Matthew Berman 评论 OpenAI 的 2024 年 AI 基础设施安全提议

2024 年 5 月，Matthew Berman 评论了 OpenAI 提出的一组先进 AI 基础设施安全措施。他支持开放模型权重，认为该文章反映了不同的做法。他的异议是对提议的评论，并不能证明存在追踪所有 GPU 的要求。

文章描述了复杂的网络威胁，并将模型权重视为开发者可能希望保护的资产。Berman 不赞成优先保密权重，与之相对，他更支持开放权重模型。

他解释文章对模型训练的描述：算法、经过整理的数据和算力共同产生以文件形式保存的权重。他强调高质量或专有数据以及大规模计算的成本，同时提出自己的观点，认为算法进展将逐步发生。

文章指出在线服务和研究基础设施可能成为攻击面：模型的使用和开发都需要权重可用。Berman 接受安全风险的存在，但不赞成以保密权重作为应对方式。

Berman 担心自愿安全承诺可能变成强制标准，为较小的竞争者增加负担。他将这种风险描述为监管俘获。这是他的担忧和预测；公司发表安全提议，本身并不证明此类规则已经存在。

第一类提议是 AI 加速器的可信计算。文章描述了通过密码学认证 GPU 的真实性和完整性、在加载前保持权重加密，以及针对特定设备或设备组加密权重或推理数据。

Berman 认为设备身份和授权可能导致外部力量控制硬件，并追问谁有权决定设备是否获得授权。他表示自己不是密码学专家，可能误解了提议。文中描述的认证和加密机制本身并不能证明所有 GPU 都必须登记或接受追踪。

第二类是网络和租户隔离。Berman 解释了将敏感工作负载与不可信网络分开的思路，并认可隔离适用于敏感系统。他反对默认将模型权重本身视为机密。

第三类是数据中心的运营和物理安全，包括防范内部人员威胁。Berman 赞成保护敏感数据和设施，同时仍不同意权重应当保密的观点。

第四类是针对 AI 的审计和合规。文章提及现有安全标准，并预计未来可能出现额外的 AI 专项要求。Berman 支持安全措施，但担心合规要求会强化封闭访问，让小机构处于不利地位。

第五类是使用 AI 进行网络防御。文章提出用模型帮助安全团队分析信号、减少人工工作。Berman 赞成将 AI 用于防御，但再次担忧谁有能力负担相关安全实践。

Berman 认为广泛可用的模型既能帮助攻击者，也能帮助防御者。他的信心基于自己对善意与恶意行为者相对资源，以及 AI 进步速度的看法；这些属于预测，而不是视频已经证明的结论。

最后一类是韧性、冗余与研究。Berman 赞成测试控制措施、研究如何绕过它们，并采用纵深防御，因为没有完美无缺的安全系统。

最后，他重申支持开放权重，并赞扬 Meta 当时在开放模型方面的努力。他提出的争论涉及如何权衡特定模型部署的保护与模型权重的广泛分发。