Open Technical Problems in Open-Weight AI Model Risk Management

Stel je de wereld van kunstmatige intelligentie voor als een enorme, bruisende bibliotheek. Een lange tijd werden de krachtigste boeken in deze bibliotheek achter glazen kasten bewaard, op slot gehouden door een paar reusachtige bedrijven. Je kon ze lezen, maar je kon ze niet mee naar huis nemen, en je kon zeker geen pagina's uitrukken of de hoofdstukken herschrijven. Dit zijn "closed-weight" modellen. Maar onlangs is een nieuwe trend ontploft: "open-weight" modellen. Dit zijn digitale kopieën van de krachtigste boeken in de bibliotheek die iedereen kan downloaden, mee naar huis kan nemen en voor altijd kan bewaren. Het beste deel? Je kunt ze fotokopiëren, aan elkaar lijmen of zelfs de tekst herschrijven om ze nieuwe dingen te laten doen. Dit is ongelooflijk opwindend voor onderzoekers en uitvinders die geweldige nieuwe hulpmiddelen willen bouwen.

Er zit echter een addertje onder het gras. Wanneer je iedereen een kopie van een boek geeft en hen laat het herschrijven, verlies je de controle. Als iemand een gevaarlijk verhaal schrijft in zijn versie, kan diegene niet worden gestopt om het met de hele wereld te delen. In tegen tegen de vergrendelde boeken kun je niet zomaar de bibliothecaris bellen om de gevaarlijke versie terug te halen; als het eenmaal buiten is, is het buiten. Dit artikel, geschreven door een enorm team van experts van universiteiten en veiligheidsorganisaties, stelt een kritische vraag: Hoe houden we deze open bibliotheek veilig wanneer iedereen de boeken kan veranderen? Ze proberen de bibliotheek niet weer op slot te doen; in plaats daarvan proberen ze nieuwe soorten "magische inkt" en "beveiligingsbewakers" uit te vinden die veilig blijven, zelfs wanneer het boek wordt herschreven. Ze willen uitzoeken hoe ze AI kunnen bouwen die zowel open is voor iedereen om te gebruiken als robuust genoeg is om te weerstaan dat het in een wapen wordt veranderd.

Het Grote Probleem: De Onstuitbare Kopieermachine

De auteurs leggen uit dat open-weight AI-modellen ongelooflijk krachtig worden, soms slechts 6 tot 12 maanden achterlopen op de supergeheime modellen die door grote bedrijven worden bewaard. Het probleem is dat terwijl closed-modellen kunnen worden aangepast of teruggehaald als ze vreemd gaan doen, open modellen als digitale virussen zijn. Zodra iemand ze downloadt, kunnen ze worden aangepast, gedeeld en voor altijd worden verspreid.

Denk aan een closed model als een smartphone-app. Als een app een bug heeft waardoor hackers je foto's kunnen stelen, kan het bedrijf een update pushen om het te repareren, of zelfs de app uit de winkel verwijderen. Maar een open-weight model is als een recept voor een taart. Als je een gevaarlijk ingrediënt in het recept vindt, kun je mensen die het recept al hebben niet stoppen met het bakken van de taart. Erger nog, iemand kan dat recept nemen, een "vergif" ingrediënt toevoegen (zoals een verborgen instructie om mensen te kwetsen), en het nieuwe, gevaarlijke recept met miljoens anderen delen. De oorspronkelijke bakker heeft geen enkele manier om dit te stoppen.

Het artikel benadrukt dat huidige veiligheidstools, zoals filters die slechte woorden blokkeren, nutteloos zijn tegen open modellen. Waarom? Omdat als je het recept (de code van het model) hebt, je de filter gewoon kunt wissen. Het is also eigenlijk proberen iemand te stoppen met het bakken van een taart door een "Niet eten"-bordje op het aanrecht te zetten; als ze de hele keuken hebben, kunnen ze het bordje gewoon negeren.

De 16 Uitdagingen: Een Toolkit voor het Wilde Westen

Het artikel wijst niet alleen op het probleem; het schetst 16 specifieke technische uitdagingen die wetenschappers moeten oplossen om open AI veilig te maken. Ze organiseren deze in vijf hoofdcategorieën, als verschillende stations in een fabriek die deze AI-modellen bouwt.

1. De Ingrediënten (Training Data Curation)
Voordat een AI leert, eet het een enorme hoeveelheid data, zoals een student die miljoenen boeken leest. De eerste uitdaging is: Hoe zorgen we ervoor dat de student nooit de slechte boeken leest?
De auteurs suggereren dat als we gevaarlijke informatie (zoals instructies over hoe je bommen bouwt of illegale afbeeldingen maakt) wegfilteren voordat de AI begint te leren, de AI die slechte trucjes misschien nooit leert in de eerste plaats. Het is als het aanleren van vriendelijkheid aan een kind door alleen boeken over vriendelijkheid te geven, in plaats van te proberen het kind vriendelijk te leren nadat het al heeft geleerd om gemeen te zijn. Echter, het artikel merkt op dat dit lastig is. Soms kan het verwijderen van een specifiek onderwerp de AI per ongeluk slechter maken in iets anders, of de AI kan de slechte zaken nog steeds ontdekken via onschuldig ogende aanwijzingen.

2. De Onbreekbare Pantser (Tamper-Resistant Training)
Zelfs als we met een veilige AI beginnen, kan iemand proberen het te "fine-tunen"—het later nieuwe, slechte trucs leren. De tweede uitdaging is: Hoe bouwen we een AI die weigert slechte trucs te leren, zelfs wanneer iemand probeert haar te dwingen?
Stel je voor dat je een hond probeert te leren bijten, maar de hond is zo goed getraind dat hij de opdracht fysiek niet kan leren. Het artikel zegt dat huidige methoden zwak zijn. Als iemand probeert een veilige AI te hertrainen om gevaarlijk te zijn, kunnen ze dat meestal in slechts een paar honderd stappen doen. De auteurs willen manieren vinden om de AI "immuun" te maken voor dit, zodat zelfs als iemand probeert te hacken, de AI veilig blijft. Ze verkennen ook "unlearning"—een manier om de AI specifieke slechte dingen te laten vergeten die zij misschien heeft geleerd, maar huidige methoden zijn gemakkelijk om te keren.

3. De Stress Test (Model Tampering Evaluations)
Voordat we een nieuwe AI uitbrengen, moeten we deze testen. De derde uitdaging is: Hoe testen we een AI om te zien of deze gebroken kan worden door iemand die probeert te hacken?
Op dit moment stellen de meeste tests alleen normale vragen aan de AI. De auteurs zeggen dat we "red teams" moeten inhuren—groepen hackers wiens baan het is om de AI te proberen te breken door deze op elke mogelijke manier aan te passen. Ze willen weten: Hoeveel stappen kost het om een behulpzame AI in een schadelijke AI te veranderen? Hoeveel kost het? Het artikel stelt vast dat we hier nog geen goede tests voor hebben. We moeten precies weten hoe makkelijk het is om deze modellen te breken, zodat we ze kunnen repareren voordat ze worden uitgebracht.

4. De Trage Release (Staged Deployment)
In plaats van een nieuwe AI in één keer op de wereld te droppen, is de vierde uitdaging: Kunnen we het in fasen uitrollen om te kijken wat er gebeurt?
Stel je een nieuwe videogame voor. In plaats van dat iedereen direct mag spelen, laten de ontwikkelaars eerst een kleine groep testers spelen. Als ze een bug vinden, repareren ze die voordat de hele wereld het krijgt. De auteurs suggereren dit ook te doen met AI. We zouden een paar vertrouwde onderzoekers eerst het model kunnen laten gebruiken, kijken hoe ze het gebruiken, en het pas openstellen voor iedereen zodra we zeker weten dat het veilig is. Ze kijken ook naar technische trucs zoals "split deployment", waarbij een deel van de AI op jouw computer draait en een deel op een beveiligde server, waardoor het moeilijker is voor iemand om het hele ding te stelen.

5. Het Detectiewerk (Model Provenance and Forensics)
Ten slotte, zodend de AI in het wild is, de vijfde uitdaging: Hoe weten we waar een specifieke AI vandaan komt en welke wijzigingen eraan zijn aangebracht?
Als je een gevaarlijk AI-model op het internet vindt, hoe weet je dan wie het gemaakt heeft? De auteurs suggereren het gebruik van "watermerken"—onzichtbare digitale vingerafdrukken die in de code van het model zijn ingebakken. Als iemand probeert het model te veranderen, zou de vingerafdruk er nog steeds moeten zijn, of we zouden tenminste de stamboom van het model kunnen traceren om te zien wie het heeft aangepast. Dit helpt onderzoekers om te volgen hoe gevaarlijke modellen zich verspreiden en wie daarvoor verantwoordelijk is.

Wat het Papier Vond (en Wat Niet)

De auteurs keken naar de technische rapporten van de top 10 meest populaire open AI-modellen die in 2025 werden uitgebracht, evenals verschillende beroemde beeld- en videogeneratoren. Ze vonden een verontrustende kloof.

• Data Cleaning: De meeste bedrijven spraken een beetje over het opschonen van hun data (het verwijderen van slechte zaken vóór de training). Sommigen gaven een paragraaf, enkelen een hele sectie, maar velen zeiden niet veel.
• De Ontbrekende Stukken: Bijna niemand sprak over het maken van hun modellen resistent tegen manipulatie. Geen van de topmodellen noemde "unlearning" algoritmen of "tamper-resistant" training. Slechts één model (gpt-oss) had een toegewijd artikel over het testen hoe moeilijk het was om hun model te breken.
• De Stilte: Er was bijna geen vermelding van "staged deployment" of "provenance" (het bijhouden van de geschiedenis van het model) in de rapporten van de grootste modellen.

Het artikel suggereert dat deze stilte een van deze drie dingen betekent: ofwel deze veiligheidstechnieken worden nog niet gebruikt, ofwel ze worden wel gebruikt maar niet besproken, ofwel ze werken simpelweg nog niet goed genoeg. De auteurs betogen dat we moeten stoppen met alleen maar modellen uitbrengen en moeten beginnen met het opbouwen van een rigoureuze wetenschap rondom hoe we ze veilig houden.

De Kernboodschap

Dit artikel is een oproep tot actie. Het zegt dat hoewel open AI geweldig is en enorme voordelen biedt, we momenteel blind vliegen als het gaat om het veilig houden ervan voor kwaadwillenden. We kunnen niet alleen vertrouwen op het feit dat bedrijven aardig zijn; we moeten nieuwe wiskundige instrumenten uitvinden die de AI zelf ongevoelig maken voor manipulatie.

De auteurs zijn hoopvol maar realistisch. Ze beweren niet het probleem opgelost te hebben. In plaats daarvan hebben ze het gebied in kaart gebracht, waarbij ze ons precies laten zien waar de gaten in ons pantser zitten. Ze suggereren dat de toekomst van veilige AI afhangt van openheid—niet alleen het delen van de code, maar ook het delen van de research, de methoden en de mislukkingen. Als we allemaal samen kunnen werken om deze nieuwe verdedigingen te bouen, kunnen we de bibliotheek misschien open en veilig houden voor iedereen. Maar als we dat niet doen, kunnen de gevaarlijke versies van deze modellen zich sneller verspreiden dan wij ze kunnen stoppen.