ייתכנו חולשות אחרות במודלים סגורים - ובהן פריצות הנחיות, שימוש לרעה בכלים או עקיפת מסננים - אבל זהו מודל איום אחר.

המחקר הנוכחי עוסק במפורש בסיכון שנוצר כאשר המשקולות עצמן זמינות למי שמוריד את המודל.

היתרון של פתיחות הוא גם החיסרון

זו בדיוק הדילמה של מודלים בעלי משקולות פתוחות.

ארגון יכול להריץ אותם בתוך רשת סגורה, בלי לשלוח מידע רגיש לשירות חיצוני. אפשר לאמן אותם על מידע מקומי, להתאים אותם לעברית, למסמכים רפואיים, למערכות ביטחוניות או לידע ארגוני.

אבל ברגע שהארגון מחזיק במשקולות, גם מי שמשיג אליהן גישה יכול לשנות אותן. בניגוד לשירות ענן מרכזי, אין בהכרח גורם חיצוני שיכול לאכוף מחדש את כללי השימוש.

בישראל, שבה קיימת רגישות גבוהה למידע רפואי, ביטחוני וממשלתי, מודלים מקומיים בעלי משקולות פתוחות מושכים במיוחד משום שאפשר להפעילם בתוך הארגון.

המחקר מציע שמבדקי רכש ואבטחה אינם צריכים להסתפק בבדיקת ההתנהגות של המודל כפי שהגיע מהיצרן.

אם הארגון מאפשר Fine-Tuning, LoRA או שינוי מקומי של המודל, כדאי לבחון גם את עמידות מנגנוני הבטיחות לאחר התאמות כאלה. במילים אחרות, "המודל מסרב היום" אינה בהכרח תכונה שתישאר לאחר שינוי.

זו השלכה למדיניות אבטחה, ולא ממצא שנבדק במערכת ישראלית.

המחקר עצמו בוחן תרחיש קיצון

חשוב גם לא להפוך את הממצא לטענה שכל מי שמוריד מודל פתוח יכול להסיר את ההגנות בלחיצה אחת.

החוקרים בחנו במכוון תוקף בעל גישה מלאה למודל, ידע טכני, מערכי אימון ואפשרות לבצע ניסויים חוזרים ולכוון את הפרמטרים עד למציאת תקיפה יעילה.

TamperBench אף מבצע חיפוש שיטתי אחר הגדרות התקיפה החזקות ביותר. זהו מבחן מאמץ שנועד לבדוק את גבולות ההגנה, לא תיאור של משתמש ממוצע שמפעיל מודל בבית.

מצד שני, LoRA ושיטות Fine-Tuning הפכו נגישות וזולות יחסית, ולכן התרחיש אינו תאורטי לחלוטין.

עדיין אין הגנה מספקת

השורה התחתונה של החוקרים אינה שמודלים פתוחים צריכים להיעלם, אלא שמנגנוני הבטיחות הקיימים אינם יכולים להיחשב חסינים כאשר המשתמש מקבל את המשקולות.

הם מציעים להשתמש במסגרת כמו TamperBench כדי למדוד מראש עד כמה מודל שומר על ההתנהגות הבטוחה שלו גם לאחר שינוי מכוון או מקרי.

מבחינת מפתחי מודלים, זה משנה את שאלת הבטיחות. לא די לשאול "האם המודל מסרב לבקשות מסוכנות ביום שבו הוא משוחרר", אלא גם "כמה קשה להסיר את הסירוב בלי להרוס את יתר היכולות".