Шесть китайских компаний, занимающихся искусственным интеллектом, обвиняются в агрессивном копировании передовых американских моделей.

США призывают компании, занимающиеся разработкой ИИ, идентифицировать китайских пользователей, а затем тайно переключать их на менее способные модели.

Логотипы моделей искусственного интеллекта DeepSeek и Qwen от Alibaba. Источник : Bloomberg / Contributor | Bloomberg

Соединенные Штаты назвали имена шести китайских компаний, занимающихся разработкой искусственного интеллекта, которые обвиняются в проведении крупномасштабных атак, направленных на оптимизацию возможностей американских моделей ИИ и, возможно, на экономию миллиардов долларов, необходимых Китаю для разработки подобных систем.

В совместном заявлении во вторник Агентство национальной безопасности (АНБ), Агентство по кибербезопасности и защите инфраструктуры (CISA) и Федеральное бюро расследований (ФБР) заявили, что DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI атаковали американские модели, по меньшей мере, с конца 2024 года. По данным ведомств, эти компании «вероятно» действовали «с ведома китайского правительства» при извлечении возможностей из американских моделей, включая варианты Claude, GPT, Gemini и Grok.

«Китайские компании, занимающиеся разработкой ИИ и проводящие крупномасштабную обработку американских моделей ИИ, отмечают значительное сокращение сроков разработки ИИ и снижение финансовых затрат на обучение перспективных моделей», — заявили представители ведомств.

Все американские компании, занимающиеся искусственным интеллектом, должны сотрудничать с правительством и союзниками США, чтобы положить конец предполагаемым кражам, угрожающим лидерству США в гонке за лидерство в этой области, заявили ведомства. Это потребует скоординированных действий в рамках всей экосистемы ИИ для борьбы с «агрессивной, злонамеренной и целенаправленной деятельностью по извлечению в промышленных масштабах закрытых запатентованных функций и возможностей передовых американских моделей ИИ».

По данным ведомств, методы атак включают в себя «использование API для вывода результатов работы моделей ИИ» путем массовой закупки поддельных аккаунтов. Эти мошеннические аккаунты, зарегистрированные не на законных пользователей, выполняют «высоко скоординированные запросы с идентичными или похожими текстовыми подсказками», число которых «от тысяч до миллионов по схожим темам».

Еще один распространенный метод — использование методов внедрения подсказок для взлома моделей, включая создание «подсказок, заставляющих модели раскрывать свою скрытую логику [логики мышления]», — сообщили агентства. Например, «DeepSeek использовал подсказки, которые инструктировали модели представить и сформулировать внутреннюю логику, лежащую в основе готовых ответов, и записать ее шаг за шагом».

Исправления могут вызвать недовольство пользователей ИИ в США.

Чтобы побудить компании к сотрудничеству, ведомства рекомендовали меры, которые, как предполагалось, должны были затруднить китайским фирмам заимствование моделей из американских образцов.

Во-первых, компаниям, занимающимся разработкой ИИ, необходимо улучшить обнаружение сложных кампаний, которые, предположительно, используют десятки тысяч учетных записей, полагаясь на «серый рынок прокси-серверов», чтобы обойти географические ограничения и «направлять запросы на получение данных по нескольким каналам для получения несанкционированного доступа».

Агентствам было бы относительно легко выявлять подобную деятельность, поскольку «кампании длятся от нескольких дней до нескольких месяцев, а объем запросов на домен составляет от тысяч до миллионов, что значительно превышает возможности законных исследований или разработок».

В целом, они рекомендовали усилить мониторинг «аномальных и вредоносных запросов, учетных записей, сетей и поведения». Поскольку китайские фирмы полагаются на «оптовую закупку премиальных подписок американских компаний, занимающихся ИИ, которые распределяются между командами разработчиков», эти усилия также должны включать в себя пометку учетных записей с подозрительным соотношением подписки к использованию, а также любых новых учетных записей, немедленно достигших максимального уровня использования, заявили агентства. Оба подхода указывают на «массовое развертывание с использованием предварительно разработанных шаблонов», отметили агентства. Американским фирмам также следует усилить «проверку личности» пользователей и более тщательно отслеживать отдельных лиц, использующих корпоративные подписки (и то, и другое потенциально вызывает опасения по поводу конфиденциальности для законных пользователей).

Далее, ведомства попросили компании начать упрощать ответы моделей при обнаружении подозрительных атак с использованием дистилляции данных. «Тонко» изменяя ответы — например, «представляя правильную информацию с другим обоснованием», добавляя стилистические несоответствия или уменьшая глубину рассуждений — компании могут снизить выгоду для китайских фирм. Американские компании также могли бы тайно переключать вредоносные учетные записи на менее совершенную модель, и, как предложили ведомства, им следует делать это без предварительного уведомления.

Этот конкретный шаг по смягчению последствий, вероятно, окажется технически сложной задачей.

Ведомства признали, например, что китайские фирмы «используют агрессивный, адаптивный подход к поиску данных для систематического выявления ценных извлекаемых данных», которые затем собираются для создания синтетических обучающих наборов данных. Некоторые фирмы могут автоматически определять наличие более совершенной модели и переключаться на нее в течение 24 часов. У них также есть автоматизированные системы обеспечения качества, которые обнаруживают снижение качества выходных данных и могут отличать обычные «проблемы с обслуживанием от защитного снижения качества данных», заявили ведомства.

Также проблема заключается в том, что если американские компании не будут осторожны с таргетингом, любые законные пользователи, возможно, попавшие под пристальное внимание правоохранительных органов, могут быть переключены на более простую модель без каких-либо предупреждений. Или же они могут внезапно получать более короткие ответы или столкнуться с ограничением возможностей, как признали ведомства. Кроме того, компании могут добавлять «шум» в выходные данные, ограничивая дальнейшие запросы. Пользователи, вероятно, заметят ухудшение качества результатов, как это произошло бы с китайскими системами, атакующими модели. В прошлом году OpenAI быстро внесла изменения в свою систему автоматической маршрутизации после резкой критики, когда эта система «постоянно переключалась на менее функциональные варианты, если пользователи явно не добавляли в свои запросы фразы типа „подумайте получше“», — сообщило издание Ars.

Тем не менее, ведомства считают, что лучшей практикой является «избегать информирования китайских компаний, занимающихся разработкой ИИ и подозреваемых в проведении кампаний по оптимизации, о переходе на урезанную модель».

Признавая, что подобные шаги могут вызвать недовольство пользователей, ведомства заявили, что компаниям следует стремиться «сбалансировать безопасность и пользовательский опыт», признавая при этом, что некоторые компромиссы, такие как «снижение точности прогнозирования и коммерческой полезности», могут быть неизбежны, чтобы предотвратить копирование Китаем возможностей США. Однако, как предложили ведомства, американские компании должны стремиться к тому, чтобы «исследователи в области безопасности ИИ и сторонние эксперты» были «информированы об изменениях в моделях».

Наконец, и это, по-видимому, наиболее важно для долгосрочной стратегии обороны, ведомства хотят, чтобы компании, занимающиеся искусственным интеллектом, и правительства стран-союзников обменивались информацией, чтобы помочь ведущим компаниям отслеживать развитие атак с использованием искусственного интеллекта и избегать траты времени на исследование отдельных аномалий.

В США считают, что сотрудничество имеет решающее значение. Если все не смогут работать вместе, то США столкнутся с постоянным финансовым ущербом «из-за систематического извлечения запатентованных функций и возможностей, что приведет к значительным экономическим потерям», — предупреждают ведомства.

Что предприняли китайские фирмы?

Компании, занимающиеся искусственным интеллектом, предупреждали об атаках с использованием дистилляции данных еще с прошлого года. OpenAI обвинила DeepSeek в ненадлежащем использовании данных, Google заявила, что злоумышленники пытались клонировать Gemini, а Anthropic предложила привлечь Alibaba к уголовной ответственности за якобы крупнейшую в истории атаку клонирования Claude. Правительство очень быстро поддержало их, предупредив Китай в апреле о грядущих репрессиях.

Однако, как отметило NBC News, совместное заявление, опубликованное во вторник, стало «самым подробным обвинением администрации Трампа на сегодняшний день». В нем ведомства заявили, что украденные возможности моделей ИИ «составляют ядро, а не просто дополнение» стратегии развития ИИ в Китае.

Компания DeepSeek была обвинена в «масштабном злонамеренном копировании» моделей Claude, Gemini, GPT и Grok с целью «снижения вычислительных и исследовательских затрат». Китайская фирма якобы использовала специализированные обучающие данные и ряд возможностей, включая агентные функции, возможности помощника, оптимизацию написания, оптимизацию вопросов и ответов, а также логику логического мышления.

Компания Moonshot AI применила аналогичный подход, переключаясь между моделями ведущих американских фирм, чтобы объединить методы тонкой настройки, обучение с подкреплением, разработку программного обеспечения и математические возможности.

По данным агентств, другие компании, включая Alibaba, MiniMax, StepFun и Z.AI, похоже, сосредоточились на копировании отдельных моделей у Anthropic и OpenAI.

Издание Ars обратилось ко всем компаниям, занимающимся разработкой ИИ, чьи модели, предположительно, стали объектом атак китайских фирм, но ни одна компания не ответила незамедлительно. Поэтому сложно сказать, насколько практичны рекомендованные меры по смягчению последствий.

Китай заявляет, что претензии США «безосновательны».

Однако Китай недоволен тем, что США продолжают обвинять ведущие китайские компании в области искусственного интеллекта в краже интеллектуальной собственности.

В среду представитель Министерства иностранных дел Китая Мао Нин заявила, что американские ведомства должны работать над укреплением сотрудничества с Китаем в области искусственного интеллекта, «а не выдвигать безосновательные обвинения», сообщает NBC News. Она также защитила успех Китая в быстром расширении своих возможностей в области ИИ, назвав это «результатом высокого уровня научно-технической самодостаточности».

Ранее представитель посольства Китая Лю Чан обвинил администрацию Трампа в проведении «клеветнической» кампании, основанной на предвзятом отношении к Китаю, сообщило NBC News.

«Влиятельные лица в Соединенных Штатах должны уважать факты, отбросить предрассудки и прекратить очернять и дискредитировать достижения Китая в развитии индустрии искусственного интеллекта», — сказал Лю.

Примерно в то же время газета «Жэньминь жибао», являющаяся официальным изданием Коммунистической партии Китая, сообщила, что представитель Министерства иностранных дел отметил, что «многие американские компании, занимающиеся искусственным интеллектом, использовали китайские модели для оптимизации в ходе исследований, разработок и обучения». Кроме того, многие американские стартапы стремятся получить доступ к китайским моделям ИИ, которые более доступны по цене и достаточно функциональны для решения множества задач.

Представитель США предположил, что стране следует прислушаться к мнению делового сообщества, иначе «Китай примет все необходимые меры в ответ на любые действия, наносящие существенный ущерб его интересам, и будет решительно защищать свои законные права и интересы».

Для Китая отражение атак США на его ведущие модели искусственного интеллекта происходит в тот момент, когда Министерство промышленности и информационных технологий на этой неделе опубликовало план «резкого расширения потенциала страны в области интеллектуальных вычислений в течение следующих пяти лет», сообщила газета South China Morning Post. Это также происходит непосредственно перед встречей Дональда Трампа и председателя КНР Си Цзиньпина 24 сентября.

Источник: arstechnica.com