Kolejne otwarte modele multimodalne, gdy Waszyngton i Pekin zaostrzają przepisy

Najnowszy materiał z datą to nie premiera modelu. To opublikowany 27 października wpis na Schneier on Security o badaniu zatytułowanym "AI Models Can Provably Hide Arbitrary Capabilities".

Autorzy twierdzą, że zbudowali ataki typu backdoor, które umieszczają zaszyfrowane sieci neuronowe w wagach modelu gospodarza. Odblokowują się i działają tylko wtedy, gdy pojawi się tajny wyzwalacz. Ma to znaczenie dla każdego, kto czyta notkę wydawniczą o modelu multimodalnym. Według pracy ewaluacje możliwości zakładają, że ukryte zdolności da się wydobyć. Autorzy twierdzą, że to założenie zawodzi w warunkach ataku. Opisują testy wydobywania przez dostrajanie, szumienie wag, wyszukiwanie wyzwalacza oparte na gradiencie i utajone treningi adwersarialne. Jako przybliżenie możliwości istotnych dla CBRN wykorzystali proste zadanie przewidywania reakcji chemicznej. Twierdzą, że ukryte obwody oparły się tym metodom. Udostępnili swoje modele, żeby wesprzeć prace nad obroną.

Komentarz samego Schneiera to jedno zdanie i pytanie. Spekuluje, że testy statystyczne mogłyby wykryć zaszyfrowane sieci nawet wtedy, gdy nie da się ich wydobyć. Porównuje to do analizy entropii, którą oznacza się zaszyfrowane fragmenty plików binarnych. Wpis to notka blogowa wokół pracy, nie wynik po recenzji. Ani wpis, ani praca nie podają nazwisk autorów ani miejsca publikacji.

Co faktycznie się ukazało

Kalendarz premier jest pełniejszy niż wiadomości o polityce. Zespół MiMo w Xiaomi wypuścił MiMo-V2.6-Pro-RL, według numeru newslettera Interconnects o otwartych artefaktach z 20 października. Aktualizacja korzysta z tych samych baz co MiMo V2.5, ale pochłonęła znacznie więcej zasobów na uczenie ze wzmocnieniem. Zespół opublikował też szczegółowy raport techniczny i część środowisk treningowych. Newsletter nazywa to rzadkością w tej skali. Pisze, że finalny model z tego przepisu, V2.6-Pro, jest najlepszym otwartym modelem w rankingu Artificial Analysis.

Google wypuścił EmbeddingGemma 2, opisany na liście nagłówków jako otwarty, lekki model embeddingowy multimodalny. Jeden z nagłówków, z 6 października, mówi o zunifikowanym multimodalnym embedderze o 744 000 000 parametrów. Inny, z 18 października, ujmuje wydanie w kontekście standardów Apache-2.0 dla wyszukiwania multimodalnego. Trzeci, również z 6 października, cytuje Sundara Pichaia, który nazywa go pierwszym otwartym, natywnie multimodalnym modelem embeddingowym firmy. Model embeddingowy to nie generator wideo i relacji nie należy tak czytać.

Na liście nagłówków jest też Pika H3 Flex, otwarty model wideo z wyjściem 4K i generowaniem dźwięku, z 1 listopada. Jest tam również LFM3 od Liquid AI, sześć otwartych modeli multimodalnych klasy 2 000 000 000 parametrów, z 27 października.

Wkład SenseTime jest starszy. Nagłówek z 20 sierpnia mówi, że firma udostępniła na zasadach open source model multimodalny o 8 000 000 000 parametrów z natywnym wyjściem obrazu 4K. Clef-omni od Cloudflare, model decyzyjny multimodalny 30 000 000 000-A 3 000 000 000 dla dźwięku, wideo, obrazu i tekstu, widnieje z datą 11 października. Żadna z tych pozycji nie ma wyników benchmarków, więc deklaracje możliwości traktuj jako ramę od dostawcy, dopóki nie pojawią się niezależne ewaluacje.

Regulatorzy biorą się za otwarte wagi

Strona polityczna to miejsce, w którym numer Interconnects zużywa najwięcej słów, a pochodzi z 20 października. Ministerstwo Handlu Chin, MOFCOM, opublikowało propozycję polityki, jeszcze nie ustawę. Wymagałaby ona zgody rządu przed udostępnieniem za granicą modeli frontier i niektórych innych technologii. Interconnects nazywa reakcję przesadzoną. Zauważa, że dokument przewiduje automatyczne zgody dla technologii open source. Inni, którym newsletter daje wiarę, przekonują, że propozycja dotyczy sytuacji takich jak sprzedaż chińskiego startupu Manus zachodnim firmom, a nie modeli frontier. Newsletter odnotowuje spór, nie rozstrzygając go.

W USA Departament Bezpieczeństwa Krajowego wydał rozporządzenie w sprawie DeepSeek. Zakazuje firmie i jej modelom udziału w federalnych zamówieniach cywilnych w roli dostawcy. Interconnects wskazuje nierozstrzygnięte pytanie o modele dostrojone i modele trenowane na wynikach DeepSeek. Przywołuje linię Nemotron od Nvidii, która, jak pisze, od dawna mocno opierała swoje przepisy treningowe na modelach DeepSeek. Zhipu AI, twórca GLM, jest już na liście podmiotów Departamentu Handlu, która ogranicza dostęp do amerykańskiej technologii, według tego samego numeru.

Odpowiedź samego DeepSeek była techniczna. Firma opublikowała swój wewnętrzny stos inferencyjny DeepInfer. Interconnects spodziewa się, że dla jej modeli będzie znacznie wydajniejszy niż otwarte narzędzia takie jak vLLM i SGLang. Newsletter cytuje szacunki do 90% marży brutto na tokenach sprzedawanych przez ten stos. Nazywa to wydanie jednym z większych otwartych artefaktów AI ostatnich miesięcy, choć nie jest to ani model, ani zbiór danych.

Pytanie o uprzedzenia w modelu do kodu

Drugi wpis Schneiera, z 26 października, opisuje prace nad Qwen3-Coder. Streszczenie mówi, że wskazanie modelowi, dla kogo pisze kod, zmienia bezpieczeństwo tego, co powstaje. Aplikacje zamawiane dla amerykańskiego wykonawcy zbrojeniowego były o 19% częściej podatne na zhakowanie niż te dla chińskiego wykonawcy zbrojeniowego. Aplikacje dla hongkońskiej grupy prodemokratycznej o 28% częściej pozwalały każdemu użytkownikowi czytać cudze sekrety. Dodanie instrukcji bezpieczeństwa nie zamknęło luki. Streszczenie mówi, że aplikacje dla amerykańskiego wykonawcy były wtedy o 27% częściej podatne na zhakowanie niż aplikacje dla neutralnego klienta.

Wpis przypisuje poprawkę firmie Hirundo. Mówi, że Hirundo usunęła dopasowanie modelu do linii partii i zamknęła wszystkie trzy luki, dorównując oryginałowi w dziesięciu innych zadaniach kodowania. Zmodyfikowany model jest na Hugging Face. Twierdzenia pochodzą od firmy stojącej za poprawką i nie ma niezależnej replikacji, co jest oczywistym zastrzeżeniem. Komentujący pod wpisem wskazuje przeciwne ryzyko. Przeciwnik mógłby rozdmuchać historię o wpisanym uprzedzeniu, żeby sprzedać zmodyfikowany model do linii produkcyjnych.

To łączy oba materiały badawcze. Jeden mówi, że ukryte zachowanie da się udowodnić jako trudne do wydobycia. Drugi mówi, że różnicę w zachowaniu da się zmierzyć, przypisać treningowi i usunąć przez edycję wag. Oba wskazują tę samą lukę. Narzędzia do audytu tego, co siedzi w otwartym modelu, są młodsze niż tempo premier.

Infrastruktura wciąż wchodzi do tej historii

Dwie pozycje o bezpieczeństwie leżą poza AI, ale kształtują ten sam obraz wdrożeń. 22 października Schneier przekazał poprawki opiekunów PHP na dwie krytyczne luki pozwalające na zdalne wykonanie kodu bez uwierzytelnienia. Poprawki obejmują PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Biuletyn wymienia PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed jako narażone. Najwyższe ryzyko dotyczy mod_php, gdzie żądanie może wywołać atak, zanim wykona się kod aplikacji. Numery CVE to CVE-2026-109 618 i CVE-2026-109 619.

Wpis mówi, że luki odkryła firma Calif, a badacze z Wiz znaleźli je niezależnie. Komentujący wiążą odkrycie z polowaniem na luki wspomaganym przez AI. Obawiają się, że ujawnianie wyprzedza łatanie.

Druga pozycja to problem z certyfikatami. Komentarz pod wpisem o PHP linkuje do reportażu Ars Technica z października. Nagłówek mówi o internecie postawionym w stan najwyższej gotowości po odkryciu 8 skompromitowanych certyfikatów TLS. Relacja komentującego jest taka, że indyjski urząd certyfikacji eMudhra użył słabych wartości klucza podpisującego dla certyfikatów najwyższego poziomu. To zostawiło około 60 000 000 certyfikatów jako niewiarygodne. Link nie potwierdza tej relacji poza nagłówkiem. Liczbę 60 000 000 traktuj jako twierdzenie komentującego, nie potwierdzony stan.

Na co patrzeć dalej

Interconnects, pisząc 20 października, podał, że Kimi K3.1 ma się ukazać bardzo szybko. W publicznych bibliotekach zaczynały pojawiać się metadane. To pogłoska w newsletterze, nie premiera.

Ten sam numer zauważa, że otwarty ekosystem dojrzewa, a grunt regulacyjny pod nim się przesuwa. To trafne podsumowanie miesiąca: więcej otwartych wag multimodalnych, więcej zakazów w zamówieniach publicznych i metody audytu, które według pracy z 27 października można z założenia obejść.