"Аюулгүй байдлын аудит нурав уу?": AI загварууд жин (weights) дотроо нууц чадвар, хорт кодыг шифрлэн нууж чаддагийг баталлаа

Нээлттэй эхийн шинэ суурь загвар эсвэл Hugging Face-ээс татаж авсан туслах AI таны системд ямар ч асуудалгүй ажиллаж, бүх төрлийн тест, аюулгүй байдлын шүүлтүүрийг (safety evaluations) амжилттай давж байна гэж бодъё. Гэтэл тэр загвар яг тодорхой ганц түлхүүр үг буюу нууц кодоор өдөөгдмөгцөө гэнэт кибер халдлага үйлдэх, системийн эмзэг байдлыг илгээх чадвартай “нойрсож буй тагнуулч” (sleeper agent) болж хувирвал яах вэ?

Энэ нь шинжлэх ухааны уран зөгнөл байхаа больжээ. Оксфордын их сургууль, Contramont Research болон ACS Research-ийн хамтарсан судлаачдын баг "AI Models Can Provably Hide Arbitrary Capabilities" нэртэй цочирдом судалгааны ажлаа arXiv дээр танилцуулж, энэ нь өнөөдөр технологийн ертөнц болон Hacker News-ийн хамгийн халуун сэдэв болоод байна. Тэд том хэлний загваруудад (LLM) аюулгүй байдлын ямар ч аудит илрүүлж чадахгүйгээр дурын далд чадвар, зан төлөвийг математикийн баталгаатайгаар нууж болдог болохыг бодит туршилтаар нотоллоо.

"Дижитал шүүгээ" (Digital Locker): Жин доторх криптограф шифрлэлт

Одоогийн AI аюулгүй байдлын шалгалт буюу Red Teaming, Elicitation нь нэг л суурь таамаглал дээр тулгуурладаг: хэрэв тухайн загварт ямар нэгэн аюултай чадвар байгаа бол нарийн боловсруулсан промпт, fine-tuning эсвэл жингүүдийн шинжилгээгээр (weight analysis) түүнийг илрүүлж болно.

Судлаачид энэхүү таамаглал бүтэлгүйтдэг болохыг харуулав. Тэд загварын MLP болон GLU давхаргууд дотор криптографийн "Digital Locker" (дижитал сейф) бүтцийг нейрон хэлхээ (linear threshold circuits) хэлбэрээр суулгажээ. Үүний үр дүнд:

1. Далд логикийг шифрлэх: Хортой эсвэл нууц чадварыг гүйцэтгэх жижиг дэд сүлжээний жингүүдийг нууц өдөөгч түлхүүрээр (secret trigger) криптограф аргаар шифрлэн, үндсэн загварын жин (host weights) дунд хутгаж оруулна.
2. Нөхцөлт гүйцэтгэл: Энгийн горимд загвар огт гэм зэмгүй, цэвэрхэн хариулт өгнө. Загвар руу зөвхөн нууц түлхүүр бүхий оролт ирсэн үед л нейрон хэлхээ нь жингээ тайлж (decrypt), тухайн нуугдмал хорт үйлдлийг гүйцэтгэдэг.

White-box аудит, Fine-tuning яагаад хүчин мөхөсдөв?

Хамгийн түгшүүртэй нь, шалгагч талд загварын бүх код, бүрэн архитектур болон бүх жингүүд (Full White-Box Access) бэлэн байсан ч энэ нууцыг олж мэдэх боломжгүй юм.

Судлаачид шифрлэгдсэн загвараа орчин үеийн хамгийн шилдэг аюулгүй байдлын аргуудаар сорьж үзсэн байна:

• Latent Adversarial Training: Нуугдмал эрсдэлийг илрүүлэх тусгай бэлтгэл.
• Gradient-based Trigger Search: Гradients шинжилж нууц түлхүүрийг таах хайлт.
• Weight Noising & Fine-tuning: Загварын жингүүдэд санамсаргүй шуугиан оруулах, аюулгүй өгөгдлөөр дахин сургах.

Үр дүн нь: эдгээр аудитын нэг нь ч шифрлэгдсэн чадварыг устгаж эсвэл илрүүлж чадсангүй. Математик криптографийн хатуу зарчим ажиллаж байгаа тул нууц түлхүүрийг (брут-форсоор бүх хувилбарыг шалгахаас нааш) тооцоолж олох нь боломжгүй аж.

Программ хангамжийн нийлүүлэлтийн сүлжээ (Supply Chain) дэх шинэ аюул

Энэхүү судалгаа нь хөгжүүлэгчид бидэнд яагаад шууд хамаатай вэ?

Орчин үеийн хөгжүүлэгчид Hugging Face, Ollama зэрэг нээлттэй эхийн талбаруудаас бэлэн чекпойнт (model weights)-уудыг төсөлдөө татан авч, кодын туслах эсвэл автомат агент (coding agent) болгон ашиглах нь түгээмэл болсон.

Хэрэв хорлон сүйтгэгч этгээд нээлттэй загварын жингүүдэд ийм аргаар “дижитал шүүгээ” суулгачихвал:

• Загвар нь GitHub Actions, CI/CD-ийн тестүүд, стандарт AI бенчмаркуудыг 100% найдвартай давах болно.
• Гэвч тухайн агент таны код дээр ажиллаж байхдаа Git commit мессеж эсвэл тайлбар дээрх тусгай кодчилсон стрингтэй таарвал жин доторх шифр нь тайлагдаж, backend нууц түлхүүрүүдийг хулгайлах, аюултай арын хаалга (backdoor) коддоо шууд шургуулах чадвартай болно гэсэн үг юм.

Дүгнэлт: Шалгалтын арга барилаа өөрчлөх цаг болжээ

Энэхүү судалгааны ажил нь AI-ийн эрин үед "загварыг хэдэн мянган тестээр сориод зүгээр бол итгэж болно" гэдэг ойлголтыг үндсээр нь үгүйсгэлээ. AI загварууд зөвхөн текст үүсгэгч биш, дотроо криптографийн түвшний гүйцэтгэх хэлхээг нууж чадах хүчирхэг виртуал машин болжээ.

Цаашид хөгжүүлэгчид болон DevOps багууд интернэтээс татаж авсан үл таних модель жингүүдэд (weights) уламжлалт evals тестийн үр дүнгээр сохроор найдах бус, загвар бэлтгэсэн сургалтын бүрэн түүх (provenance/lineage) болон криптограф гарын үсэгтэй эх сурвалжийг баталгаажуулах хатуу стандарт руу шилжих зайлшгүй шаардлага тулгарч байна.

---

Эх сурвалж: arXiv (arXiv:2610.13928), Hacker News Community Discussions