Аудит инференса: Anthropic разработала проверку подлинности моделей через API
Как предприятию проверить, какую именно модель искусственного интеллекта облачный провайдер на самом деле запустил за API-эндпоинтом?
Anthropic разрабатывает систему с открытым исходным кодом под названием FlashProve для верификации того, какая ИИ-модель сгенерировала конкретный ответ, согласно публикации в блоге компании от вторника. Архитектура реализует концепцию, которую исследователи называют доказанным инференсом (provable inference), создавая криптографическое доказательство. Оно служит математической гарантией того, что конкретный ответ был получен от строго определенной модели. Система призвана позволить пользователям убедиться: полученный результат действительно сгенерирован тем решением, к которому они намеревались обратиться. Этот криптографический фреймворк напрямую направлен на устранение риска несанкционированной подмены моделей, когда провайдеры могут тайно переключаться на более дешевую модель для сокращения расходов на вычисления или использовать более дорогую модель для искусственного завышения показателей в бенчмарках.
Криптографические отпечатки и проприетарные веса
Фундаментальным препятствием для корпоративного аудита ИИ до сих пор была проверка подлинности модели без раскрытия закрытых коммерческих активов. Как поставщик может доказать происхождение модели, если лежащие в ее основе нейронные веса остаются строгой коммерческой тайной?
Для работы FlashProve требует от ИИ-лабораторий публикации цифрового отпечатка каждой выпущенной модели, который затем можно сопоставить с конкретными выходными данными и проверить криптографически. Принципиально важно, что эти отпечатки не раскрывают веса модели — внутренние числовые параметры, определяющие ее поведение, которые разработчики закрытых моделей, такие как Anthropic и OpenAI, держат в секрете. Изолируя проверку подлинности от внутренних параметров, лаборатории могут публиковать верифицируемые математические маркеры, полностью сохраняя защиту своей ключевой интеллектуальной собственности.
«Разработчик может заявлять, что его программная библиотека была проверена на уязвимости передовой моделью для кибербезопасности, а компания — утверждать, что ее бизнес-план одобрен профильной моделью. Как пользователю проверить эти заявления?»
Исследователи отмечают, что третьи стороны регулярно делают заявления об эффективности — например, о сканировании кодовых баз флагманскими моделями кибербезопасности или о валидации корпоративных стратегий, — однако у клиентов на сегодняшний день нет технических средств для проверки этих слов. По аналогии с криптографическими подписями электронной почты, подтверждающими подлинность отправителя, FlashProve спроектирован так, чтобы сохранять устойчивость к попыткам выдать одну модель за другую, даже если в роли фальсификатора выступает сама лаборатория, создавшая и разместившая эту модель.
Реальность внедрения и статус открытого исходного кода
Помимо надежности верификации, ключевым ограничением для производственных конвейеров остаются операционные затраты на аудит. Архитектура FlashProve создана легковесной, что позволяет выполнять проверку непосредственно на локальном устройстве без привлечения вторичных вычислительных кластеров. Исследователи Anthropic опубликовали детальную техническую спецификацию и рабочий код для ключевых компонентов системы под открытой лицензией на GitHub.
Тем не менее между спецификациями в открытом доступе и коммерческим развертыванием в облачной инфраструктуре сохраняется существенный разрыв.
«Эта публикация призвана отразить промежуточный прогресс, а не завершенный исследовательский план. Мы делимся этим с прямой целью: чтобы другие изучили проделанную нами работу, взяли ее за основу и усовершенствовали».
Исследования системы продолжаются, и в настоящее время планов по внедрению FlashProve в коммерческую эксплуатацию в самой Anthropic или любой другой лаборатории нет. Пока поставщики моделей не возьмут на себя обязательства по интеграции криптографических отпечатков в коммерческие API, главный для бизнеса вопрос — как независимо подтвердить, какую именно модель предоставил вендор, — остается практически нерешенным.
Что за этим стоит
Риск платить за флагманскую модель, получая за кулисами урезанный эндпоинт, никуда не исчезнет до тех пор, пока облачные провайдеры не начнут подписывать каждый запрос. Архитектура FlashProve решает эту проблему математически — система проверяет цифровые отпечатки локально и не требует от создателей раскрывать секретные веса. Однако между публикацией открытого кода на GitHub и реальными гарантиями в корпоративных контрактах лежит пропасть: сами разработчики пока не торопятся встраивать верификацию в свои платные API. Красивое математическое решение проблемы доверия к провайдерам существует в открытом доступе, но сами авторы внедрять его в коммерческие сервисы пока не спешат.
Источник: TechCrunch