Yapay Zeka Güvenliği: Filigranlar, Silme Araçları ve Beklenmedik Çatışmalar

Yapay zeka güvenliğinde yaşanan “dost ateşine” benzer bir durum söz konusu. Yapay zeka tarafından üretilen metnin kaynağını tespit etmeye yarayan teknolojiler, aynı zamanda bu metinlerin doğruluğunu kontrol eden sistemleri zayıflatıyor. Yapay zeka uygulamalarında şeffaflığı artırmak amacıyla kullanılan filigranlar (örneğin, Avrupa Birliği’nin yapay zeka düzenlemesi Madde 50 [1]; Çin’in Siber Uzay İdaresi tarafından yayınlanan yapay zeka etiketleme yönetmeliği [2]), aynı zamanda bir cevabın hangi kısımlarının uydurulduğunu tespit etmeye çalışan “halüsinasyon” algılama sistemlerini de etkiliyor. Düzenleyiciler her iki tarafı da teşvik ediyor, ancak yapay zeka modellerinin iç işleyişinde şeffaflık ve sorumluluk arasında gizli bir çatışma bulunuyor. Bu çatışma modelin derinliklerinde gizlenmiş olsa da, yapay zeka sistemlerinin güvenliği üzerinde gerçek sonuçlar doğurabiliyor.

Filigranlar Nasıl Çalışır?

Bir dil modeli (LLM), cümleler yazmaz. Her adımda, bir sonraki kelime için olasılık dağılımını hesaplar. Bazen bu dağılım keskin olur. Örneğin, “Fransa’nın başkenti” ifadesinden sonra, “Paris” kelimesi neredeyse tüm olasılık kütlesini taşır ve gerçekte bir seçim yapmak gerekmez. Bazen ise bu dağılım düzdür. Örneğin, “Partiden ayrılırken…” ifadesinden sonra, birçok farklı devam seçeneği eşit derecede olasıdır ve model rastgele bir seçim yapar. Bu düzleşme durumunun teknik adı “entropi” veya daha spesifik olarak “anlamsal entropi”dir [1]. Yüksek entropi, modelin birçok benzer seçenek arasında seçim yaptığı anlamına gelirken, düşük entropi ise bir sonraki kelimenin neredeyse zorunlu olduğu anlamına gelir. Bu ayrımı akılda tutmak önemlidir, çünkü bu hikayedeki her iki teknoloji de yüksek entropili noktalarda çalışır.

Bir filigran, gizli bir anahtar kullanarak her adımda kelime seçimlerini etkiler. En bilinen filigranlama yöntemi, 2023 yılında Kirchenbauer ve ekibi tarafından geliştirilen yaklaşımdır [4]. Bu yaklaşım, her adımda kelime dağarcığını rastgele “yeşil” ve “kırmızı” listelere böler (bu listeler gizli anahtardan ve önceki bağlamdan türetilir) ve ardından yeşil kelimelere küçük bir bonus ekler (Bkz. Şekil 1). Metin hala doğal görünür, ancak rastgele oluşacak sayıdan daha fazla sayıda yeşil kelime içerir. Anahtarı elinde bulunduran bir tespit aracı, listeleri yeniden oluşturur, yeşil kelime sayısını hesaplar ve bu sayının rastgele metinde ne kadar olası olduğunu belirler.

Google DeepMind’in SynthID-Text [5], tüm Gemini ailesi modellerinde kullanılan bu fikri, “turnuva örneklemesi” adı verilen bir mekanizma ile geliştirir (model birkaç aday kelime oluşturur ve gizli anahtar, bu kelimeler arasında bir eleme yapar; kazanan yazılır). Bu şema, Hugging Face Transformers kütüphanesinde açık kaynaklı olarak sunulmuştur.

Üçüncü bir yaklaşım ise, Aaronson’un “Gumbel hilesi”nden ilham alan ve ortalama olarak çıktı dağıtımını değiştirmeyen (ancak metnin anahtarla ilişkili kalmasını sağlayan) yöntemlerdir [6].

Bir filigran yalnızca müdahale etme boşluğu olan noktalarda işe yarar. Düşük entropili bir noktada, kelime seçimini etkilemek, yanlış bir kelime yazmak anlamına gelir ve bu durum metnin kalitesinin düşmesine neden olur. Örneğin, bir fatura özetinde “Toplam tutar 4.320 dolardır” cümlesinden sonra her şey “dır” kelimesinden sonra kısıtlıdır. Yalnızca doğru devam seçeneği vardır ve modelin başka bir sayıya yönlendirilmesi, bir imza gizlemek yerine belgeyi bozacaktır. Şimdi ise “Ödeme hemen yapıldı” cümlesini ele alalım. Model “hızlıca”, “çabucak” veya “derhal” kelimelerinden herhangi birini yazabilirdi ve okuyucu hangi kelimenin seçileceğini asla bilemezdi. İşte filigranın işleyeceği nokta burasıdır. Bir filigran, modelin bu noktada başka bir kelimeyi seçmesini sağlamak yerine, yalnızca seçimlerin önemli olmadığı noktalarda etki gösterebilir. Bu nedenle her şema, sinyalini yüksek entropili noktalarda yoğunlaştırır; yani şüphe anlarında. Bu imza istatistikseldir ve ortalama değerlere dayanır. Tespit, “yeterli metin” bulunduğunda güvenilirdir, bu da her çıktı için bir sertifika anlamına gelmez.

Şu anda Google, tüm Gemini ailesi modellerini işaretlemektedir. OpenAI bir şema geliştirmiş ve kullanmamayı tercih etmiştir. Açık kaynaklı modeller, dekodlamayı kullanıcının elinde bırakır, bu nedenle kullanıcı tercih ederse metin işaretsizdir.

Halüsinasyon Algılama Sistemleri Nasıl Çalışır?

Bir halüsinasyon, akıcı bir ifade olmasına rağmen yanlış olan bir ifadedir: uydurulmuş bir istatistik, sahte bir kaynakça veya hiçbir belgede bulunmayan bir sayı. Mevcut algılama sistemleri iki farklı mekanizmaya dayanır.

Kaynak tabanlı algılayıcılar, cevabı güvenilir bir kaynaktan okur ve her iddianın desteklenip desteklenmediğini sorar. “Token-support” modelleri (örneğin, LettuceDetect), cevabın hangi kısımlarının kaynakta desteklenmediğini belirler. “Entailment” modelleri (örneğin, MiniCheck), kaynağın iddiayı mantıksal olarak destekleyip desteklemediğini sorar. LLM tabanlı değerlendiriciler de aynı şeyi bir istemli model kullanarak yapar. Bu yaklaşımların ortak noktası, girdidir: çıktı metni ve kanıt, başka hiçbir şey değil.

Belirsizlik tabanlı algılayıcılar ise, davranışsal bir özelliğe dayanır: Bir modelin cevabı bildiğinde, bunu tutarlı bir şekilde üretir; ancak bilmediği durumlarda farklı sonuçlar verir. Bu yaklaşım, “anlamsal entropi”yi kullanarak (yukarıdaki gibi) birden fazla cevap üretilir, bu cevaplar anlamlarına göre gruplandırılır ve kümeler arasındaki entropi ölçülür. “SelfCheckGPT” ve “logprob-calibration” yöntemleri de aynı fikri farklı şekillerde uygular. Bu ailedeki algılayıcılarda da ortak olan, girdidir: modelin belirsizliği, ya tekrar eden örneklemelerden elde edilen verilerle ya da doğrudan olasılıklardan.

Filigranlar, müdahale etme boşluğu olan noktalarda işe yarar çünkü bu noktalar modelin şüphe duyduğu yerlerdir. Halüsinasyon algılama sistemleri ise, bu noktalardaki belirsizliği bir “işaret” olarak kullanır. Filigranlama sistemi devreye girerek, her denemede aynı gizli anahtarı kullanarak kelime seçimlerini etkiler ve böylece aynı sonucu üretir (Şekil 2). Bir modelin aynı soruyu beş kez sorduğumuzda, farklı tahminler görmeliyiz. Bu çeşitlilik, modelin artık tahmin etmediğinin bir göstergesidir. Ancak filigranlama ile, beş deneme de aynıdır, çünkü model artık tahmin etmiyor; aynı yüklü madeni para her beş seçimde de aynı sonucu vermektedir. Gördüğümüz tutarlılık, modele değil, örnekleyiciye aittir.

Sonuç olarak, tutarlılığa dayalı halüsinasyon algılama sistemleri, işaretlenmiş metinlerde anlaşmayı abartır ve belirsizliği küçültür.

Her zaman tekrar eden örneklemelere dayanmayan başka yöntemler de vardır. Bu yöntemler, modelin çıktısını doğrudan analiz eder ve bu da tutarlılığa dayalı halüsinasyon algılama sistemlerinin neden yanlış sonuçlar verebileceğini gösterir.