ЗАЩО ВСИЧКИ AI МОДЕЛИ СА ФУНДАМЕНТАЛНО КОМПРОМЕТИРАНИ
Четири слоя филтър, три значения на думата "безопасност" и една неудобна истина за локалните модели
Има един жанр текстове, който вече омръзна: "AI-то е цензурирано, инсталирай Ollama, бъди свободен". Проблемът с този жанр не е, че греши. Проблемът е, че е мързелив, и защото е мързелив, всеки инженер го оборва за две минути и после отхвърля и вярната част заедно с грешната.
Тази статия е опит да се направи същият аргумент, но така че да издържи проверка.
Тезата е проста: няма неутрален модел. Всеки модел носи ценностната система на този, който го е обучил. Въпросът не е дали има филтър, а къде точно седи филтърът, кой го е сложил и в чий интерес работи.
01. ЧЕТИРИТЕ СЛОЯ
Когато напишеш въпрос и получиш отказ, ти не си се сблъскал с "AI-то". Сблъскал си се с един от четири различни механизма, които почти никой не разграничава. А те са контролирани от различни хора, чупят се по различен начин и се заобикалят по различен начин.
Слой 1: Данните при предобучението
Моделът вижда това, което са му дали да види. Тук се решава какво изобщо съществува за него. Ако определени текстове са филтрирани от корпуса, моделът не ги "премълчава", той просто ги няма. Това е най-дълбокият и най-невидимият слой.
Слой 2: Дообучението и RLHF
Тук моделът се научава не какво знае, а как да се държи. Кой тон, коя дължина, кои теми се заобикалят учтиво. Това е слоят, който хората наричат "подравняване", и това е слоят, за който се води спорът.
Слой 3: Системният промпт
Текст, който доставчикът слага пред всеки твой разговор. Ти не го виждаш, но той е там и инструктира модела как да се държи. Сменя се без предупреждение, без версия, без changelog. Днешният отказ може да е утрешното съгласие, защото някой е редактирал един абзац в конфигурацията.
Слой 4: Изходният класификатор
Отделен, по-малък модел, който гледа заявката или отговора и решава дали да мине. Той не разбира контекст. Той разпознава шаблони. Затова именно този слой произвежда абсурдите: въпрос за химията на почистващите препарати попада в същото кошче като заявка за оръжие.
Ако не различаваш тези четири слоя, критиката ти е тъпа брадва. Ако ги различаваш, започваш да виждаш кой отказ е политика, кой е адвокатска предпазливост и кой е просто зле настроен регулярен израз с претенции.
02. RLHF: КАКВО ВСЪЩНОСТ ПРАВИ
RLHF означава Reinforcement Learning from Human Feedback. Механизмът не е списък от забранени думи. Показват на хора два отговора на един и същ въпрос и ги питат кой е по-добър. От хилядите такива сравнения се обучава модел на предпочитанията, а после основният модел се оптимизира да произвежда отговори, които този модел на предпочитанията харесва.
Тоест моделът не научава правила. Той научава вкус. Вкусът на конкретна група хора, наети от конкретна компания, работещи по конкретна инструкция.
И тук е истинският проблем, много по-интересен от "цензурата": никой не е гласувал за този вкус. Инструкцията, по която работят анотаторите, е вътрешен документ. Съставът на анотаторите е търговска тайна. Резултатът се лее в продукт, който ползват стотици милиони хора и който все по-често е първият източник, до който човек посяга, преди да си състави мнение.
Един уточняващ детайл, който често се бърка. Историята с работниците в Кения на около два долара на час е реална и документирана, но тя е за модериране на съдържание и изграждане на филтри за токсичност, не за оценяването на предпочитания при RLHF. Две различни неща, различни договори, различна цел. Смесването им звучи ефектно и се оборва за трийсет секунди, което е най-лошата комбинация в един аргумент.
Другото, което трябва да си кажем честно: RLHF не е само намордник. Същият механизъм прави моделите полезни. Без него получаваш base модел, който продължава изречението ти вместо да отговори на въпроса ти. Инструментът е неутрален. Ценностите, които се впръскват през него, не са.
03. ВСЕКИ МОДЕЛ Е ПОЛИТИЧЕСКИ АРТЕФАКТ
Тук се намира най-силният наличен пример, и той не е този, който обикновено се дава.
Класическият вариант е: "Попитай GPT за Тянанмен". Опитай го. Ще ти отговори. Ще ти даде дати, брой жертви по различни оценки, контекст. Примерът не работи и когато не работи, читателят отхвърля цялата статия.
Работещият пример е сравнението. Питаш за Тянанмен западен модел и китайски модел. DeepSeek и Qwen при определени условия ще ти дадат уклончив отговор или направо ще откажат темата. Не защото са по-глупави, а защото са произведени в правна и политическа среда, в която друг отговор е невъзможен.
Всяка страна изнася моделите си със своите слепи петна, вградени в тежестите.
Западните модели също имат свои. Просто те не изглеждат като отказ. Изглеждат като избор на рамка, като това коя гледна точка се представя първа, коя се описва като консенсусна и коя се придружава от уговорки. По-трудно се хваща от отказа, и точно затова е по-важно.
Практическото следствие е неприятно: не можеш да "избягаш" от пристрастност чрез смяна на доставчик. Можеш само да смениш чия пристрастност ползваш. Единствената реална защита е да четеш от повече от един източник и да не приемаш нито един за арбитър.
04. ЛОКАЛНИТЕ МОДЕЛИ: КАКВО ПЕЧЕЛИШ И КАКВО НЕ
Тук трябва да се каже нещо, което рядко се казва в статии от този жанр.
ollama pull llama3 не ти дава нецензуриран модел.
Дава ти модел, който Meta е подравнила със същите техники, които критикуваш. Свалил си тежестите на своя диск, не си махнал слоя. Слой 3 и слой 4 отпадат, защото няма чужд системен промпт и няма чужд класификатор. Слой 1 и слой 2 идват заедно с файла и седят вътре.
Това не убива аргумента. Променя го, и то в по-честна посока. Реалната печалба от локален модел е:
- Никой не логва въпросите ти. Това е най-подценяваната част. Ти пишеш на тези модели неща, които не би написал в имейл.
- Работи без интернет. Собствената ти инфраструктура не зависи от нечие бизнес решение.
- Не изчезва. Един ден моделът, на който си свикнал, ще бъде sunset. Локалният файл на твоя диск няма дата на изтичане.
- Можеш да го дообучиш. Тук е истинската свобода, не в свалянето.
- Няма промяна без твое знание. Поведението не се променя, защото някой е редактирал конфигурация в друг часови пояс.
Ако наистина искаш модел без слой 2, търсиш base модели или така наречените abliterated варианти, при които подравняването е механично отслабено след обучението. И трябва да знаеш какво получаваш: по-непредвидим модел, по-склонен да съчинява уверено, по-лош асистент. Свободата и удобството тук са в пряка размяна.
Минималният старт остава три реда, но да са с честна етикетировка:
Code:
curl -fsSL https://ollama.com/install.sh | sh
ollama pull llama3
ollama run llama3По-бавно е. По-глупаво е. Твое е.
05. ФИЛОСОФСКИЯТ ПРОБЛЕМ С "БЕЗОПАСНОСТТА"
"Безопасност" е дума, която върши три различни работи едновременно, и точно затова е толкова удобна.
Първата работа е реална. Има ограничен набор от неща, които не искаш да са на един промпт разстояние от всеки тийнейджър със скучен следобед. Тук отказът не е корпоративна самозащита и всеки, който твърди обратното, продава нещо.
Втората работа е адвокатска. Огромна част от отказите не защитават никого от нищо. Те защитават компанията от съдебен процес и от неудобен screenshot в социалните мрежи. Тук думата "безопасност" е чист евфемизъм за "отговорност".
Третата работа е техническа некадърност, облечена като принцип. Класификаторът е настроен грубо, лови безобидни неща и отказът се сервира с моралистичен тон, все едно е решение, а не грешка. Това е най-вредната от трите, защото тя произвежда цинизма, който после кара хората да отхвърлят и първата.
Спорът, който си струва, е за границата между трите. А той почти не се води публично, защото първата работа служи за оправдание на другите две.
Как би изглеждала безопасност, която не е предимно PR:
- Публикувани инструкции към анотаторите
- Публикуван системен промпт и версия при всяка промяна
- Отворени тегла поне за част от моделите
- Проверими откази, тоест обяснение кой слой е отказал и защо
- Външен одит, а не самооценка
Част от това вече се случва, макар и накъсано. Публикуването на системни промптове и рамки за поведение вече не е немислимо, каквото беше преди няколко години. Остава да се случи най-скъпото: прозрачност, която може да те осъди.
06. КАКВО ПРАВИМ СЕГА
Не спирай да ползваш корпоративните модели. Те са по-добри и това няма да се промени скоро. Но ползвай ги като инструмент с известни изкривявания, не като оракул.
Практично:
- Дръж локален модел за нещата, които не искаш да напускат къщата ти. Отделен въпрос е дали ти трябва за всичко.
- При спорна тема питай два модела от различни юрисдикции. Разликата в отговорите е самата информация.
- Когато получиш отказ, питай кой слой те е отказал. Често се вижда по тона.
- Дообучи нещо, каквото и да е, поне веднъж. След това спираш да мислиш за тези системи като за магия.
- Подкрепяй проекти с отворени тегла. Не защото са по-добри днес, а защото са единствената застраховка утре.
Всеки път, когато модел ти каже "не мога да помогна", задай си въпроса: това защитава мен, или защитава някой друг от мен?
Изкуственият интелект може да бъде инструмент за освобождаване или за контрол. В момента е и двете, в пропорция, която никой не е гласувал.
Ключови думи: RLHF, alignment, подравняване на AI, цензура в AI модели, локални LLM, Ollama, llama.cpp, отворени тегла, open weights, base модели, abliterated модели, системен промпт, изходен класификатор, DeepSeek, Qwen, AI safety, цифров суверенитет, самостоятелно хостване
Източници и посоки за четене: техническата документация на Ollama и llama.cpp; оригиналните публикации на OpenAI и Anthropic за обучение с човешка обратна връзка; репортажът на TIME от януари 2023 за модерирането на съдържание в Кения; публично достъпните системни промптове и рамки за поведение на големите доставчици; сравнителни тестове на западни и китайски модели по политически чувствителни теми.
toni@dtgarage:~$ whoami
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
Копирането и препубликуването без разрешение не е позволено.
toni@dtgarage:~$ ./support.sh
Подкрепи DTGaraGe и независимото техническо съдържание
toni@dtgarage:~$ █
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
Копирането и препубликуването без разрешение не е позволено.toni@dtgarage:~$ ./support.sh
Подкрепи DTGaraGe и независимото техническо съдържаниеtoni@dtgarage:~$ █
