Открытые ИИ-модели из Китая проверяют на прочность американскую систему безопасности

Модель весом в сотни гигабайт скачивается на домашний компьютер за пару часов. Через день она уже отвечает на вопросы, от которых разработчик предпочёл бы уклониться. Ни регистрации, ни модерации, ни привычного «извините, я не могу помочь». Технически это не взлом и не подвиг — это обычное следствие того, что веса модели однажды выложили в открытый доступ.

Именно так выглядит проверка на прочность всей американской архитектуры безопасности ИИ. Как пишет издание Scientific American, растущая популярность китайских моделей с открытыми весами обнажает слабое место подхода, который строится на контроле разработчика над моделью. А контроль над тем, что уже скачали миллионы раз, — понятие довольно призрачное.

Что именно случилось за последний год

Ещё в начале 2024 года открытые веса воспринимались как нишевая история для энтузиастов. Китайские лаборатории переломили ситуацию почти одномоментно. В январе 2025 года Deep Seek выложила свою рассуждающую модель R1 под лицензией MIT — то есть без ограничений на коммерческое использование. Дальше пошло по накатанной: Alibaba публикует семейство Qwen, Moonshot AI выкладывает Kimi K2, Zhipu — свои GLM, Mini Max — собственные модели.

Числа здесь важнее названий. Счётчик скачиваний производных моделей на Hugging Face идёт на сотни тысяч, а сами «родительские» модели скачивают миллионами. Любая из них спокойно умещается на двух-трёх потребительских видеокартах, если взять квантованную версию. Никакого дата-центра не нужно.

Ключевое слово тут — «веса». Это не API, куда вы ходите за ответом, а файл. Его можно копировать, дообучать, дистиллировать, встраивать в чужой продукт и продавать под своим брендом. Разработчик при этом не узнает ни о факте скачивания, ни о том, что внутри модели что-то поменяли.

На чём держится американская модель безопасности

Крупнейшие американские лаборатории строили защиту вокруг сервера. Модель живёт за API, разработчик видит запросы, отсекает запрещённые темы фильтрами, может обновить поведение одним релизом, а в случае скандала — отключить доступ конкретному пользователю. Поверх этого — добровольные обязательства, публикация карточек системы, отчёты о красных командах, тестирование на риски вроде биологического оружия или кибератак.

Государственная часть этой конструкции тоже развивалась в логике контроля. Институт безопасности ИИ при NIST в 2025 году переформатировали в Центр стандартов и инноваций в области ИИ — акцент сместился с оценки рисков на продвижение американских стандартов и экспорт технологического стека. Плюс экспортный контроль на передовые чипы, который должен был ограничить доступ конкурентов к вычислительным мощностям.

Вся эта система опирается на одно допущение: тот, кто запускает модель, управляет её поведением. Пока речь идёт о закрытой модели — допущение работает. Как только веса утекают в открытый доступ, оно перестаёт быть верным.

Почему открытые веса ломают эту логику

Защитные механизмы современных языковых моделей — это не отдельный модуль, который нельзя снять. Это часть обученной политики поведения, натренированная вместе со всем остальным. Исследования 2023–2024 годов показали неприятную вещь: достаточно нескольких сотен примеров и одного цикла дообучения, чтобы вежливые отказы превратились в готовность помочь. Пользователю при этом не нужно быть злоумышленником — он может искренне хотеть «убрать цензуру» в своей локальной копии, а заодно уберёт и ограничения на опасные темы.

Существует и целое направление любительских экспериментов по «отключению» защитных слоёв прямо в весах. Сообщество обсуждает это открыто, делится скриптами и результатами. Технический порог входа падает с каждым месяцем: то, что год назад требовало команды инженеров, сейчас делается в блокноте за вечер.

И вот главное: у разработчика нет способа отозвать выпущенную модель. Нет кнопки, которая удалит файл с чужих дисков. Можно поменять лицензию, можно покаяться в блоге, можно закрыть следующую версию — предыдущая продолжит жить, копироваться и дообучаться. Цифровые ограничения не выбрасываются вместе с кодом. А вы задумывались, что будет, если однажды появится модель, которую действительно стоило бы отозвать?

Подписывайтесь, чтобы не пропустить новое:
📰 Канал в Дзен
💬 Канал в MAX

Разница подходов хорошо видна, если разложить их по простым критериям.

У открытости есть защитники, и их аргументы серьёзны

Было бы неверно рисовать открытые веса как однозначное зло. Их главный плюс — проверяемость. Закрытую модель можно тестировать только снаружи, через запросы, и вы никогда не узнаете, что спрятано под капотом. Открытую можно разобрать по слоям, воспроизвести эксперимент, найти проблему и опубликовать результат. Для независимой науки о безопасности ИИ это огромная разница.

Второй аргумент — распределённость. Если модель лежит локально, её нельзя выключить чужой рукой, нельзя отрезать от страны, нельзя внезапно поднять цену в пять раз. Для государств, которые не хотят зависеть от чужой инфраструктуры, это вопрос суверенитета, а не идеологии. Именно поэтому китайские модели так охотно берут в Индии, на Ближнем Востоке, в Латинской Америке и в Европе — там, где нужна предсказуемость.

Третий — конкуренция. Открытая модель задаёт ценовое дно, и это бьёт по монопольным тарифам. Заметьте, что и американские игроки начали двигаться в эту сторону: Open AI в 2025 году выпустила открытые модели gpt-oss, Mistral давно работает в этой логике, а Meta (принадлежит компании Meta, признанной экстремистской организацией и запрещённой на территории РФ) годами продвигала свои открытые веса как стандарт рынка. Открытость перестала быть национальной особенностью — она стала конкурентным инструментом.

Согласны, что запретами тут мало что решается?

Геополитика, которая прячется под техническими спорами

За разговором о весах и лицензиях стоит вполне прагматичная борьба за то, чьи стандарты станут мировыми. Китай продвигает идею международной организации по сотрудничеству в области ИИ, предлагает собственную концепцию глобального управления и охотно раздаёт открытые модели как инструмент влияния. США делают ставку на экспорт своего стека вместе с чипами и на добровольные обязательства крупных лабораторий.

По данным Scientific American, тема безопасности ИИ должна стать одной из центральных на переговорах Дональда Трампа и Си Цзиньпина. И это логично: без общих правил обе стороны оказываются в ситуации, где никто не может проверить другого. А проверка здесь — самое дорогое, что есть.

Показательно и то, что закрытые модели тоже не спасают. Сообщалось о случаях, когда связанные с Китаем группировки пытались использовать западные коммерческие модели для киберопераций — и защита сработала ровно до тех пор, пока модель была под контролем разработчика. Вопрос в том, что произойдёт, когда подобная функциональность будет доступна в файле, лежащем на чужом сервере.

Что вообще можно с этим сделать

Идеальных решений нет, но варианты обсуждаются вполне конкретные.

• Контроль на уровне вычислений. Ограничивать не модели, а чипы и дата-центры. Логика простая: чтобы навредить по-крупному, нужны ресурсы, а их видно. Слабость в том, что дообучение уже помещается в потребительскую видеокарту.
• Следить не за моделью, а за её производными. Проверять не только первоисточник, но и тысячи дообученных версий, которые выкладывают на публичных площадках. Задача почти неподъёмная по объёму, зато технически выполнимая выборочно.
• Встроенная безопасность инструментов. Сделать так, чтобы популярные фреймворки для дообучения по умолчанию предупреждали и логировали снятие защитных слоёв. Не запрет, а трение. Иногда достаточно пары лишних шагов.
• Международные нормы и общая терминология. Договориться хотя бы о том, какие классы рисков считаются недопустимыми для обеих сторон. Это медленно, но именно об этом, судя по всему, и пойдёт речь на переговорах.
• Публичные наборы тестов. Единые проверки, которые можно прогнать на любой скачанной модели. Не панацея, но способ отделить реальную проблему от страшилок.

Скептик возразит: любая из этих мер обходится. Он прав. Но безопасность — это не про стену, за которой ничего не происходит, а про цену обхода. Если снять защиту становится сложнее, дольше и заметнее, часть сценариев отваливается сама.

А что это значит лично для вас

Практических последствий три. Первое: локальные модели перестают быть игрушкой гиков и приходят в обычные компании — вместе с вопросом, кто отвечает за то, что модель скажет клиенту. Второе: корпоративные правила вроде «используем только утверждённые сервисы» устаревают на глазах, потому что сотрудник может запустить модель у себя на ноутбуке. Третье: ответственность смещается от разработчика к тому, кто моделью пользуется.

Как бы вы поступили на месте компании, которая нашла у сотрудника локальную копию дообученной модели? Запретили бы, разрешили под условия или сделали вид, что не заметили?

Гонка между открытостью и контролем не закончится ни в этом году, ни в следующем. Скорее всего, мы увидим гибрид: часть моделей останется за API с жёсткими правилами, часть будет расходиться по миру файлами, а регулирование сосредоточится на вычислениях, отчётности и ответственности за применение. Главный вывод простой: безопасность ИИ перестала быть вопросом чьей-то доброй воли. Теперь это вопрос инфраструктуры, экономики и международных договорённостей — то есть скучных вещей, от которых всё и зависит.

А что вы думаете по этому поводу? Поделитесь своим мнением в комментариях!

Подписывайтесь, чтобы не пропустить новое:
📰 Канал в Дзен
💬 Канал в MAX

💛 Если статья оказалась полезной, вы можете поддержать автора донатом — это помогает выпускать новые материалы.

Материал подготовлен на основе информации из открытых источников. Все права на исходные материалы принадлежат их авторам. Если вы являетесь правообладателем и возражаете против использования, свяжитесь с нами по адресу info@11st.press.