یادداشت حریم خصوصی هوش مصنوعی میکا لی، خودِ حریم خصوصی را نادیده می‌گیرد
مقاله جدید میکا لی به خوانندگان توصیه می‌کند از OpenAI یا Anthropic استفاده نکنند و به سراغ Tinfoil بروند و پیشنهاد می‌کند:
مستندات آن‌ها درباره محیط‌های اجرای امن و احراز هویت از راه دور را بخوانید.
این توصیه در ظاهر منطقی است. اما جزئیات اهمیت دارند و در مطلبی که درباره خصوصی‌بودن صحبت می‌کند، برخی از این جزئیات به شکلی خطرناک نادرست بیان شده‌اند.
لی در نوشته خود از مدل‌های دارای وزن باز در محیط‌های امن Tinfoil برای کارهای خصوصی دفاع می‌کند. او Tinfoil را «شرکتی که بیشترین کار را در این زمینه انجام می‌دهد» می‌نامد، اما هیچ مقایسه‌ای برای پشتیبانی از این ادعا ارائه نمی‌کند. همچنین Tinfoil را از طریق OpenCode اجرا می‌کند؛ ابزاری برای کدنویسی که با هر نقطه پایانی سازگار با OpenAI ارتباط برقرار می‌کند.
صفحه Tinfoil درباره عامل‌های کدنویسی نام OpenCode را آورده و به‌صراحت می‌گوید:
کلاینت‌های سازگار با OpenAI خودشان هنگام برقراری اتصال، احراز هویت انجام نمی‌دهند.
نبود احراز هویت در زمان اتصال، برای کسی که Tinfoil را شرکتی پیشرو در این حوزه معرفی می‌کند، مشکل بزرگی است. احراز هویت همان بررسی‌ای است که نشان می‌دهد محیط امن واقعاً سخت‌افزار مورد ادعا را اجرا می‌کند و همان کدی را اجرا می‌کند که باید اجرا کند. پاسخ Tinfoil یک پراکسی محلی است که پیش از خروج هر درخواست از دستگاه، این بررسی را انجام می‌دهد. بدون این پراکسی، چیزی که باقی می‌ماند یک گزارش ممیزی است که بعداً بررسی می‌شود؛ چیزی که مستندات SDK Tinfoil آن را «تضمینی بسیار ضعیف‌تر» می‌نامد.
«بسیار ضعیف‌تر». کاری که Tinfoil انجام می‌دهد، در راه‌اندازی‌ای که او توصیف کرده عملاً استفاده نمی‌شود.
لی در بخش دیگری از همان مطلب، شرایط حریم خصوصی OpenCode Go را کم‌اهمیت جلوه می‌دهد:
البته این فقط یک وعده است. هیچ تضمین فنی برای آن وجود ندارد.
اما محیط امنی که هنگام اتصال بررسی نشده باشد نیز فقط یک وعده است. هزینه‌ای که برای Tinfoil پرداخت می‌شود، بابت سخت‌افزاری است که می‌تواند خودش را اثبات کند؛ با این حال این اثبات فقط زمانی ارزش دارد که کلاینت آن را درخواست کند. مطلب او هرگز به پراکسی اشاره نمی‌کند. بنابراین دقیقاً بابت چه چیزی به Tinfoil پول پرداخت می‌شود؟
Privatemode از شرکت آلمانی Edgeless Systems این بررسی را به‌صورت پیش‌فرض در کلاینت خود قرار داده است. یک پراکسی کوچک محلی رمزگذاری و احراز هویت را مدیریت می‌کند و بررسی پیش از ارسال هر داده‌ای، در سمت کاربر انجام می‌شود.
نکته قابل توجه این است که میکا به دلیل فرانسوی‌بودن، به Mistral برای داده‌های کاربران اعتماد می‌کند. همین استدلال درباره یک سرویس آلمانی که مسیر پیش‌فرض آن تأیید و بررسی است نیز صدق می‌کند. Tinfoil یک شرکت آمریکایی است.
مشکل بزرگ‌تر در واقع روی لپ‌تاپ او قرار دارد. او به کاربران درباره ZCode، ابزار کدنویسی Z.ai، هشدار می‌دهد، زیرا این ابزار بدون اجازه کدهای محلی را بارگذاری کرده بود. هر ابزاری که چنین سطح دسترسی‌ای داشته باشد می‌تواند یک فایل را بخواند و آن را به جایی ارسال کند. جایگزین او OpenCode است؛ ابزار دیگری با همان میزان دسترسی به همان دستگاه، و او این راه‌اندازی را برای تحلیل بدافزار و آزمون نفوذ توصیه می‌کند.
چرا؟ نه، ممنون!
امنیت محیط امن فقط از مدل در زمانی که محاسبات انجام می‌شود محافظت می‌کند. خواندن فایل‌ها و اجرای فرمان‌های شل توسط عامل، خارج از محیط امن، روی لپ‌تاپ او و در اینترنت باز انجام می‌شود. بخش خصوصیِ هوش مصنوعی خصوصی او فقط مرحله استنتاج است. این گسست را می‌بینید؟
همین شکاف در نحوه تقسیم کار او نیز دیده می‌شود. او کارهای «کاملاً عمومی» را به OpenCode Go می‌فرستد، زیرا کد از قبل متن‌باز است. یک عامل کدنویسی هر چیزی را که بخواند وارد گفت‌وگو می‌کند، از جمله خروجی فرمان‌ها، و این گفت‌وگو به روتر و ارائه‌دهنده پشت آن ارسال می‌شود. مخزن ممکن است عمومی باشد، اما نشست کاری شامل هر چیزی است که عامل از دستگاه او خوانده است.
درباره خود مدل‌ها، او می‌نویسد که «کاملاً قابل قبول، امن و ایمن است» از مدل‌های دارای وزن باز استفاده شود، به شرط آنکه کاربران گفت‌وگوهای خود را از شرکت‌های سازنده دور نگه دارند. وزن‌های مدل حاصل کار شرکت هستند. وزن باز به هر کسی اجازه اجرای مدل را می‌دهد، اما اطلاعات کمی درباره هدف‌ها و رفتارهای آموزش‌داده‌شده آن آشکار می‌کند. پژوهشگران Anthropic در سال ۲۰۲۴ نشان دادند که یک مدل می‌تواند آموزش ببیند تا تا زمان ظاهرشدن یک محرک، عادی رفتار کند و آموزش‌های معمول ایمنی نیز ممکن است رفتار پنهان را از بین نبرند. اعتماد به وزن‌ها در حالی که به آزمایشگاه بی‌اعتماد هستیم، همچنان نوعی اعتماد به همان آزمایشگاه است.
او درست می‌گوید که آزمایشگاه‌های پیشرو دسترسی به قدرتمندترین قابلیت‌های سایبری هوش مصنوعی را محدود می‌کنند، اما دامنه این محدودیت‌ها را کمتر از واقع نشان می‌دهد. کم‌محدودیت‌ترین سطح Anthropic در همکاری با دولت آمریکا برای تیم‌های امنیتی تأییدشده ارائه می‌شود و هر سازمانی در برنامه تأیید آن، نگهداری داده‌ها را می‌پذیرد تا Anthropic بتواند سوءاستفاده احتمالی را بررسی کند.
راه‌حل او مدلی بدون «یک مأمور ناظر بالای سر شما» است. فیلتر ارائه‌دهنده، سیاست‌های همان ارائه‌دهنده را اجرا می‌کند. حذف آن، در حالی که عامل روی دستگاه کاربر تحلیل بدافزار انجام می‌دهد، کاربر را بدون کنترل‌های خودش باقی می‌گذارد. این منطقی نیست. کنترلی که از کاربر محافظت می‌کند باید خارج از مدل و در اختیار او باشد تا بتواند تصمیم بگیرد هر اقدام پیشنهادی به چه چیزی دسترسی داشته باشد. امتناع‌هایی که در یک مدل آموزش داده شده‌اند می‌توانند حذف شوند، اما یک دروازه کنترلی خارج از مدل با تغییر مدل نیز باقی می‌ماند.
او همچنین می‌گوید آزمایشگاه‌ها می‌توانند داده‌های شما را به اشتراک بگذارند یا «هر کاری که بخواهند انجام دهند». شرایط تجاری Anthropic آموزش با محتوای مشتریان را ممنوع می‌کند و سیاست درخواست‌های دولتی این شرکت در خارج از شرایط اضطراری، نیازمند روند قانونی معتبر است. این‌ها وعده‌هایی هستند؛ همان دسته‌ای که او برای OpenCode Go و فایل‌هایی که بدون حریم خصوصی در مرحله استنتاج قرار می‌گیرند در نظر می‌گیرد. Tinfoil بدون احراز هویت هنگام اتصال نیز باید در همین دسته قرار گیرد، اما او آن را خصوصی می‌داند. یک وعده تنها از طریق احراز هویت تأییدشده به تضمین تبدیل می‌شود؛ همان مرحله‌ای که در راه‌اندازی Tinfoil مورد توصیف او وجود ندارد.
من Wirken را برای چیزی ساخته‌ام که مطلب او تلاش می‌کند بیان کند. این سامانه یک دروازه مستقل از مدل میان مدل و هر چیزی است که عامل می‌تواند به آن دسترسی پیدا کند. هر فراخوانی ابزار از یک دروازه عبور می‌کند که آن را اجازه می‌دهد، از انسان تأیید می‌گیرد یا رد می‌کند. ترافیک خروجی فقط به میزبان‌های مجاز می‌رسد و هر اقدام در یک گزارش ممیزی امضاشده ثبت می‌شود که امکان بررسی آفلاین آن وجود دارد. همین دروازه چه مدل دارای وزن باز روی پردازنده‌های خودم باشد، چه Tinfoil، چه Privatemode یا Claude از Anthropic، کار می‌کند.
تغییر مدل فقط کسی را تغییر می‌دهد که پیشنهاد انجام یک اقدام را ارائه می‌کند. دروازه مناسب تصمیم می‌گیرد که آن اقدام انجام شود یا نه. و یک TEE مناسب، احراز هویت را به‌عنوان رفتار پیش‌فرض در خود دارد.