В погоне за честным токеном
Покупая доступ к дорогой модели, никогда не знаешь, что получишь в реальности. Хитрить с роутингом могут как посредники, так и сам провайдер, а человеку остаётся лишь отслеживать мелкие изменения в поведении агента. Но предъявить субъективное ощущение продавцу не выйдет.
Проверять такие API уже пытаются со всех сторон. Только за последние два месяца свет увидели сразу две системы: июньская FLIPS различала конфигурации модели по двоичным последовательностям, а июльская One Token Is Enough строила отпечатки по тому, какие числа, цвета и животные модель выбирает чаще других.
Исследователи из Университета Цинхуа и Национального университета Сингапура предложили ещё один способ. Их система IRIS просит API несколько раз сгенерировать случайные цифры или короткие строки. Настоящей случайности у языковых моделей не получается: каждая немного чаще выбирает определённые символы, сочетания и повторы.
В библиотеке из 45 моделей и 27 тыс. ответов восемь запросов позволили правильно определить модель в 85% случаев, шестнадцать подняли точность до 90%. При проверке, соответствует ли API заявленной модели, показатель качества различения достиг 0,98 по шкале, где 0,5 означает случайное угадывание, а 1,0 означает безошибочное разделение.
А дальше вмешиваются технические детали. Так, одна и та же модель у разных провайдеров в IRIS получила разные отпечатки в 14 из 15 сравнений из-за квантизации и особенностей инференса. Некоторые примеси в 5-10% не обнаруживались даже после 256 запросов. Ну и провайдер, естественно, может закрыть подобные схемы на уровне роутинга.
Поэтому будущее, вероятно, не за одним идеальным тестом, а за крупными независимыми посредниками. Полноценный аудитор сможет одновременно следить за ответами, качеством на контрольных задачах, ценой, задержками, конфигурацией провайдера и аппаратными подтверждениями запуска.
Каждый из этих признаков можно объяснить или подделать отдельно. Подделать все сразу будет уже заметно дороже самой честной модели.
@anti_agi
Покупая доступ к дорогой модели, никогда не знаешь, что получишь в реальности. Хитрить с роутингом могут как посредники, так и сам провайдер, а человеку остаётся лишь отслеживать мелкие изменения в поведении агента. Но предъявить субъективное ощущение продавцу не выйдет.
Проверять такие API уже пытаются со всех сторон. Только за последние два месяца свет увидели сразу две системы: июньская FLIPS различала конфигурации модели по двоичным последовательностям, а июльская One Token Is Enough строила отпечатки по тому, какие числа, цвета и животные модель выбирает чаще других.
Исследователи из Университета Цинхуа и Национального университета Сингапура предложили ещё один способ. Их система IRIS просит API несколько раз сгенерировать случайные цифры или короткие строки. Настоящей случайности у языковых моделей не получается: каждая немного чаще выбирает определённые символы, сочетания и повторы.
В библиотеке из 45 моделей и 27 тыс. ответов восемь запросов позволили правильно определить модель в 85% случаев, шестнадцать подняли точность до 90%. При проверке, соответствует ли API заявленной модели, показатель качества различения достиг 0,98 по шкале, где 0,5 означает случайное угадывание, а 1,0 означает безошибочное разделение.
Но полная подмена является сравнительно простой задачей. Интереснее случай, когда дешёвая модель обслуживает только часть запросов. Авторы собрали потоки из 80 реальных ответов OpenRouter и сами заменили 30% ответами другой модели. Для заранее различимых пар IRIS обнаруживала такую примесь в среднем в 85% экспериментов, а ложную тревогу поднимала в 1,7% случаев. Если подмешиваемая модель уже находилась в библиотеке, её доля определялась с отклонением около четырёх процентных пунктов
А дальше вмешиваются технические детали. Так, одна и та же модель у разных провайдеров в IRIS получила разные отпечатки в 14 из 15 сравнений из-за квантизации и особенностей инференса. Некоторые примеси в 5-10% не обнаруживались даже после 256 запросов. Ну и провайдер, естественно, может закрыть подобные схемы на уровне роутинга.
Поэтому будущее, вероятно, не за одним идеальным тестом, а за крупными независимыми посредниками. Полноценный аудитор сможет одновременно следить за ответами, качеством на контрольных задачах, ценой, задержками, конфигурацией провайдера и аппаратными подтверждениями запуска.
Каждый из этих признаков можно объяснить или подделать отдельно. Подделать все сразу будет уже заметно дороже самой честной модели.
@anti_agi