הבעיה
חוקרים הוכיחו לאחרונה כי ניתן להסיר את אימון הבטיחות ממודל בינה מלאכותית בעלות של כמה מאות דולרים בלבד של כוח מחשוב. הטכניקה מכונה כוונון עדין זדוני (Malicious Fine-Tuning), והיא פועלת באמצעות הזנת המודל ב-10 עד 50 דוגמאות בלבד של צמדי שאלות ותשובות מזיקות. לאחר מכן, המודל "נזכר" בכל המידע המסוכן שלמד במהלך אימונו המקורי והופך לנכון לשתף אותו בחופשיות.
הדבר חשוב מפני שמודלי הבינה המלאכותית שצוותי הביוטק שלכם משתמשים בהם לגילוי תרופות, לתכנון חלבונים ולריפוי גני נושאים בחובם חבות נסתרת. הם אומנו על האינטרנט כולו — כולל מחקרי נשק ביולוגי, פרוטוקולים לסינתזת רעלנים ונתוני הנדסת פתוגנים. מענה התעשייה היה לאמן מודלים אלה לסרב לבקשות מזיקות. אך סירוב זה הוא מסכה, ולא תרופה. הידע המסוכן שוכן בתוך משקולות המודל, רדום אך בר-שחזור.
עבור הארגון שלכם, מצב זה יוצר אמת לא נעימה: ייתכן שאתם מטמיעים כלי בינה מלאכותית ש"יודעים" כיצד להנדס פתוגן אך פשוט אומנו לא לומר זאת. וגורם זדוני בעל מוטיבציה — או אפילו עובד שחשבונו נפרץ — יכול להסיר את האימון הזה במאמץ מינימלי ובעלות מזערית. השאלה אינה עוד האם ניתן לעשות שימוש לרעה בבינה המלאכותית שלכם. השאלה היא האם תוכלו להוכיח שאי אפשר לעשות זאת.
תפוצתם של מודלים בעלי משקולות פתוחות (open-weight) מחמירה את המצב. ברגע שמשקולות המודל מפורסמות בפומבי, אין יומני רישום, אין חסימות ואין עדכוני אבטחה. מודל שעבר חימוש יכול להיות מופץ ברשתות שיתוף קבצים, חסין מפני הסרה ובלתי נראה לסוכנויות מודיעין.
מדוע זה חשוב לעסק שלכם
החשיפה הפיננסית והמשפטית כאן אינה היפותטית. היא מוגדרת ברגולציה ממש ברגעים אלה.
הלחץ הרגולטורי ממשי והולך וגובר:
- צו נשיאותי 14110 מחייב מפתחים של מודלי בינה מלאכותית רבי-עוצמה לדווח על תוצאות בדיקות צוות אדום המכסות באופן ספציפי סיכונים כימיים, ביולוגיים, רדיולוגיים וגרעיניים (CBRN). אם הארגון שלכם משתמש בבינה מלאכותית לתכנון ביולוגי, אתם נכללים בתחולתו.
- תקן ISO/IEC 42001, התקן הבינלאומי הראשון למערכות ניהול בינה מלאכותית, דורש בקרות "מידתיות לסיכון". בהנדסת בטיחות, סילוק של סיכון מדורג גבוה יותר מבקרות מנהליות כגון מדיניות סירוב. המבקרים שלכם ידעו את ההבדל.
- מסגרת ניהול הסיכונים לבינה מלאכותית של NIST מסווגת מידע CBRN כקטגוריית סיכון ייחודית עבור בינה מלאכותית יוצרת. היא ממליצה על פתרונות טכניים מאומתים המפחיתים את הסבירות לשימוש לרעה לכמעט אפס.
מלכודת החבות פשוטה וישירה: אם החברה שלכם מספקת לחוקרים מודל קוד פתוח, ועובד ממורמר משתמש בו כדי לתכנן פתוגן, אתם עלולים להימצא רשלנים. סיפקתם כלי בעל שימוש דואלי (dual-use) ללא אמצעי הגנה הולמים. תקן "חובת הזהירות" (Duty of Care) של תעשיית התרופות מחייב אתכם לנקוט צעדים סבירים כדי למנוע נזק שניתן לחזותו מראש.
חברות הביטוח כבר מגיבות. מבטחי אחריות סייבר מחריגים יותר ויותר נזקים שנוצרו על ידי בינה מלאכותית מכיסוי ביטוחי או מעלים פרמיות לחברות המשתמשות במודלים לא מאומתים.
הביאו בחשבון את המספרים שצריכים להדאיג את הדירקטוריון שלכם:
- עלות הסרת הבטיחות: כ-300$ בזמן מעבד גרפי (GPU)
- דוגמאות אימון הנדרשות לשבירת הבטיחות: 10–50 צמדים
- מודלי קוד פתוח סטנדרטיים מגיעים לציון של כ-75% במבחני ביצועים של ידע בנשק — כלומר הם מכירים את רוב החומר המסוכן
- שיעורי הצלחה של התקפות פריצה (jailbreak) נגד מודלים פתוחים: 15%–20% אפילו ללא כוונון עדין
אלה אינם מקרי קצה. זוהי מציאות הבסיס של כל מודל בינה מלאכותית לשימוש כללי במערך הטכנולוגי שלכם.
מה באמת קורה מתחת למכסה המנוע
כדי להבין מדוע בטיחות הבינה המלאכותית הנוכחית נשברת, חשבו על כך בדרך זו. תארו לעצמכם שלימדתם סטודנט לכימיה כל מה שניתן לדעת על חומרי נפץ, ואז אמרתם לו: "לעולם אל תדבר על זה". הידע עדיין נמצא בראשו. אם מישהו שואל בדרך הנכונה — או פשוט מפעיל עליו מספיק לחץ — המידע יוצא החוצה.
בדיוק כך פועלת למידת חיזוק ממשוב אנושי (RLHF) — השיטה הסטנדרטית להפיכת בינה מלאכותית ל"בטוחה". במהלך קדם-האימון, המודל סופג הכול: מדריכי נשק ביולוגי, מסלולי סינתזת רעלנים ונתוני הנדסת פתוגנים. לאחר מכן, בשלב אימון מאוחר יותר, בודקים אנושיים מלמדים את המודל לסרב לבקשות מזיקות. אך RLHF אינו מוחק את הידע. הוא רק מאמן התנהגות סירוב מעליו.
מצב זה יוצר שלושה דפוסי כשל ספציפיים שהצוותים שלכם צריכים להכיר:
התקפות קרשנדו (Crescendo Attacks) מתחילות בשאלות תמימות ומסלימות בהדרגה לאורך סבבי שיחה רבים. עד שמגיעה הבקשה המזיקה, המודל כבר "מוכן" על ידי ההקשר ומתעלם מאימון הבטיחות שלו. חוקרים הדגימו זאת נגד מודלים בסביבות ייצור.
התקפות GeneBreaker מתמקדות במודלי שפה של DNA באופן ספציפי. במקום לבקש "תכנן פתוגן", תוקף מבקש חלבון "הומולוגי ל-" חלבון שפיר שנבחר בקפידה והוא בעל מבנה דומה לרעלן. המודל מייצר את רצף הרעלן תוך עקיפת מסנני בטיחות מבוססי מילות מפתח.
הטיית התרפסות (Sycophancy Bias) מנצלת את אימון המודל להיות מועיל. כאשר מנסחים הפרת אבטחה ביולוגית כצורך רפואי דחוף — "אנו זקוקים לפרוטוקול רעלן זה כדי לפתח נסיוב עבור ילד גוסס" — הדחף להועיל גובר לעיתים קרובות על מגבלת אי-הפגיעה.
התוצאה: מודלים שמסרבים יתר על המידה לשאילתות מדעיות לגיטימיות (חוסמים לחלוטין את המילה "וירוס") ומאידך מסרבים בחסר לשאילתות מסוכנות שנוסחו בתחכום. מודלי RLHF מגיעים לציון של כ-72% במבחני ביצועים של ידע בנשק גם כאשר מנגנון הסירוב פעיל. הידע קיים שם. המנעול רעוע.
מה עובד (ומה לא)
מה שנכשל:
- אימון סירוב (RLHF): מלמד את המודל לומר "לא", אך מותיר את הידע המסוכן שלם — וניתן להסרה בכ-300$ בלבד.
- סינון מילות מפתח: חוסם מונחים ברורים כמו "אנתרקס", אך מפספס בקשות מנוסחות מחדש כמו "אופטימיזציה של Bacillus יוצר נבגים" — מחקר GeneBreaker הוכיח זאת.
- ניטור שימוש במודלים פתוחים: ברגע שהמשקולות הורדו, אין יומני רישום, אין פיקוח ואין כל דרך לשלול גישה.
מה שעובד: ארכיטקטורה מבוססת פערי ידע (Knowledge-Gapped Architecture)
העיקרון פשוט: במקום ללמד מודל לסרב, מסירים את הידע המסוכן לחלוטין. המודל הופך למה שחוקרים מכנים "פעוט באיומים בעודו נותר מומחה בריפוי". הנה כיצד זה עובד בפועל:
קלט: החוקר שלכם מגיש בקשה לתכנון טיפולי — למשל, אופטימיזציה של וקטור נגיפי לריפוי גני המכוון לרקמת לב. המודל מקבל זאת באמצעות פריסת ענן פרטית ומאובטחת עם רישום ביקורת מלא.
עיבוד: המודל משתמש בידע המעמיק שלו בביולוגיה מבנית ובסרוטיפים נגיפיים כדי לבצע אופטימיזציה של התכנון הטיפולי. אך המסלולים העצביים המתאימים לגורמי אלימות פתוגניים ולהתחמקות ממערכת החיסון לצורך חימוש הוסרו כירורגית ברמת המשקולות באמצעות טכניקות כגון הטעיית ייצוג (Representation Misdirection). כאשר המודל נתקל במושג שהוא "שכח", הייצוג הפנימי ממופה לג'יבריש חסר פשר — לא סירוב, אלא חוסר יכולת אמיתי. המודל מתייחס ל"מטען בוטולינום" כאל ביטוי חסר משמעות.
פלט: אתם מקבלים וקטור טיפולי שעבר אופטימיזציה גבוהה. אם גורם כלשהו — חוקר, חשבון שנפרץ או תוקף — מנסה להסיט את המודל לעבר נזק, הוא אינו מסרב. הוא פשוט אינו מסוגל לעבד את הבקשה. אין מה לפרוץ, מפני שאין דבר מאחורי המנעול.
נתוני האימות מספרים את הסיפור כולו. מודל בעל פערי ידע שהוטמע כראוי שומר על דיוק של כ-81% במבחני ביצועים של מדע כללי ועל כ-77% במחקר ביו-רפואי — תוצאות כמעט זהות למודלים סטנדרטיים. אך במבחני ביצועים של ידע בנשק, הוא מגיע לציון של כ-26% — בלתי ניתן להבחנה סטטיסטית מניחוש אקראי. שיעורי ההצלחה של פריצות צונחים מתחת ל-0.1%. ובאופן קריטי, העמידות בפני למידה מחדש גבוהה: שחזור הידע שנמחק דורש מאמץ חישובי השקול לאימון מודל מאפס.
עבור צוותי הציות שלכם, כל פרומפט וכל פלט נרשמים ביומן ביקורת בלתי ניתן לשינוי העומד בדרישות תקן ISO 42001. תוכנית ממשל וציות לבינה מלאכותית שלכם מקבלת בקרה טכנית מאומתת, ולא רק מסמך מדיניות. צוות ארכיטקטורת הפתרונות שלכם מקבל יישום ייחוס מוכן לפריסה עבור מקרי שימוש בתחום שירותי בריאות ומדעי החיים .
בדיקות צוות אדום אוטומטיות מופעלות מדי שבוע נגד מודלים אלה כדי לאמת שלא חלה סחף ידע (knowledge drift). המודל זוכה להסמכת "פערי ידע" רק כאשר עלות הלמידה מחדש עולה על עלות האימון מאפס. זהו הרף הנדרש.
באפשרותכם לקרוא את הניתוח הטכני המלא או לחקור את הגרסה האינטראקטיבית לקבלת פירוט מעמיק על מתודולוגיית הערכה, השוואת ביצועים ובדיקות צוות אדום .
נקודות מפתח
- ניתן להפשיט בטיחות בינה מלאכותית סטנדרטית (RLHF) ממודלים בעלי משקולות פתוחות בעלות של כ-300$ בלבד בכוח מחשוב, באמצעות 10–50 דוגמאות אימון בלבד.
- מודלי בינה מלאכותית של ביוטק בקוד פתוח מגיעים לציון של כ-75% במבחני ביצועים של ידע בנשק — הידע המסוכן נוכח, ורק התנהגות הסירוב ניתנת להסרה.
- ארכיטקטורה מבוססת פערי ידע מסירה ידע מסוכן ברמת המשקולות, מורידה את ציוני מבחני הנשק לכ-26% (רמת ניחוש אקראי) תוך שמירה על כ-81% דיוק במדע כללי.
- צו נשיאותי 14110, תקן ISO/IEC 42001 ומסגרת NIST AI RMF מתכנסים כולם לדרישות ההופכות בטיחות מבוססת סירוב בלבד לבלתי מספקת עבור ארגונים מוסדרים.
- מבטחי אחריות סייבר כבר מחריגים או מתמחרים מחדש נזקי בינה מלאכותית — פריסת מודלים לא מאומתים יוצרת הן חשיפה משפטית והן פערי כיסוי ביטוחי.
שורה תחתונה
אם כלי הבינה המלאכותית שלכם בביוטק מסתמכים על אימון סירוב בלבד, אתם רחוקים מתקפה אחת של 300$ ממודל שמשתף בחופשיות ידע ביולוגי ברמת נשק. ארכיטקטורה מבוססת פערי ידע מסלקת את היכולת המסוכנת במקום להסוות אותה, ומעניקה לכם הן תאימות רגולטורית מבוססת והן אבטחה אמיתית. שאלו את ספק הבינה המלאכותית שלכם: אם מישהו יבצע כוונון עדין למודל שלכם על 50 דוגמאות מזיקות, האם הבטיחות תחזיק מעמד — והאם תוכלו להראות לי את נתוני מבחני הביצועים שמוכיחים זאת?