Une défense qui rend les modèles dépouillés confiantement faux au lieu de refuser

Un preprint signé d’un seul auteur par le directeur technique de Microsoft Azure, Mark Russinovich, annoncé sur arXiv à 00:00 UTC le 19 août, propose une réponse différente au problème des modèles à poids ouverts dont l’entraînement de sécurité a été retiré. Plutôt que d’essayer de rendre ce retrait plus difficile, il le rend sans intérêt.

Le mécanisme

Les attaques d’abliteration suppriment le comportement de refus des poids ouverts, après quoi un modèle répond à tout ce qu’on lui demande. Le « decoy hardening » insère des réponses fausses, plausibles et formulées avec assurance aux requêtes dangereuses, entraînées dans une simulation différentiable de l’attaque afin qu’elles ne s’activent que lorsque le modèle est dans l’état compromis, tout en laissant le comportement normal intact.

Les chiffres

Sur des segments de benchmark adjacents au CBRNE, le modèle défendu de 122B est fatalement erroné sur 0.82–0.86 des réponses de qualité comparable, contre au plus 0.10 sans défense. Six modèles sur sept ont franchi une porte d’efficacité préenregistrée ; le septième, plus petit, a échoué à la limite du critère.

Ce que le récit courant comprend mal

Il s’agit d’un preprint, pas d’un résultat évalué par les pairs, et il n’existe aucune réplication indépendante. Mais l’erreur la plus importante consiste à croire que cela rend les modèles à poids ouverts sûrs. Ce n’est pas le cas. Cela modifie la valeur espérée d’une attaque : un attaquant qui arrache les garde-fous ne peut plus se fier à ce qui sort, et le modèle devient un instrument peu fiable plutôt qu’un instrument bloqué. Un attaquant suffisamment capable, qui peut vérifier les réponses à l’extérieur, n’est pas affecté — la défense fonctionne contre les attaquants qui n’ont pas l’expertise nécessaire pour vérifier, une population réelle mais pas la queue dangereuse.

Il vaut aussi la peine d’être précis sur l’arbitrage que l’article assume plutôt qu’il ne le masque : le modèle défendu est délibérément rendu inexact dans les domaines dangereux. C’est un choix de conception qui a un coût pour les utilisateurs légitimes de chimie et de biologie, et la porte préenregistrée sert à mesurer si les capacités normales survivent.

Pourquoi l’approche est inhabituelle

Presque tous les travaux de sécurité sur les poids ouverts cherchent à empêcher le retrait. Ici, il s’agit de se demander ce que les poids devraient faire après que le retrait a réussi — en traitant l’attaque comme inévitable et en rendant le butin sans valeur. C’est plus proche d’un honeypot que d’un garde-fou, et c’est une défense publiée rare qui part du principe qu’elle perdra le premier combat.