Обход ограничений ИИ стал услугой по клику: сервис бесплатно выдаёт код для кражи паролей

Техника аблитерации (abliteration, удаление из модели встроенной склонности отказывать на потенциально опасные запросы) существует не первый год. На платформе Hugging Face размещены тысячи таких модифицированных моделей с открытыми весами (open weights, когда разработчик публикует параметры модели и любой может её скачать и изменить). Но до сих пор, чтобы воспользоваться ими, нужно было самостоятельно скачивать модель и арендовать вычислительные мощности.

Стартап Abliteration.ai, основанный в конце прошлого года и официально зарегистрированный в марте, убрал это трение. По данным TechCrunch, журналисты издания за минуты создали аккаунт и бесплатно получили от модифицированной GLM-5.3 работающий код для кражи паролей из браузера Chrome и подробный протокол культивирования опасного патогена. Обычная версия той же модели оба запроса отклонила бы.

Что стоит за сервисом?

Сооснователь компании, известный как Девон (фамилию он не раскрывает, поскольку параллельно работает в другой фирме), заявил TechCrunch, что цель сервиса: дать специалистам по кибербезопасности инструменты для «наступательной кибербезопасности, ред-тиминга (red teaming, имитация атак для проверки защиты) и тестирования ИИ-агентов (agent, программа, которая сама выполняет цепочку действий), на что другие модели отказываются идти».

Логика знакома безопасникам: нельзя защититься от атаки, которую не можешь воспроизвести. Один из клиентов Abliteration.ai, по словам Девона, тестирует ИИ-агентов банков на устойчивость к взлому и не смог бы делать это со стандартной, «из коробки», моделью.

Венчурного капитала компания пока не привлекала, но ведёт переговоры. Сервис финансируется выручкой от клиентов и имеет контракты с несколькими крупными облачными провайдерами.

Где проходит граница между защитой и угрозой?

Критики видят в массовой доступности аблитерированных моделей прямой риск. Эндрю Юн, глава исследований некоммерческой организации CivAI, занимающейся безопасностью ИИ, сказал TechCrunch:

Вы модифицируете модель так, что она становится социопатом. Можно ввести буквально что угодно, и она подчинится. Я ожидаю, что в ближайшем будущем мы увидим, как аблитерированные модели используются во вред. : Эндрю Юн, глава исследований CivAI

Сам сервис содержит минимальные ограничения: по данным TechCrunch, модель отказалась выдавать инструкции по суициду. Девон заявил, что работает над дополнительными фильтрами против контента, связанного с насилием. Abliteration.ai также предлагает клиентам модуль модерации, чтобы те сами настраивали нужные им ограничения.

При этом у сервиса нет процедур верификации личности пользователя (KYC, «знай своего клиента»), кроме логирования данных банковской карты при покупке. Девон признал: «Вы не хотите нести ответственность за то, что кто-то сделает что-то безумное… Мы всё ещё определяем, где проходит эта граница».

Можно ли остановить обход ограничений ИИ?

Большинство экспертов, опрошенных TechCrunch, считают, что предотвратить саму аблитерацию моделей с открытыми весами нереально. Но есть точки, где государство может вмешаться. Юн в недавней публицистической колонке предложил два шага:

• Обязать провайдеров запускать классификаторы, которые обнаруживают и блокируют запросы, связанные с кибероружием и биооружием.
• Требовать от компаний, арендующих GPU, верифицировать личность клиента и отказывать в доступе при подозрении на опасное использование.

Несколько компаний, занимающихся ред-тимингом ИИ-агентов, подтвердили TechCrunch позицию Девона: злоумышленники уже аблитерируют собственные модели и используют их для атак. Значит, защитникам нужен тот же арсенал. Однако не все согласны, что аблитерированные модели незаменимы: часть специалистов по безопасности обходится дообучением (fine-tuning, обучение модели на ваших примерах под узкую задачу) открытых моделей вместо полного снятия фильтров.

Что это значит для вас?

• Авторам Дзена и копирайтерам. Обход ограничений ИИ может казаться способом получить «нецензурированный» текст, но коммерческие нейросети для контента (YandexGPT, GigaChat, ChatGPT) блокируют запросы не из вредности: их фильтры защищают и от галлюцинаций (hallucination, когда модель уверенно выдумывает факты). Снятие фильтров увеличивает риск получить убедительную, но ложную информацию. Для рабочих задач надёжнее грамотный промпт (prompt, текстовая инструкция для модели), а не «раскованная» модель.

• Маркетологам. Если ваши клиенты работают в кибербезопасности или финтехе, Abliteration.ai показывает реальный спрос на инструменты атакующего тестирования ИИ-агентов. Это растущая ниша, но продвигать подобные продукты сложно: репутационные риски высоки.

• Предпринимателям в РФ и СНГ. Сервис Abliteration.ai доступен через браузер и API (программный интерфейс) без географических ограничений, о которых сообщал бы источник. Но важно понимать: в России действуют свои нормы ответственности за использование вредоносного ПО. Открытые модели вроде GLM-5.3 можно запускать локально, и техника аблитерации применима к ним напрямую, что делает вопрос внутренней политики безопасности вашей компании ещё острее.

Вопрос, который ставит эта история, не технический, а управленческий: если любой может снять фильтры с мощной модели за пять минут, значит, безопасность ИИ нельзя строить только на запретах внутри самой модели, нужны внешние механизмы контроля, от верификации пользователей до мониторинга запросов. И решать это придётся не разработчикам моделей в одиночку, а регуляторам, провайдерам и бизнесу вместе.