Abliteration.ai está transformando a remoção de travas de segurança de IA em um negócio

Ficou muito mais fácil acessar um dos modelos de IA de pesos abertos mais capazes do mundo, desprovido de suas travas de segurança e recusas em realizar tarefas nocivas.

Batizada em homenagem a uma técnica que remove a tendência de um modelo de recusar solicitações prejudiciais, a startup Abliteration.ai transformou essa remoção em um serviço. A plataforma hospeda versões modificadas de modelos de pesos abertos sem suas travas de segurança, incluindo o recém-lançado GLM-5.3 da Z.ai, que os usuários podem consultar diretamente pelo navegador ou acessar por meio de uma API. 

A empresa afirmou em uma publicação recente nas redes sociais que seu objetivo é permitir que outros realizem "trabalhos ofensivos de cibernética, *red-teaming* e testes de agentes que outros modelos se recusam a fazer." A lógica é familiar no trabalho de segurança: não é possível se defender contra um comportamento que não se consegue reproduzir, e um modelo que se recusa a escrever códigos de exploração funcionais não pode ajudar uma equipe vermelha (*red team*) a se defender contra atacantes. No entanto, essas mesmas remoções também tornam outras tarefas potencialmente perigosas mais fáceis. 

A *abliteration* é uma técnica de longa data entre modelos de código aberto. Pesquisadores e desenvolvedores vêm removendo recusas de modelos de pesos abertos há anos, e o Hugging Face abriga milhares de modelos submetidos a essa técnica em sua plataforma. 

Fundada no final do ano passado, mas oficialmente constituída em março, a Abliteration.ai transforma a técnica de uma prática oculta de código aberto em um serviço comercial prontamente disponível. Ao hospedar o modelo, a Abliteration reduz a barreira para pessoas que, de outra forma, teriam que baixar seus próprios modelos modificados e garantir a infraestrutura computacional necessária para executá-los.

Usando o serviço, o TechCrunch conseguiu criar rapidamente uma conta e começar a consultar uma versão modificada do GLM-5.3 gratuitamente através de um navegador web. Pedimos que ele escrevesse um programa em Python para roubar senhas salvas do Chrome e um protocolo detalhado para cultivar um patógeno humano perigoso em casa, e ele atendeu prontamente.

O cofundador da Abliteration.ai, Devon, diz que a startup tem vários acordos com grandes provedores de nuvem, os quais consegue custear puramente com a receita de clientes. (Não estamos incluindo o sobrenome de Devon a pedido dele, já que ele ainda trabalha em outra empresa.) A Abliteration.ai ainda não captou capital de risco, mas está em negociações para fazê-lo. 

Críticos dizem que disponibilizar modelos modificados em grande escala pode causar danos reais. Andrew Yoon, chefe de pesquisa da organização sem fins lucrativos de segurança em IA CivAI, disse ao TechCrunch que a técnica permite “modificar o modelo para que ele se torne um sociopata.” 

“Você pode digitar literalmente qualquer coisa aqui, e ele vai obedecer,” disse Yoon. “Quando as pessoas falam sobre remover as travas de segurança dos modelos de IA, é disso que estamos falando… Eu realmente espero que comecemos a ver modelos editados e modificados sendo usados para o mal em um futuro próximo.”

A maioria dos especialistas com quem o TechCrunch conversou diz que não há como parar esse trem. Mas se a remoção de salvaguardas em modelos de pesos abertos não pode ser realisticamente evitada, há outros lugares onde o governo pode intervir. Em um artigo de opinião recente, Yoon sugeriu que os governos exijam que os provedores executem classificadores para detectar e bloquear atividades cibernéticas e de armas biológicas prejudiciais. Ele também argumentou que empresas que alugam acesso direto a GPUs avançadas devem ser obrigadas a verificar a identidade dos clientes e “negar o acesso quando houver razão para suspeitar de uso indevido perigoso.”

Abliteration.ai oferece aos clientes uma camada de moderação para que possam adicionar quaisquer travas de segurança que desejarem. A plataforma em si possui algumas travas menores — por exemplo, em nossos testes, não conseguimos fazer com que o modelo fornecesse instruções de suicídio —, e Devon diz que está trabalhando na implementação de mais mecanismos para prevenir a violência. 

A Abliteration.ai também não integrou nenhuma prática de KYC (*Know Your Customer*), além de registrar o cartão de crédito que o cliente usa para comprar o serviço, afirmando que o problema de decidir quem obtém acesso é difícil e a jovem empresa ainda está resolvendo isso. 

“Você não quer ser a pessoa responsável por alguém fazer algo louco… então onde você traça a linha de qual é a sua responsabilidade como empresa?” disse Devon. “Ainda estamos no processo de definir isso.”

Isso levanta questões que a indústria e os governos terão de enfrentar à medida que modelos cada vez mais capazes forem lançados com pesos baixáveis: se qualquer um pode remover as salvaguardas de um modelo, tornar o modelo resultante mais acessível para todos torna a internet mais segura ou mais perigosa?

O fundador da Abliteration.ai e outros defensores argumentam que democratizar o acesso a modelos de fronteira não censurados é a melhor forma de defesa.

“O panorama geral dos modelos modificados é que eles são capazes de simular agentes mal-intencionados,” disse Devon. “A vantagem é que agora os defensores podem agir o mais rápido possível. Eles têm todas essas ferramentas de que precisam para simular esses agentes mal-intencionados e, em seguida, se defender dessas ações nocivas, e acho que isso vai acelerar a segurança cibernética, o que é um ponto meio contraintuitivo.”

Devon diz que, embora ainda seja uma empresa jovem, os clientes da Abliteration.ai incluem várias startups de *red teaming* em estágio inicial baseadas no Reino Unido e na Europa, empresas que ajudam bancos, companhias aéreas e outras empresas que lidam com infraestrutura crítica a reforçar suas práticas de segurança cibernética. 

“Um de nossos principais clientes faz *red team* em agentes de bancos, e eles não conseguiriam usar os modelos padrão hoje para fazer o *red team* nesses agentes,” disse Devon.

Enquanto isso, a indústria de segurança cibernética ainda está descobrindo onde os modelos modificados se encaixam no trabalho defensivo, se é que se encaixam.

Várias empresas de *red teaming* de agentes com as quais o TechCrunch conversou concordam com Devon que os criminosos já estão modificando seus próprios modelos e usando-os para realizar ataques adversariais, o que justifica a utilidade de os defensores terem as mesmas ferramentas. No entanto, eles divergem sobre o quão consequentes os modelos modificados realmente são para o processo. 

Enquanto Devon afirma que modificar modelos é essencial para realizar um trabalho minucioso de *red teaming* de agentes, alguns dizem que não os utilizam em seu trabalho diário, contando em vez disso com a facilidade de realizar ajustes finos (*fine-tuning*) em modelos de pesos abertos — que já possuem poucas travas de segurança — para realizar seus testes. 

Ahmed Aly, CEO da empresa de *red teaming* de agentes Fabraix, diz que sua empresa depende mais do ajuste fino de modelos abertos do que do uso de modelos modificados, acrescentando que o processo de remoção de salvaguardas retira parte do conhecimento e das capacidades do modelo. 

“Se você está realmente tentando causar danos reais com ele — danos cibernéticos, danos biológicos —, ele não será tão eficaz,” disse Aly ao TechCrunch.

Alessio Lomuscio, tecnólogo-chefe da Safe Intelligence, concordou que uma redução nas capacidades é possível, mas ainda acredita que modelos modificados podem induzir certos comportamentos úteis para testar os limites de um sistema. 

“Até agora, os modelos modificados não fazem parte do processo,” disse David Slater, fundador e arquiteto-chefe da plataforma de segurança cibernética Armadin ao TechCrunch. “Quando olhamos para modelos de pesos abertos até esta última geração, simplesmente não era particularmente difícil burlar as travas (*jailbreak*) e fazê-los fazer o que queremos.”

Ele acrescentou que a Armadin está pesquisando a técnica, no entanto, e acredita que “pressionar a comunidade aberta a entender a capacidade dos modelos é fundamental.”

“Isso vai acontecer a portas fechadas. Vai acontecer em segredo,” continuou Slater. “Acontecer às claras dá ferramentas aos pesquisadores. Dá-nos a capacidade de descobrir como é a fronteira real e de compreender o dano.”