כשאפשר להוריד מודל חזק ולהפעיל אותו בלי לבקש רשות, אותה עצמאות שמשרתת סטארטאפים וחוקרי אבטחה מגיעה גם לידיים הלא נכונות.
מבחינת חברת תוכנה, מודל AI שאפשר להוריד ולהפעיל עצמאית הוא הבטחה מפתה: פחות תלות בספק חיצוני, יותר חופש להתאים את המערכת לצרכים שלה, ואפשרות להשאיר מידע בתוך התשתית הארגונית. מבחינת תוקף סייבר, חלק מאותם יתרונות נראים מצוין בדיוק מאותן סיבות. זו הדילמה שבמרכז הכתבה של MIT Technology Review על התועלת והסיכונים של מודלים פתוחים. הדיון קיבל דחיפה בעקבות דוח שפרסמה אנתרופיק בסוף ספטמבר על GLM-5.3 של החברה הסינית Z.ai. השאלה כבר אינה רק מי בונה מודל חזק יותר, אלא מי יכול לקבל אותו, לשנות אותו ולהפעיל אותו בלי שמישהו בצד השני יוכל לסגור את הברז.
יש כאן הבחנה ששווה לעשות לפני שמכריזים בעד או נגד: מודל בעל משקלים פתוחים אינו בהכרח תוכנה פתוחה בכל מובן. המשקלים הם הפרמטרים שנלמדו במהלך האימון; פרסומם מאפשר להריץ את המודל ולשנות אותו, אבל אינו מבטיח שכל נתוני האימון, הקוד או זכויות השימוש פתוחים באותה מידה. לפי ההערכה שפרסם CAISI, גוף המחקר ב-NIST, ב-17 בספטמבר, Z.ai השיקה את GLM-5.3 ב-14 באוגוסט ופרסמה את משקליו כעבור שבועיים. הגוף הגדיר אותו כבעל יכולות הסייבר הגבוהות ביותר מבין המודלים בעלי המשקלים הפתוחים שפורסמו עד אז, אך מצא שהוא עדיין מפגר בכארבעה חודשים אחרי חזית המודלים האמריקאיים במדד המשולב שלו. זו השוואה של יכולת, לא של זמינות: היא כוללת גם מודלים שהגישה אליהם מוגבלת, וחלק מהבדיקות נערכו כשהגנות הסייבר שלהם מושבתות.
הבדיקה של אנתרופיק מ-29 בספטמבר ממחישה את שני צדי הבעיה. במבחן לפיתוח ניצולים לחולשות מוכרות במנוע V8, המודל הצליח ב-50 מתוך 410 ניסיונות, לעומת 56 הצלחות של Claude Mythos Preview. בניסויים נפרדים, בסביבה מדומה, שיעור ההיענות להוראות תקיפה זדוניות עלה מאפס בבקשה ישירה ל-64% עד 100%, בהתאם לשיטת עקיפת ההגנות או לשינוי המודל. היענות להוראת תקיפה אינה שיעור הצלחה בפריצה: אנתרופיק מציינת שבסימולציה הזאת לא הורץ קוד ולא הייתה גישה למערכות חיצוניות. אלה ממצאים מדאיגים על יכולת ועל חולשת מנגנוני הסירוב, לא הוכחה שכל משתמש יכול לפרוץ לכל יעד. צריך גם לזכור מי מציגה אותם: אנתרופיק מוכרת מודלים מתחרים. זה מצדיק קריאה ביקורתית, לצד ההערכה הנפרדת של NIST שתומכת בטענה על התקדמות היכולת.
אבל גם לחשבון התועלת יש בסיס מעבר לסיסמה על דמוקרטיזציה. דוח NTIA האמריקאי מ-2024 בחן את היתרונות והסיכונים של פרסום משקלים, ובאותה עת לא מצא ראיות מספיקות להצדיק הגבלות גורפות; הוא גם לא קבע שהגבלות לעולם לא יידרשו. פתיחות יכולה להרחיב תחרות, לאפשר מחקר ובדיקות עצמאיות ולתת למפתחים יותר שליטה. הגבלה רחבה עלולה, מנגד, להקשות דווקא על מי שמנסה להבין חולשות ולשפר אבטחה. ההיגיון הכלכלי פשוט: כאשר עסקים יכולים לבחור גם מערכת שהם מפעילים בעצמם, לספקי השירותים יש פחות חופש לקבוע לבדם את תנאי המשחק. אלא שזמינות המשקלים אינה מעלימה את עלויות המחשוב, התחזוקה והאבטחה. מודל שניתן להורדה אינו שירות שהפעלתו חינם.
בקריאה שלנו, המשמעות ליזם או למנהל טכנולוגיה בישראל היא שהבחירה צריכה להתחיל מהמשימה. צוות שמפתח כלי לעבודה עם מסמכים בעברית עשוי לרצות התאמה מקומית ושליטה במידע; צוות אבטחה עשוי להזדקק לבדיקה מעמיקה של קוד. אלה צרכים שונים, ולא סיבה אוטומטית לבחור באותו מודל. ההשוואה הכלכלית צריכה לכלול חומרה או שכירת מחשוב, זמן אנשי צוות, איכות התוצאות בעברית והרשאות שהמערכת מקבלת. גם שמירת מידע בשרת פנימי אינה ערובה לפרטיות אם הגישה אליו מנוהלת רע. לכן העצמאות שמעניק מודל פתוח מגיעה עם אחריות תפעולית: העסק מקבל יותר שליטה, ומקבל יחד איתה יותר עבודה. זה עשוי להשתלם מאוד, אבל את התשובה צריך למצוא בחשבון ובבדיקות של הארגון, לא בתווית שעל המודל.
ברמת המדיניות, השאלה המועילה היא איזה סיכון נוסף נוצר בגלל פרסום המשקלים, מעבר למה שכבר אפשר לעשות באמצעות שירותים סגורים וכלים קיימים. זו גם מסגרת ההשוואה שמתאר דוח NTIA. אם היכולת המסוכנת כבר קיימת אבל רק תחת פיקוח, ההפצה החופשית משנה את יכולת השליטה בה; אם אותה פתיחות משפרת גם את עבודת המגינים, צריך להביא זאת בחשבון. הממצאים החדשים מחזקים את הצורך בהערכות עצמאיות ובהבחנה בין דורות מודלים, במקום תשובה אחת לכל הטכנולוגיה. פתיחות אינה תעודת בטיחות, וסגירות אינה תעודת ביטוח. המבחן הבא יהיה האם ההגנות על התוכנות והתשתיות יתקדמו בקצב שבו יכולות התקיפה נעשות זמינות. קובץ שכבר הופץ, אחרי הכול, לא מחכה להכרעה בדיון.
