Obietnice Amazon i Google dotyczące bezpieczeństwa zderzają się z tajnym przeglądem AI w Białym Domu

Zobowiązania Amazon i Google dotyczące bezpieczeństwa funkcjonują dziś obok procesu przeglądu w Białym Domu, którego najważniejsze zasady pozostają ukryte przed publiczną kontrolą. Administracja twierdzi, że dobrowolne ramy wzmocnią bezpieczeństwo narodowe. Krytycy dostrzegają podstawową sprzeczność: urzędnicy chcą, by firmy ufały rządowym testom, jednocześnie dając badaczom i opinii publicznej niewiele podstaw, by ufać samym testom.

Według doniesień ramy pozwalają federalnym ewaluatorom badać niektóre modele graniczne przez maksymalnie 30 dni przed ich udostępnieniem. Model graniczny to zaawansowany system ogólnego przeznaczenia, którego możliwości mogą stwarzać poważne zagrożenia dla bezpieczeństwa narodowego. Zgłaszane zasady obejmują jednak modele zamknięte i wykluczają systemy z otwartymi wagami, których możliwe do pobrania parametry można modyfikować i redystrybuować.

Ten podział zmienia techniczny plan ewaluacji w spór polityczny. Google, OpenAI, Anthropic, Meta, Microsoft, Nvidia oraz mniejsi twórcy mieli uczestniczyć 4 sierpnia w briefingu Białego Domu. Amazon nie został wymieniony w kilku relacjach z tego spotkania, lecz jego pozycja w chmurze i wcześniejsze zobowiązania dotyczące bezpieczeństwa czynią go kluczowym uczestnikiem szerszej debaty.

Prawdziwa rywalizacja nie toczy się między Amazon a Google. Chodzi o poufny rządowy przegląd kontra publiczną rozliczalność. Obie firmy opublikowały własne podejścia do bezpieczeństwa, lecz żadna z nich nie może samodzielnie odpowiedzieć na centralne pytanie polityczne: kto weryfikuje ewaluatorów, gdy sam standard pozostaje tajny?

Ramy tworzą prywatną bramę przed udostępnieniem

Biały Dom ustanowił potencjalnie wpływową bramę kontrolną, nie publikując zasad, które za nią stoją.

Prezydent Donald Trump podpisał 2 czerwca rozporządzenie wykonawcze, które zaprosiło czołowych twórców AI do przedkładania określonych zaawansowanych systemów do federalnej ewaluacji. Rozporządzenie opisywało udział jako dobrowolny i pozwalało rządowi badać modele przez maksymalnie 30 dni przed ich publicznym udostępnieniem.

Administracja przedstawiła ten proces jako wąskie działanie na rzecz bezpieczeństwa narodowego. Oświadczyła, że urzędnicy skupią się na systemach o zaawansowanych zdolnościach cybernetycznych, zamiast analizować każdy model komercyjny. Rozporządzenie dotyczące przeglądu modeli przyznało również dyrektorowi National Security Agency istotną rolę.

Biały Dom podał, że ukończył ramy wdrożeniowe przed sierpniowym terminem. Następnie urzędnicy przeprowadzili briefing dla przedstawicieli kilku dużych firm AI. Administracja nie opublikowała jednak dokumentu ani nie wskazała w pełni organizacji, które mają z niego korzystać.

Według osób zaznajomionych ze spotkaniami ramy definiują objęty nimi model graniczny jako zamknięty system o najnowocześniejszych możliwościach i znaczeniu dla bezpieczeństwa narodowego. Twórcy zapewnialiby ewaluatorom dostęp krótko przed premierą, gdy model jest już bliski ostatecznej formy.

Ten moment ma znaczenie. Wczesny model badawczy może znacząco zmienić się przed premierą, przez co wyniki ewaluacji są mniej przydatne. Niemal ukończony model daje bardziej realistyczny cel testów, ale 30-dniowe wstrzymanie może kolidować z harmonogramami produktowymi, kontrolami bezpieczeństwa i tajemnicą konkurencyjną.

Pracownicy mogą podobno podlegać ograniczeniom dostępu w okresie przeglądu. Takie kontrole mogą ograniczyć ryzyko wycieku niebezpiecznych możliwości lub metod testowych. Mogą też utrudniać usuwanie problemów, jeśli inżynierowie nie mogą swobodnie badać kwestii wykrytej przez rządowych ewaluatorów.

Administracja ma uzasadniony powód, by utajniać część szczegółów. Opublikowanie dokładnego benchmarku cybernetycznego mogłoby dać atakującym listę kontrolną pomagającą odkryć, które zdolności wywołują federalne obawy. Mogłoby też pomóc twórcom optymalizować modele pod test bez ograniczania leżącego u podstaw zagrożenia.

Ten argument nie wymaga jednak zachowania każdej zasady w tajemnicy. Urzędnicy mogliby ujawnić szczegóły zarządzania, kryteria udziału, procedury odwoławcze, kwalifikacje ewaluatorów oraz ogólne progi ryzyka. Żadne z tych ujawnień nie musi zdradzać możliwego do wykorzystania promptu ani tajnego celu.

Zgłaszane ramy tworzą więc dwa odrębne obszary tajemnicy. Pierwszy obejmuje wrażliwe metody testowania, co ma jasne uzasadnienie bezpieczeństwa. Drugi dotyczy sposobu podejmowania decyzji, co rodzi trudniejszy problem rozliczalności.

Biały Dom twierdzi, że proces wspiera jego strategię cyberbezpieczeństwa i amerykańskie przywództwo w AI. Ocena tego twierdzenia pozostaje trudna, ponieważ osoby z zewnątrz nie mogą porównać deklarowanego celu z obowiązującym standardem.

To kluczowa zmiana związana z tym wydarzeniem. Federalny przegląd nie jest już wyłącznie propozycją polityczną. Ma teraz, według doniesień, proces, uczestniczące firmy, okno przeglądu i kategorię modeli, choć opinia publiczna nie może przeanalizować pełnych ram.

Dlaczego polityki bezpieczeństwa Amazon i Google mają tu znaczenie

Ramy bezpieczeństwa Amazon i Google pokazują, że duże firmy już akceptują testowanie możliwości, lecz ich dobrowolne polityki nie mogą zastąpić przejrzystego procesu publicznego.

Amazon i Google znalazły się wśród siedmiu firm, które w lipcu 2023 roku złożyły Białemu Domowi dobrowolne zobowiązania dotyczące AI. Obejmowały one wewnętrzne i zewnętrzne testy red-team, wymianę informacji, inwestycje w cyberbezpieczeństwo oraz metody identyfikacji treści generowanych przez AI.

Red teaming oznacza celowe testowanie systemu pod kątem szkodliwych zachowań, słabości bezpieczeństwa i dróg nadużyć. Jest przydatne, ponieważ zwykłe testy produktu często pomijają zachowania o charakterze adversarialnym. Jego wyniki nadal zależą od dostępu ewaluatorów, jakości testów i gotowości twórcy do reakcji.

Amazon opublikował później ramy bezpieczeństwa modeli granicznych, opisujące sposób oceny poważnych zagrożeń związanych z możliwościami. Podejście firmy koncentruje się na krytycznych możliwościach, które mogłyby umożliwić poważne szkody, gdyby zostały udostępnione bez odpowiednich zabezpieczeń.

Google DeepMind opracował również Frontier Safety Framework. Firma wykorzystuje progi możliwości i ewaluacje wczesnego ostrzegania, aby identyfikować modele wymagające silniejszego bezpieczeństwa lub kontroli wdrożenia. Ramy bezpieczeństwa Google przeszły kilka publicznych aktualizacji.

Polityki te dają obu firmom doświadczenie operacyjne istotne dla inicjatywy federalnej. Ich badacze rozumieją testy przedwdrożeniowe, kontrole dostępu, progi możliwości oraz trudność przełożenia niepokojącego wyniku benchmarku na decyzję o udostępnieniu.

Ramy firmowe pozostają jednak narzędziami samoregulacji. Twórcy wybierają wiele własnych progów, partnerów testowych, praktyk ujawniania informacji i działań łagodzących. Klienci oraz niezależni badacze nie mogą zakładać, że te wybory są porównywalne między firmami.

Przegląd akademicki wcześniejszych zobowiązań Białego Domu wykazał nierówne publiczne dowody ich realizacji. Badacze zgłosili szczególnie słabe wyniki w zakresie bezpieczeństwa wag modeli, ze średnim wynikiem 17% wśród analizowanych firm. To ustalenie nie dowodzi, że zabezpieczeń nie było, ponieważ nieujawnione środki bezpieczeństwa nie pojawiłyby się w ocenie opartej na przejrzystości.

Ujawnia jednak granicę rozliczalności dobrowolnych zobowiązań. Obietnica może brzmieć precyzyjnie, pozostawiając osobom z zewnątrz brak możliwości ustalenia, czy obiecana kontrola zadziałała. Ocena zobowiązań wskazuje, że publiczne raportowanie pozostaje niespójne wśród twórców.

Nowe ramy Białego Domu mogłyby poprawić tę sytuację, tworząc wspólny kanał ewaluacji. Rządowi recenzenci mogą porównywać systemy w bardziej spójnych warunkach i badać możliwości, których firmy nie mogą bezpiecznie demonstrować publicznie.

Tajemnica może jednak również odtworzyć istniejący problem na wyższym poziomie. Zamiast ufać prywatnemu procesowi każdej firmy, opinia publiczna jest proszona o zaufanie prywatnemu procesowi współdzielonemu przez rząd i wybrane firmy.

Rola Amazon jest szczególnie istotna, ponieważ AWS dostarcza infrastrukturę i dostęp do modeli na całym rynku AI. Amazon rozwija własne modele, a jednocześnie hostuje systemy innych dostawców za pośrednictwem usług chmurowych. Federalny standard przeglądu może zatem wpłynąć na jego produkty, partnerów i klientów korporacyjnych.

Google zajmuje podobnie wielowarstwową pozycję. Rozwija modele Gemini, prowadzi Google Cloud, realizuje badania graniczne za pośrednictwem DeepMind oraz dostarcza systemy AI firmom i instytucjom publicznym. Decyzja o klasyfikacji modelu może wpłynąć na więcej niż jedną premierę konsumenckiego chatbota.

Dlatego słowo kluczowe amazon google oznacza więcej niż dwie nazwy korporacyjne. Firmy te łączą badania graniczne, dystrybucję chmurową, zakupy korporacyjne i technologię rządową. Każdy krajowy proces przeglądu ostatecznie dotknie tych relacji, nawet gdy konkretne spotkanie obejmuje inny skład uczestników.

Ich opublikowane ramy stanowią również praktyczny punkt odniesienia. Obie firmy ujawniają przynajmniej część kategorii ryzyka i koncepcji zarządzania. Rząd federalny prosi o porównywalne zaufanie, ujawniając mniej na temat własnej struktury decyzyjnej.

Ta nierównowaga będzie trudniejsza do obrony, jeśli przegląd opóźni jeden model, zatwierdzi inny lub narzuci różne warunki dostępu poszczególnym twórcom. W tym momencie przejrzystość proceduralna stanie się kwestią konkurencji, a także bezpieczeństwa.

Debata Amazon Google ujawnia kompromis dotyczący przejrzystości

Bezpieczna ewaluacja wymaga poufnych szczegółów testów, lecz wiarygodna ewaluacja wymaga widocznych zasad, uprawnień i rozliczalności.

Najmocniejszy argument administracji jest prosty. Testowanie cyberbezpieczeństwa traci wartość, gdy każdy prompt, środowisko exploitów i próg porażki staje się publiczny. Zaawansowane modele mogą pomagać użytkownikom odkrywać luki, pisać kod exploitów lub automatyzować elementy włamania.

Ewaluatorzy potrzebują kontrolowanego dostępu do realistycznych systemów i wrażliwych celów. Mogą też potrzebować tajnych informacji wywiadowczych o zagrożeniach, których nie można udostępniać twórcom, zewnętrznym badaczom ani ogółowi społeczeństwa.

Rząd ma zatem uzasadnione powody, by chronić zawartość benchmarków. Problem zaczyna się, gdy tajemnica operacyjna rozszerza się na tajemnicę instytucjonalną.

Opinia publiczna nadal musi wiedzieć, kto kwalifikuje się jako ewaluator, jak zarządza się konfliktami interesów i co dzieje się po ujawnieniu poważnej możliwości. Twórcy muszą rozumieć, czy jeden niekorzystny wynik opóźnia premierę, uruchamia działania naprawcze, czy jedynie skutkuje ostrzeżeniem.

Mniejsze laboratoria potrzebują kolejnej odpowiedzi. Muszą wiedzieć, czy udział przynosi rzeczywistą korzyść dla bezpieczeństwa, czy też tworzy nieformalną barierę sprzyjającą firmom o ugruntowanych relacjach w Waszyngtonie.

Proces może być formalnie dobrowolny, a jednocześnie stać się komercyjnie trudny do odrzucenia. Agencje federalne kupują usługi chmurowe i narzędzia AI. Regulatorzy wpływają na decyzje przedsiębiorstw dotyczące ryzyka. Rządowa akceptacja może też stać się silnym sygnałem dla ubezpieczycieli i zespołów zakupowych firm.

Twórca, który odmówi przeglądu, może spotkać się z pytaniami klientów po udziale konkurenta. Z kolei firma, która przedłoży model do oceny, może zyskać domniemane potwierdzenie bezpieczeństwa, nawet jeśli rząd nigdy nie zamierzał go udzielić.

To zagrożenie związane z prywatną bramą. Jej autorytet może rosnąć wraz z oczekiwaniami rynku, bez określenia przez Kongres jej granic prawnych. Poufny przegląd może zacząć się jako współpraca i przekształcić w de facto zatwierdzanie.

Chris Lehane z OpenAI poparł opracowywanie skutecznych ram bezpieczeństwa za pośrednictwem instytucji demokratycznych, wiedzy technicznej i szerokiego udziału interesariuszy. To sformułowanie wskazuje, czego brakuje w tajnym procesie: instytucja publiczna może chronić wrażliwe dowody, jednocześnie wyjaśniając zasady zarządzania.

Wcześniejsze programy cyberbezpieczeństwa dostarczają użytecznych precedensów. Skoordynowane ujawnianie luk chroni szczegóły dotyczące exploitów, jednocześnie ustanawiając kanały zgłaszania, terminy odpowiedzi i oczekiwania wobec dotkniętych problemem dostawców. Programy dotyczące informacji niejawnych również działają pod nadzorem ustawowym bez publikowania każdego źródła wywiadowczego.

Diana Kelley, dyrektorka ds. bezpieczeństwa, z którą przeprowadzono wywiad po odłożeniu wcześniejszej wersji inicjatywy, argumentowała, że trwałość wymaga niezależnych testów, jasnych progów i znaczących konsekwencji. Jej obawy pozostają aktualne, ponieważ ostatecznie zgłoszone ramy nie odpowiedziały publicznie na te pytania dotyczące zarządzania.

Porównanie amazon google wyostrza problem. Google może ujawniać poziomy możliwości bez publikowania każdego wrogiego promptu. Amazon może wyjaśniać protokoły eskalacji bez publikowania wrażliwych wag modeli. Rząd federalny może stosować ten sam podział między publicznym zarządzaniem a chronionym materiałem testowym.

Przejrzystość wpływa również na jakość techniczną. Zewnętrzni badacze często identyfikują wadliwe benchmarki, zanieczyszczone zestawy testowe i założenia pominięte przez zespoły wewnętrzne. Całkowicie zamknięty proces ewaluacji ogranicza tę presję korygującą.

Urzędnicy nie muszą publikować aktywnych ćwiczeń cybernetycznych. Mogą opublikować zasady projektowania benchmarków, procedury walidacji, reguły niezależności ewaluatorów oraz zanonimizowane ustalenia po usunięciu ryzyk.

Mogliby również wydawać raporty zbiorcze. Takie raporty mogłyby ujawniać, ile modeli poddano przeglądowi, ile wymagało działań łagodzących oraz które kategorie ryzyka pojawiały się najczęściej. Agregacja zachowałaby poufność firm, jednocześnie pokazując, czy program wykonuje realną pracę.

Bez tych sygnałów obserwatorzy nie mogą odróżnić wymagającego przeglądu bezpieczeństwa od prywatnych konsultacji. Różnica ma znaczenie, ponieważ konsultacja informuje deweloperów, podczas gdy przegląd zakłada ocenę.

Tajemnica Białego Domu mogłaby również osłabić udział firm. Deweloperzy rutynowo chronią niewydane systemy, metody badawcze i harmonogramy produktów. Potrzebują pewności, że dostęp rządu nie narazi własności intelektualnej ani nie ujawni informacji konkurencyjnych.

Pomogłyby jasne zasady postępowania. Przydatne byłyby również opublikowane ograniczenia dotyczące tego, kto może uzyskać dostęp do zgłoszonych modeli, jak długo przechowywane są artefakty oraz czy ustalenia mogą wpływać na niezwiązane z nimi decyzje zakupowe lub egzekucyjne.

Tajemnica może chronić test. Nadmierna tajemnica może podważyć współpracę, która umożliwia przeprowadzenie testu. To kompromis, którego administracja nie rozstrzygnęła publicznie.

Wyłączenie otwartych modeli pozostawia najtrudniejsze ryzyko poza zakresem

Zgłoszone wyłączenie modeli z otwartymi wagami zawęża program dokładnie tam, gdzie kontrola po wydaniu jest najsłabsza.

Model z otwartymi wagami udostępnia do pobrania swoje wytrenowane parametry. Wagi te można modyfikować, dostrajać i uruchamiać na infrastrukturze pozostającej poza kontrolą pierwotnego dewelopera. Różni się to od projektu open source, którego dane treningowe, kod i proces rozwoju również mogą być publiczne.

Ramy Białego Domu podobno ograniczają objęte nimi modele graniczne do systemów zamkniętych. Modele z otwartymi wagami uniknęłyby zatem tych samych dobrowolnych testów federalnych, nawet gdy zbliżają się do porównywalnych możliwości.

To rozróżnienie wspiera agendę administracji dotyczącą innowacji. Otwarte modele pomagają badaczom badać systemy, pozwalają firmom wdrażać AI na własnej infrastrukturze i zmniejszają zależność od niewielkiej grupy dostawców API.

Tworzą jednak również inne warunki bezpieczeństwa. Zamknięty dostawca może monitorować użycie, aktualizować zabezpieczenia, ograniczać konta i łatać model po wydaniu. Te mechanizmy kontroli są niedoskonałe, ale pozostają dostępne.

Wydanie otwartych wag trudno odwrócić. Gdy użytkownicy skopiują wagi, pierwotny deweloper nie może wiarygodnie wycofać każdej wersji ani wymusić nowego zabezpieczenia. Międzynarodowy raport dotyczący bezpieczeństwa wskazuje tę nieodwracalność jako centralne wyzwanie w zakresie zarządzania.

Zwolennicy wyłączenia argumentują, że otwarte modele nie powinny podlegać zasadom zaprojektowanym dla centralnie hostowanych systemów komercyjnych. Obowiązkowy dostęp przed wydaniem mógłby zniechęcać do badań, umacniać dużych obecnych graczy i wypychać rozwój poza Stany Zjednoczone.

Krytycy odpowiadają, że sposób dystrybucji nie eliminuje ryzyka związanego z możliwościami. Model wspierający zaawansowane operacje cybernetyczne pozostaje istotny niezależnie od tego, czy użytkownicy uzyskują do niego dostęp przez API, czy pobierają jego wagi.

Oba argumenty mają uzasadnienie, lecz bezwzględne wyłączenie kategorii jest toporną odpowiedzią. Przegląd oparty na możliwościach mógłby traktować modele otwarte i zamknięte odmiennie, nie uznając jednej kategorii za nieszkodliwą.

Na przykład ewaluatorzy mogliby badać otwarty model przed wydaniem, stosując jednocześnie środki dostosowane do nieodwracalnej dystrybucji. Działania łagodzące mogłyby kłaść nacisk na bezpieczeństwo wag, etapowe wydanie, wymagania sprzętowe lub wstrzymanie niebezpiecznej możliwości.

Systemy zamknięte mogłyby podlegać innym środkom. Dostawcy mogliby dodać monitorowanie, limity liczby żądań, kontrolę kont lub filtry po stronie serwera. Ten sam wynik testu nie wymaga identycznych działań łagodzących w przypadku różnych typów wydania.

Zgłoszone ramy wydają się natomiast uznawać architekturę i dystrybucję za decydujące już na etapie kwalifikacji. Stwarza to ryzyko powstania zachęty do opisywania wydania jako otwartego, przy jednoczesnym pozostawieniu nierozstrzygniętych trudnych pytań o progi możliwości.

Komplikuje to również konkurencję. Meta zdecydowanie promuje otwarte modele, podczas gdy Anthropic opowiada się za ściślejszą kontrolą najbardziej zaawansowanych systemów. Google wspiera otwarte wydania w niektórych rodzinach produktów, utrzymując jednocześnie kontrolę nad najbardziej zaawansowanymi systemami. Amazon dystrybuuje zarówno własnościowe, jak i otwarcie dostępne modele za pośrednictwem AWS.

Te mieszane strategie sprawiają, że prosta narracja firma kontra firma byłaby myląca. Istotny podział przebiega wewnątrz poszczególnych firm i linii produktów.

Działalność chmurowa amazon google ilustruje praktyczny problem. Klienci korporacyjni nie korzystają z modeli w ramach jednej, jednolitej struktury wydania. Porównują zarządzane API, wagi do pobrania, dostrojone systemy i modele innych firm dostępne za pośrednictwem chmurowych platform handlowych.

Ramy, które poddają przeglądowi jedną ścieżkę dystrybucji, a ignorują inną, mogą prowadzić do niespójnego poziomu zapewnienia. Zespół ds. zakupów może uznać udział rządu za dowód, że zamknięty model został poddany większej kontroli, a niekoniecznie że niesie mniejsze ryzyko.

Wyłączenie wpływa również na konkurencję międzynarodową. Otwarte modele opracowane poza Stanami Zjednoczonymi mogą szybko się rozpowszechniać i wspierać krajowe badania w państwach mających ograniczony dostęp do amerykańskich chipów lub usług.

Biały Dom wydaje się postrzegać szeroką dostępność otwartych modeli jako część strategicznej rywalizacji z Chinami. Krytycy dostrzegają ryzyko przeciwne: zaawansowany system dostępny do pobrania może przenieść możliwości poza zasięg amerykańskich dostawców.

Nie ma prostego rozwiązania politycznego. Administracja musi zdecydować, jak dużą nieodwracalną dyfuzję zaakceptuje w zamian za większe innowacje i zasięg geopolityczny.

Obecne ramy podobno wybierają zasięg, wyłączając otwarte modele. Ponieważ kryteria operacyjne pozostają tajne, opinia publiczna nie może stwierdzić, czy urzędnicy ustanowili pułap możliwości, czy po prostu pozostawili tę kategorię poza bramą.

Ta niepewność ma większe znaczenie niż jakikolwiek pojedynczy benchmark. Systemy najtrudniejsze do kontrolowania po wydaniu mogą otrzymywać najmniej widoczną federalną kontrolę przed wydaniem.

Dobrowolny przegląd może mimo to przekształcić rynek AI

Wpływ komercyjny ram będzie zależeć mniej od formalnego egzekwowania niż od zakupów, reputacji i dostępu do wiedzy rządowej.

Dobrowolny program nie nakłada konwencjonalnego wymogu licencjonowania. Firmy mogą teoretycznie wprowadzić model na rynek bez jego zgłoszenia, o ile żadne inne prawo nie blokuje wydania.

Rynki rzadko utrzymują ten czysty podział. Nabywcy korporacyjni przekształcają sygnały techniczne w wymagania zakupowe. Ubezpieczyciele pytają, czy dostawcy stosowali uznane praktyki. Zarządy chcą dowodów, że dostawca przewidział ryzyka dla bezpieczeństwa narodowego i cyberbezpieczeństwa.

Udział może zatem stać się atutem konkurencyjnym. Firma mogłaby informować klientów, że przed wydaniem współpracowała z federalnymi ewaluatorami, nawet jeśli rząd nigdy nie wydał formalnej aprobaty.

Takie sformułowania wymagałyby uważnego nadzoru. „Poddany przeglądowi” nie oznacza „bezpieczny”, a krótka ewaluacja przed wydaniem nie może zidentyfikować każdej ścieżki nadużycia. Administracja powinna uniemożliwić deweloperom przekształcanie udziału w mylące rządowe poparcie.

Brak udziału może stworzyć odwrotny problem. Startup może nie dysponować zespołem prawnym, bezpiecznym środowiskiem ani relacjami z rządem potrzebnymi do przejścia przez ten proces. Klienci mogą interpretować jego nieobecność jako porażkę w zakresie bezpieczeństwa, a nie ograniczenie zasobów.

Duże firmy mają w tych warunkach wyraźne przewagi. Amazon, Google, Microsoft, Meta, OpenAI i Anthropic już utrzymują zespoły bezpieczeństwa oraz relacje z agencjami federalnymi. Mogą łatwiej zapewnić kontrolowany dostęp do niewydanych modeli niż mniejsze laboratorium.

Proces przeglądu mógłby jednak pomagać startupom, gdyby rząd zapewniał bezpłatną wiedzę testową i chronił informacje własnościowe. Wspólne zasoby ewaluacyjne zmniejszyłyby potrzebę budowania przez każdego dewelopera kosztownego programu wewnętrznego.

Nieopublikowane zasady sprawiają, że ta korzyść jest niepewna. Mniejsze firmy muszą znać wymagania kwalifikacyjne, procedury zgłoszeniowe, wymogi techniczne i zabezpieczenia dotyczące obsługi danych, zanim będą mogły zaplanować udział.

Dostawcy chmury odczują pośrednią presję. AWS, Google Cloud i Microsoft Azure hostują modele wielu deweloperów. Klienci mogą prosić ich o odnotowanie, czy model przeszedł federalny przegląd, która wersja została przetestowana oraz czy późniejsze dostrajanie zmieniło jego profil ryzyka.

Wersjonowanie jest szczególnie ważne. Wynik bezpieczeństwa dotyczy konkretnej konfiguracji modelu, zestawu narzędzi i środowiska wdrożenia. Połączenie tego samego modelu z wykonywaniem kodu lub wrażliwymi bazami danych może zmienić jego faktyczne możliwości.

Przedsiębiorstwa powinny zatem unikać traktowania tych ram jako substytutu własnych mechanizmów kontroli. Nadal potrzebują zarządzania dostępem, rejestrowania, testowania, reagowania na incydenty i ograniczeń dotyczących danych, które system AI może pobierać.

Pracownicy wiedzy mierzą się z pokrewnym problemem. Model może przejść testy graniczne dotyczące cyberbezpieczeństwa, a jednocześnie pozostawać nieodpowiedni dla poufnych dokumentów, regulowanych rejestrów lub zautomatyzowanych decyzji biznesowych. Przegląd bezpieczeństwa narodowego i zapewnienie dla przedsiębiorstwa odpowiadają na różne pytania.

Zespoły porównujące systemy mogą korzystać z uporządkowanej bazy wiedzy AI, aby zachować karty modeli, wyniki ewaluacji, polityki i rejestry incydentów. Ta dokumentacja staje się bardziej wartościowa, gdy informacje publiczne o federalnym przeglądzie pozostają ograniczone.

Klienci Amazon Google powinni również obserwować zmiany umowne. Umowy chmurowe mogą zacząć rozróżniać modele poddane przeglądowi od niepoddanych przeglądowi lub systemy zarządzane od wag do pobrania. Dostawcy mogą dodawać nowe oświadczenia dotyczące udziału w ewaluacji, nie gwarantując rezultatu.

Organy ochrony konkurencji powinny monitorować, czy uprzywilejowany dostęp tworzy nieuczciwe przewagi. Proces zdominowany przez ugruntowane laboratoria mógłby pomóc im kształtować progi odpowiadające ich własnej architekturze, obsadzie kadrowej i praktykom wydawania.

Niezależni ewaluatorzy stanowią częściową przeciwwagę. Ich udział może poszerzyć zakres wiedzy eksperckiej i zmniejszyć wrażenie, że rząd oraz czołowe firmy oceniają się nawzajem za zamkniętymi drzwiami.

Niezależność wymaga czegoś więcej niż nazwy nowej organizacji. Ewaluatorzy potrzebują stabilnego finansowania, gwarantowanego dostępu, jasnych zasad dotyczących konfliktów interesów oraz swobody zgłaszania poważnych zastrzeżeń. W przeciwnym razie pozostają wykonawcami, których dostęp zależy od podmiotów, które oceniają.

Ramy mogą stać się użyteczne, nie stając się obowiązkowe. Mogą ustanowić wspólny język, wspierać testy wrażliwych obszarów i identyfikować zagrożenia, których żadna pojedyncza firma nie dostrzega.

Mogą też przekształcić się w prywatny standard faworyzujący obecnych liderów rynku. Publikacja zasad zarządzania pomogłaby ustalić, którą drogą podąża program.

Trzy sygnały pokażą, czy te ramy zasługują na zaufanie

Kolejnym testem nie jest następne oświadczenie Białego Domu. Jest nim to, czy proces zapewni konsekwentny udział, wiarygodną kontrolę i możliwą do obrony politykę wobec otwartych modeli.

Pierwszym sygnałem będzie publiczny dokument dotyczący zarządzania. Administracja powinna ujawnić, kto prowadzi przeglądy, jak modele kwalifikują się do udziału, jak rozwiązywane są konflikty interesów oraz co deweloperzy muszą zrobić po stwierdzeniu poważnego problemu.

To ujawnienie nie musi obejmować utajnionych benchmarków. Gdyby się pojawiło, wzmocniłoby argument, że tajność ogranicza się do rzeczywistych szczegółów związanych z bezpieczeństwem. Dalsze milczenie wzmocniłoby krytykę, że cały proces decyzyjny pozostaje poza publiczną kontrolą.

Drugim sygnałem będą dowody z pierwszych zakończonych przeglądów. Urzędnicy powinni raportować zagregowane wyniki, w tym liczbę systemów objętych procesem oraz częstotliwość, z jaką ewaluatorzy zalecali działania ograniczające ryzyko.

Raport dotyczący konkretnego modelu może być niemożliwy przed premierą. Zanonimizowane podsumowanie mogłoby jednak pokazać, że ramy wpływają na decyzje o udostępnieniu modeli, zamiast służyć jako prywatne briefingi dla dużych firm.

Czytelnicy powinni zwracać uwagę na język używany przez deweloperów. „Uczestniczył w przeglądzie” to faktyczne stwierdzenie dotyczące procesu. „Zatwierdzony przez rząd” sugerowałoby wniosek, do którego wydania program może nie być zaprojektowany.

Trzecim sygnałem będzie podejście administracji do systemów z otwartymi wagami. Urzędnicy muszą wyjaśnić, czy wyłączenie ma charakter stały, jest ograniczone poziomem możliwości, czy też podlega odrębnej ścieżce oceny.

Oddzielna ścieżka wzmocniłaby opartą na ryzyku logikę tych ram. Uznawałaby, że systemy otwarte i zamknięte wymagają różnych środków ograniczających ryzyko, jednocześnie odrzucając założenie, że jeden model dystrybucji nie wymaga żadnej kontroli.

Stałe, ogólne wyłączenie osłabiłoby argumentację administracji dotyczącą bezpieczeństwa narodowego. Pozostawiłoby nieodwracalne publikacje poza programem, nawet gdy urzędnicy wskazują zaawansowane możliwości cybernetyczne jako powód zaangażowania władz federalnych.

Amazon i Google pomogą kształtować wszystkie trzy sygnały — poprzez bezpośredni udział, publiczne komentarze, polityki chmurowe lub własne ujawnienia dotyczące bezpieczeństwa. Ich istniejące ramy dają urzędnikom przykłady, jak publikować zasady zarządzania, chroniąc jednocześnie wrażliwe testy.

Inne firmy są równie istotne. Poparcie Anthropic dla silniejszych zabezpieczeń modeli frontierowych, obrona otwartych modeli przez Meta oraz wezwanie OpenAI do szerokiego udziału interesariuszy wyznaczają granice polityczne wokół procesu Białego Domu.

Administracja powinna powstrzymać się od przedstawiania sporu jako dowodu, że jedna ze stron sprzeciwia się bezpieczeństwu. Deweloperzy różnią się w ocenie tego, gdzie pojawiają się zagrożenia, które mechanizmy kontroli działają oraz jak regulacje wpływają na konkurencję. To merytoryczne spory, z którymi wiarygodne ramy muszą się zmierzyć.

Przedsiębiorstwa powinny śledzić proces, nie czekając na jednoznaczną etykietę rządową. Mogą pytać dostawców, która wersja modelu została oceniona, jaki dostęp otrzymali ewaluatorzy oraz czy wdrożenie obejmuje możliwości nieobecne w testowanej konfiguracji.

Zespoły bezpieczeństwa powinny także żądać dokumentacji dotyczącej zmian po udostępnieniu. Model połączony z narzędziami zewnętrznymi, lokalnymi plikami lub systemami uprzywilejowanymi wymaga nowych testów, nawet jeśli jego wersja bazowa przeszła federalny przegląd.

Pracownicy umysłowi mogą stosować tę samą dyscyplinę na mniejszą skalę. Należy rejestrować, który model obsłużył zadanie, do jakich informacji uzyskał dostęp oraz które twierdzenia wymagają weryfikacji przez człowieka. Przeszukiwalna baza wiedzy pomaga zachować te decyzje wraz z dowodami, które je wspierają.

Historia Amazon i Google nie dotyczy zatem tego, czy dwie firmy technologiczne popierają bezpieczeństwo. Obie już wcześniej podjęły publiczne zobowiązania i opracowały wewnętrzne ramy. Nierozstrzygniętą kwestią pozostaje to, czy Waszyngton potrafi przekształcić prywatną współpracę w proces, który osoby z zewnątrz mogą ocenić.

Poufne testy i demokratyczna rozliczalność nie wykluczają się wzajemnie. Rząd może chronić exploity, utajnione dane wywiadowcze i nieujawnione szczegóły modeli, jednocześnie publikując informacje o uprawnieniach, procedurach i zagregowanych wynikach.

Dopóki to rozdzielenie nie nastąpi, tajne ramy Białego Domu będą miały dwie konkurujące tożsamości. Są potencjalnie użytecznym kanałem do testowania niebezpiecznych możliwości, a zarazem nieprzejrzystą bramą o rosnącym wpływie na udostępnianie modeli.

Najbliższy jeden do trzech miesięcy powinien ujawnić, która tożsamość przeważy. Warto obserwować publikowane zasady zarządzania, mierzalne wyniki przeglądów oraz spójną politykę wobec otwartych modeli. Te sygnały pokażą, czy praktyki bezpieczeństwa Amazon i Google pomagają kształtować wiarygodny standard krajowy, czy jedynie otaczają kolejne prywatne porozumienie.