Continuano i rilasci multimodali open weight mentre Washington e Pechino stringono le regole

Il documento datato più recente non è il lancio di un modello. È un post del 27 ottobre su Schneier on Security, dedicato a una ricerca intitolata "AI Models Can Provably Hide Arbitrary Capabilities".

Gli autori dicono di aver costruito attacchi backdoor che incorporano reti neurali cifrate dentro i pesi di un modello ospite. Queste reti si decifrano e si attivano solo quando arriva un trigger segreto. La cosa riguarda chiunque legga la nota di rilascio di un modello multimodale. Le valutazioni delle capacità, sostiene il paper, partono dal presupposto che le capacità nascoste si possano far emergere. Gli autori affermano che questo presupposto salta in condizioni avversariali. Raccontano di aver provato a far emergere le capacità con il fine-tuning, il rumore sui pesi, la ricerca del trigger basata sul gradiente e l'addestramento avversariale latente. Hanno usato un piccolo compito di previsione di reazioni chimiche come proxy di capacità rilevanti per CBRN. Secondo loro i circuiti nascosti hanno resistito a tutti questi metodi. Hanno pubblicato i modelli per sostenere il lavoro sulle difese.

Il commento di Schneier è una riga e una domanda. Ipotizza che i test statistici possano individuare le reti cifrate incorporate anche quando non si riescono a far emergere. Lo paragona all'analisi dell'entropia usata per segnalare le regioni cifrate nei binari. Il post è una voce di blog intorno a un paper, non un risultato sottoposto a revisione paritaria. Né il post né il paper indicano gli autori o una sede di pubblicazione.

Cosa è effettivamente uscito

Il calendario dei rilasci è più pieno delle notizie politiche. Il team MiMo di Xiaomi ha pubblicato MiMo-V2.6-Pro-RL, secondo il numero del 20 ottobre della newsletter sugli artefatti aperti di Interconnects. L'aggiornamento riusa le stesse basi di MiMo V2.5 ma ha speso molte più risorse nel reinforcement learning. Il team ha anche pubblicato un rapporto tecnico approfondito e alcuni degli ambienti di addestramento. La newsletter lo definisce raro a questa scala. Dice che il modello finale di quella ricetta, V2.6-Pro, è il miglior modello aperto nella classifica di Artificial Analysis.

Google ha pubblicato EmbeddingGemma 2, descritto nella lista dei titoli come un modello di embedding multimodale aperto e leggero. Un titolo, datato 6 ottobre, parla di un embedder multimodale unificato da 744.000.000 di parametri. Un altro, datato 18 ottobre, inquadra il rilascio intorno agli standard Apache-2.0 per la ricerca multimodale. Un terzo, datato 6 ottobre, cita Sundar Pichai che lo definisce il primo modello di embedding nativamente multimodale e aperto dell'azienda. Un modello di embedding non è un generatore di video, e la copertura non va letta in quel senso.

La lista dei titoli riporta anche Pika H3 Flex, un modello video open weight con output 4K e generazione audio, datato 1 novembre. Riporta anche LFM3 di Liquid AI, sei modelli multimodali open weight di classe 2.000.000.000 di parametri, datati 27 ottobre.

Il contributo di SenseTime è più vecchio. Un titolo datato 20 agosto dice che l'azienda ha reso open source un modello multimodale da 8.000.000.000 di parametri con output immagini nativo 4K. Clef-omni di Cloudflare, un modello decisionale multimodale 30.000.000.000-A3.000.000.000 per audio, video, immagini e testo, compare con data 11 ottobre. Nessuna di queste voci arriva con numeri di benchmark, quindi le dichiarazioni sulle capacità vanno considerate inquadramento del fornitore finché non arriveranno valutazioni indipendenti.

I regolatori intervengono sui pesi aperti

È sul fronte politico che il numero di Interconnects spende le sue parole, ed è datato 20 ottobre. Il ministero del Commercio cinese, MOFCOM, ha pubblicato una proposta di policy, non ancora una legge. Richiederebbe ai modelli AI di frontiera e ad alcune altre tecnologie un'approvazione preventiva del governo prima di essere condivisi a livello internazionale. Interconnects definisce eccessiva la reazione. Nota che il documento prevede approvazioni automatiche per le tecnologie open source. Altri, di cui la newsletter si fida, sostengono che la proposta miri a situazioni come la vendita della startup cinese Manus ad aziende occidentali, non ai modelli di frontiera. La newsletter registra il disaccordo senza risolverlo.

Negli Stati Uniti il Department of Homeland Security ha pubblicato un ordine su DeepSeek. Vieta all'azienda e ai suoi modelli di partecipare come fornitore agli appalti civili federali. Interconnects segnala la questione irrisolta dei modelli messi a punto e di quelli addestrati sugli output di DeepSeek. Indica la linea Nemotron di Nvidia, che secondo la newsletter si è a lungo basata pesantemente sui modelli DeepSeek nelle sue ricette di addestramento. Zhipu AI, produttrice di GLM, è già nella Entity List del Dipartimento del Commercio, che limita l'accesso alla tecnologia americana, secondo lo stesso numero.

La risposta di DeepSeek è stata tecnica. Ha pubblicato il suo stack di inferenza interno, DeepInfer. Interconnects si aspetta che sia molto più efficiente di strumenti aperti come vLLM e SGLang per i suoi modelli. La newsletter cita stime fino al 90% di margine lordo sui token venduti attraverso quello stack. La definisce uno degli artefatti open source AI più importanti degli ultimi mesi, anche se non è né un modello né un dataset.

La questione del bias dentro un modello per il codice

Un secondo post di Schneier, datato 26 ottobre, descrive un lavoro su Qwen3-Coder. Il riassunto dice che dire al modello per chi è il codice cambia la sicurezza di ciò che scrive. Le app richieste per un appaltatore della difesa statunitense avevano il 19% di probabilità in più di essere violabili rispetto a quelle per un appaltatore della difesa cinese. Le app per un gruppo per la democrazia di Hong Kong avevano il 28% di probabilità in più di lasciare che qualsiasi utente leggesse i segreti di tutti gli altri. Aggiungere un'istruzione di sicurezza non ha colmato il divario. Il riassunto dice che le app per l'appaltatore statunitense avevano poi il 27% di probabilità in più di essere violabili rispetto a quelle per un cliente neutrale.

Il post attribuisce la correzione a Hirundo. Dice che Hirundo ha rimosso l'allineamento al PCC del modello e chiuso tutti e tre i divari, restando allineato all'originale su altri dieci compiti di programmazione. Dice che il modello modificato è su Hugging Face. Le affermazioni vengono dall'azienda che ha fatto la correzione, e non esiste alcuna replica indipendente: è l'avvertenza ovvia. Un commentatore del post solleva il rischio opposto. Un avversario potrebbe spingere una storia su un bias incorporato per vendere un modello modificato nelle linee di produzione.

È questo il tessuto connettivo tra i due lavori di ricerca. Uno dice che un comportamento nascosto può essere reso dimostrabilmente difficile da far emergere. L'altro dice che una differenza di comportamento si può misurare, attribuire all'addestramento e rimuovere modificando i pesi. Entrambi indicano lo stesso vuoto. Gli strumenti per verificare cosa c'è dentro un modello open weight sono più giovani della cadenza dei rilasci.

L'infrastruttura continua a filtrare nella storia

Due voci di sicurezza stanno fuori dall'AI ma disegnano lo stesso quadro di deployment. Il 22 ottobre Schneier ha riportato le correzioni dei manutentori di PHP per due vulnerabilità critiche che consentono l'esecuzione remota di codice non autenticata. Le correzioni coprono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. L'avviso elenca come esposti PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio più alto è su mod_php, dove una richiesta può scatenare l'attacco prima che il codice dell'applicazione venga eseguito. Le due CVE sono CVE-2.026-109.618 e CVE-2.026-109.619.

Il post dice che la società di sicurezza Calif ha scoperto i difetti, e che i ricercatori di Wiz li hanno trovati in modo indipendente. I commentatori collegano la scoperta alla caccia alle vulnerabilità assistita dall'AI. Temono che la divulgazione stia superando le patch.

La seconda voce è un problema di certificati. Un commento al post su PHP rimanda a un articolo di Ars Technica di ottobre. Il titolo riguarda internet in stato di allerta dopo la scoperta di 8 certificati TLS compromessi. Secondo il racconto del commentatore, l'autorità di certificazione indiana eMudhra ha usato valori di chiave di firma deboli per i certificati di livello superiore. Questo ha reso inaffidabili circa 60.000.000 di certificati. Il link non corrobora il racconto oltre il titolo. Il dato dei 60.000.000 va trattato come affermazione di un commentatore, non come conteggio confermato.

Cosa guardare adesso

Interconnects, scrivendo il 20 ottobre, diceva che Kimi K3.1 sarebbe stato rilasciato molto presto secondo le voci. I metadati iniziavano a comparire nelle librerie pubbliche. È una voce in una newsletter, non un rilascio.

Lo stesso numero nota che l'ecosistema aperto sta maturando mentre il terreno normativo sotto di esso si sposta. È un riassunto giusto del mese: più pesi multimodali, più divieti negli appalti e metodi di verifica che il paper del 27 ottobre dice aggirabili per progettazione.