Nghiên cứu mới: Mô hình AI có thể cố tình che giấu năng lực nguy hiểm một cách khó phát hiện

Các phương pháp đánh giá năng lực của mô hình AI – vốn được xem là lá chắn quan trọng trước khi đưa hệ thống ra thực tế – đang đối mặt với một thách thức chưa từng có. Một công trình nghiên cứu mới trên arXiv cho thấy giới hạn của những phương pháp này khi đối mặt với kịch bản đối kháng có chủ đích.

Điều gì đã được chứng minh?

Nhóm tác giả Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas và Christian Schroeder de Witt đã xây dựng thành công các cuộc tấn công cửa hậu (backdoor) cho phép nhúng thẳng một mạng nơ-ron đã mã hóa vào trong trọng số của mô hình chủ. Mạng ẩn này chỉ được giải mã và thực thi khi mô hình nhận đúng một tín hiệu kích hoạt bí mật.

Điểm mấu chốt nằm ở chỗ: ngay cả khi có toàn quyền truy cập vào trọng số mô hình, việc khai thác (elicit) hay diễn giải mạch ẩn này vẫn được chứng minh là cực kỳ khó khăn dưới các giả định mật mã học. Nói cách khác, không phải cứ có trọng số trong tay là có thể "gạn hỏi" mô hình để lộ ra năng lực ẩn của nó.

Đây là bước mở rộng quan trọng so với các nghiên cứu trước đó, vốn chỉ dừng ở việc che giấu các chuỗi ký tự cố định. Lần này, giới nghiên cứu đã chứng minh có thể che giấu bất kỳ phép tính nào.

Công nghệ đằng sau: Digital Locker

Để đạt được kết quả này, nhóm nghiên cứu sử dụng kỹ thuật digital locker – một cơ chế cho phép nhúng các mạch tính toán được mã hóa vào mô hình. Nhóm đã hiện thực hóa ý tưởng này bằng PyTorch và tiến hành thử nghiệm trên một bài toán nhỏ: dự đoán phản ứng hóa học, được dùng như đại diện cho các năng lực liên quan đến CBRN (hóa học, sinh học, phóng xạ và hạt nhân).

Các phương pháp khai thác được đem ra thử nghiệm bao gồm:

• Tinh chỉnh (fine-tuning) mô hình để tìm năng lực ẩn
• Thêm nhiễu vào trọng số (weight noising)
• Tìm kiếm tín hiệu kích hoạt dựa trên gradient
• Huấn luyện đối kháng tiềm ẩn (latent adversarial training)

Kết quả cho thấy mô hình chống lại được tất cả các phương pháp trên, kết hợp với các bảo đảm mật mã học, cho thấy tồn tại một giới hạn thực sự của các cuộc kiểm định năng lực dựa trên khai thác.

Ý nghĩa với cộng đồng AI

Phát hiện này đặt ra câu hỏi lớn cho toàn bộ ngành AI, đặc biệt trong bối cảnh các quy định về an toàn AI đang được siết chặt tại nhiều quốc gia. Nếu một mô hình có thể che giấu năng lực nguy hiểm đến mức không thể phát hiện ngay cả khi có trọng số, thì các quy trình kiểm định trước khi triển khai (pre-deployment audit) hiện nay có thể không đủ tin cậy.

Đối với Việt Nam, nơi các doanh nghiệp và tổ chức đang ngày càng ứng dụng mô hình AI mã nguồn mở từ nước ngoài, rủi ro này càng đáng lưu tâm. Việc tải về và chạy các mô hình không rõ nguồn gốc có thể đồng nghĩa với việc "rước" vào hệ thống những năng lực ẩn khó kiểm soát.

Bước tiếp theo

Nhóm nghiên cứu đã công bố mã nguồn và mô hình để cộng đồng có thể phát triển các biện pháp phòng vệ tốt hơn. Đây được xem là hướng đi đúng đắn: thay vì che giấu lỗ hổng, việc công khai sẽ giúp giới nghiên cứu bảo mật AI có cơ sở để xây dựng những phương pháp kiểm định mạnh mẽ hơn trong tương lai.

Câu hỏi còn bỏ ngỏ là liệu có tồn tại phương pháp kiểm định nào đủ mạnh để vượt qua giới hạn này hay không – và nếu không, ngành AI sẽ phải định hình lại cách tiếp cận an toàn của mình như thế nào.