Di William Isaac, Sol Messing e Kristian Lum

Google DeepMind ha presentato la prima valutazione a doppio cieco al mondo di un modello AI proprietario di classe frontier, un approccio che confina le valutazioni esterne in una "scatola" crittografica in cui non possono essere utilizzate successivamente dai modelli per ottimizzare le prestazioni in vista dei test.

L'iniziativa mira a costruire fiducia nei benchmark dei modelli proprietari attraverso ambienti sicuri dal punto di vista crittografico. Si pensi a uno studente che deve affrontare un esame ad alto rischio: se sbircia per caso le domande del test in anticipo, un punteggio perfetto è influenzato da quella conoscenza e diventa un risultato privo di significato. Per misurare davvero ciò che sa, lo studente non deve avere alcuna visibilità delle domande del test fino al momento di sostenere l'esame.

Questa è esattamente la sfida che l'industria affronta nella valutazione dei modelli AI avanzati. Se un modello ha già visto le domande del test - un problema noto come contaminazione dei benchmark - i risultati possono essere considerati affidabili solo in parte. Il problema è ampiamente documentato nella letteratura scientifica, dove studi hanno rilevato che set di test di benchmark pubblici sono finiti nei corpus su scala web utilizzati per addestrare modelli di grandi dimensioni, spingendo i manutentori dei dataset ad aggiungere strumenti come le canary strings, che permettono agli sviluppatori di rilevare se un benchmark è presente nei dati di addestramento.

Il progetto pilota viene condotto in collaborazione con il Singapore AI Safety Institute, OpenMined, AVERI e MLCommons. Insieme, i partner testeranno un modello Gemini Flash Lite su benchmark riservati in un ambiente che preserva la privacy, aumentando l'integrità della valutazione.

Google dichiara di valutare i propri sistemi AI attraverso un ampio spettro di valutazioni durante lo sviluppo e l'implementazione dei modelli, ma di non affidarsi unicamente ai test interni. Per individuare potenziali punti ciechi, l'azienda collabora con un gruppo eterogeneo di partner esterni - tra cui laboratori di ricerca specializzati, società civile e istituti nazionali per la sicurezza AI (AISI) - sfruttando la loro competenza specifica per sottoporre i propri modelli a stress test. Gli AISI sono essi stessi uno sviluppo istituzionale recente: alla fine del 2024, gli istituti per la sicurezza AI di governi tra cui Stati Uniti, Regno Unito, Giappone, Singapore, Corea del Sud e Unione Europea hanno formato una rete internazionale per coordinarsi sulla valutazione dei sistemi AI avanzati.

Man mano che i modelli AI diventano più capaci, garantire che un modello non abbia visto in anticipo le domande o i prompt del test è fondamentale, poiché l'esposizione precedente può alterare i risultati. I responsabili delle politiche, i ricercatori e le imprese devono poter confidare nel fatto che i benchmark AI riflettano accuratamente le reali capacità e la sicurezza di un modello, ma se i modelli riescono a "sbirciare" in anticipo le domande di valutazione, i punteggi possono essere gonfiati artificialmente e tale fiducia può essere minata.

Sebbene i protocolli di zero-logging e rigorose tutele contrattuali abbiano a lungo mantenuto riservati i prompt di test esterni, l'introduzione di tutele tecniche e crittografiche rappresenta un passo avanti significativo nella valutazione sicura dei modelli.

Come funzionano le valutazioni a doppio cieco

Storicamente, le valutazioni esterne ad alto rischio richiedevano un compromesso: o i valutatori consegnavano i propri prompt di test, con il rischio che il fornitore del modello vedesse in anticipo le domande del test, oppure il fornitore del modello consegnava i pesi del proprio modello, con il rischio di compromettere la propria proprietà intellettuale.

Le valutazioni a doppio cieco eliminano questo compromesso. Utilizzando Confidential Space all'interno del portafoglio Confidential Computing di Google Cloud, entrambe le parti possono verificare crittograficamente che i dati di valutazione esterni e il modello proprietario restino privati per i rispettivi proprietari. Il valutatore non può vedere i pesi del modello Gemini e Google non può vedere i prompt di test del valutatore. Il confidential computing è di per sé una tecnologia consolidata: si basa su ambienti di esecuzione affidabili basati su hardware che mantengono i dati cifrati anche durante l'elaborazione, un approccio già utilizzato in settori regolamentati come la sanità e la finanza.

Un approccio innovativo per costruire fiducia nelle valutazioni dei modelli

Questa prova crittografica aiuta a prevenire la contaminazione dei benchmark e protegge i dati sensibili. Man mano che i modelli diventano più capaci, ciò risulta particolarmente importante per valutazioni altamente sensibili, come quelle utilizzate per la cybersecurity o da organismi governativi. Le valutazioni a doppio cieco consentono alle organizzazioni indipendenti di testare rigorosamente modelli avanzati senza compromettere la sovranità o la sicurezza dei dati.

Google spera che questo progetto pilota apra una nuova frontiera per la supervisione dei modelli, aiutando l'intero settore a costruire sistemi AI più sicuri, più affidabili e ampiamente fidati. Ulteriori dettagli sulla metodologia e sui risultati sono disponibili nel rapporto tecnico.