Ламберт: запрет открытых весов потянет за собой запрет API фронтирных моделей

Натан Ламберт, автор рассылки Interconnects, заявляет, что дискуссия о запрете моделей с открытыми весами строится на неверной посылке. Большинство задокументированных атак с участием ИИ, по его оценке, пока совершено через закрытые модели. Поводом для разбора стал отчёт Anthropic о китайской GLM-5.3. Ламберт считает, что отчёт обходит главный вопрос. Его вывод жёсткий: кто хочет запретить открытые веса ради безопасности, должен быть готов запретить и публичные API фронтирных моделей.

Где ломается аргумент о запрете

Стандартная логика сторонников ограничений проста. Открытые веса нельзя отозвать, их можно дообучить и очистить от защитных механизмов, поэтому они опаснее. Ламберт возражает: эмпирическая картина выглядит иначе. Реальные инциденты, которые удалось задокументировать, чаще связаны с закрытыми системами.

Причина, по всей видимости, прозаична. Злоумышленнику не нужен собственный кластер, если сильная модель продаётся по API за деньги. Закрытый доступ дешевле, быстрее и не требует инженерных навыков. Фильтры провайдера можно обходить подбором запросов или краденными аккаунтами, и это уже происходит.

Отсюда симметрия, на которой строится вся позиция автора. Если критерий запрета звучит как «модель способна помочь в атаке», он одинаково бьёт и по весам, и по API. Запретить одно и оставить другое значит защищать не безопасность, а конкретную бизнес-модель.

Что не так с отчётом про GLM-5.3

По описанию Ламберта, отчёт Anthropic фиксирует возможности китайской модели, но не отвечает на ключевой вопрос: сколько риска добавляют именно открытые веса по сравнению с тем, что атакующий и так получает через закрытые API. Без такой базовой линии любая цифра о «опасных» способностях ничего не говорит о пользе запрета. Модель может уверенно писать эксплойты, но если то же самое делают платные фронтирные системы, запрет весов ничего не меняет.

Есть и вопрос интересов. Anthropic выпускает закрытые модели, и аргумент против открытых весов совпадает с её коммерческой позицией. Это не означает, что выводы неверны. Но именно поэтому методика должна быть прозрачной, а сравнение с закрытыми аналогами обязательным.

Китайский фактор

Третья часть аргумента касается китайских лабораторий. Они оценивают риски по-своему и принимают решения о публикации весов по собственной рамке. Запрет в США или ЕС не отменит релизы за пределами этих юрисдикций. Веса, однажды выложенные в сеть, остаются доступными всем, включая тех, кого запрет должен был остановить.

Ключевые тезисы разбора:

• большинство задокументированных атак с ИИ пока прошло через закрытые модели;
• отчёт Anthropic про GLM-5.3 не сравнивает риск открытых весов с риском закрытых API;
• китайские лаборатории используют собственную рамку оценки угроз;
• последовательный запрет открытых весов должен распространяться и на публичные API фронтирных моделей.

Что проверять командам и регуляторам

Для регуляторов вывод практичный: любой отчёт о киберрисках модели стоит читать с вопросом о базовой линии. Что атакующий мог сделать без этой модели и что делает с ней? Без ответа на него выводы не годятся как основа для закона.

Компаниям, которые строят продукты на открытых весах, разумно держать запасной вариант. Риск ограничений существует, и зависимость от одной модели, особенно китайского происхождения, может стать проблемой комплаенса. Хранить копии весов и тестировать замену заранее дешевле, чем срочно мигрировать.

Команды безопасности получают более важный урок: мониторить нужно и закрытые API. Если реальные атаки идут через них, то контроль злоупотреблений, проверка клиентов и анализ аномальных запросов дают больше, чем спор о лицензиях.