15 · ลูกศิษย์ของตำรวจ
สมมติว่าคุณเพิ่งคลิกรูปที่มีสัญญาณไฟจราจรครบทุกช่อง ให้เว็บไซต์เชื่อว่าคุณเป็นคน ข้อสอบนี้ออกแบบมาให้เครื่องตก ในปี 2024 มีโปรแกรมตัวหนึ่งทำมันผ่านครบทุกข้อ
คนปลอมที่ได้ซ้อมกับคนตรวจไปนานพอ จะดันการตรวจที่ดูแค่ตัวชิ้นงานให้เข้าใกล้การโยนเหรียญ ข้อสอบที่เปิดเผยคือข้อสอบที่คนปลอมเอาไปซ้อมได้ ยิ่งซ้อม ของปลอมยิ่งเหมือนของจริง จนคนตรวจที่ดูแค่ตัวชิ้นงานเหลือแค่การเดา และมีทฤษฎีบทที่ชี้ไปทางเดียวกัน ในโลกอุดมคติที่เครื่องมีความจุไม่จำกัด
ผู้ออกข้อสอบรู้ตั้งแต่ต้น ปี 2003 von Ahn, Blum, Hopper และ Langford ผู้ตั้ง CAPTCHA วางเดิมพันไว้ว่า "โปรแกรมใดที่ผ่าน captcha ได้บ่อย ก็ใช้แก้ปัญหา AI ที่ยังแก้ไม่ได้ได้" แพ้เมื่อไรก็นับเป็นความก้าวหน้า ปี 2024 ทีมจาก ETH Zurich แก้ reCAPTCHAv2 ได้ 100%
ครึ่งวินาที
ปี 1984 Ken Thompson ใช้คำบรรยายรับ Turing Award เล่าถึง Trojan horse ที่ซ่อนในเครื่องมือแปลโปรแกรม แล้วสรุปว่า "บทเรียนชัดเจน คุณไว้ใจโค้ดที่คุณไม่ได้สร้างเองทั้งหมดไม่ได้" ทางแก้ของ Wheeler ชื่อ diverse double-compiling มาอีก 21 ปีต่อมา สี่สิบปีต่อมา คนปลอมไม่ต้องแอบเข้าเครื่องมือ เขาสมัครเป็นคนดูแลมันเอง
ข่าวช้ารายวัน · ฉบับวันที่ 30 มีนาคม 2024 · ข่าวจริงทุกบรรทัด ส่งถึงมือคุณช้ากว่ากำหนดเพียงเล็กน้อย
อาสาสมัครหน้าใหม่ส่งแพตช์แรกให้ xz (29 ตุลาคม 2021)
Jigar Kumar และ Dennis Ens รุมเร่งผู้ดูแลให้หาคนช่วย (เมษายน–มิถุนายน 2022)
Jia Tan ได้สิทธิ์ commit (ปรากฏหลักฐาน 30 ธันวาคม 2022)
ไฟล์ทดสอบใหม่สองไฟล์เข้าโครงการ (23 กุมภาพันธ์ 2024)
ด่วน: ล็อกอิน ssh ช้าลงครึ่งวินาที (29 มีนาคม 2024)
Jia Tan เป็นนามแฝง บัญชีที่รุมเร่งก็น่าจะเป็นหุ่นเชิด กว่าสองปีของการสร้างความไว้ใจได้ผลเป็นสิทธิ์ออกรุ่น 5.6.0 และ 5.6.1 เอง และการออกแบบนี้เหมือนของคนที่รู้ว่าคนตรวจดูตรงไหน สคริปต์ร้ายไม่อยู่ใน git แต่อยู่ในชุดไฟล์ tarball ที่แจกจ่าย ส่วน backdoor ซ่อนในไฟล์ "ทดสอบ" แบบ binary
คนที่จับได้ไม่ได้อ่านโค้ด Andres Freund สังเกตมาหลายสัปดาห์ว่าการล็อกอิน ssh "กิน CPU มาก" เขาจับเวลาได้ 0.807 วินาที จากเดิม 0.299 แล้วโพสต์เตือน พร้อมออกตัวว่า "*ไม่ใช่*นักวิจัยความปลอดภัย"
ข้อสอบที่รู้ล่วงหน้า
18 กันยายน 2015 EPA แจ้งว่า Volkswagen ใส่ซอฟต์แวร์ที่ "ออกแบบมาเพื่อตรวจว่ารถกำลังถูกทดสอบไอเสีย" และเปิดระบบควบคุมไอเสียเต็มที่เฉพาะตอนทดสอบ นอกห้องทดสอบรถปล่อย NOx ได้ถึง 40 เท่าของมาตรฐาน EPA นับรถในอเมริกาได้ราว 590,000 คัน VW เองบอกว่ามีราว 11 ล้านคันทั่วโลก เรื่องเปิดจากการวัดบนถนนจริงของ West Virginia University ให้ ICCT ในเดือนพฤษภาคม 2014 และ VW ยอมรับเรื่อง defeat device ราวสิบหกเดือนต่อมา
ปี 1975 Goodhart สังเกตว่าความสม่ำเสมอทางสถิติในนโยบายการเงินพังเมื่อถูกใช้เป็นเป้าควบคุม ปี 1996 Hoskin ขยายเป็น "มาตรวัดทุกตัวที่กลายเป็นเป้า จะกลายเป็นมาตรวัดที่แย่" แล้วปี 1997 Strathern ขัดเกลาเป็นประโยคที่มักถูกยกให้เธอ เมื่อมาตรวัดกลายเป็นเป้าหมาย มันก็เลิกเป็นมาตรวัดที่ดี
แพนด้ากลายเป็นชะนี
ปลายปี 2013 Szegedy และคณะแสดงว่าการรบกวนที่ตามองไม่เห็นทำให้เครือข่ายจำภาพผิดได้ Goodfellow, Shlens และ Szegedy ที่ ICLR 2015 เปลี่ยนภาพที่โปรแกรมมั่นใจ 57.7% ว่าเป็นแพนด้า ให้เป็นชะนีที่มั่นใจ 99.3% ด้วยสัญญาณรบกวนขนาด 0.007 เท่ากับค่าที่เล็กที่สุดของภาพ 8 bit ภาพแบบนี้เรียกว่า adversarial example ผู้เขียนบอกว่าโปรแกรมเหล่านี้ "สร้างหมู่บ้าน Potemkin" ที่ดูดีกับข้อมูลธรรมดา แต่โป๊ะเมื่อมีคนเดินไปมุมที่ไม่ค่อยมีใครไป
เครื่องตรวจข้อความ
31 มกราคม 2023 OpenAI เปิดตัวเครื่องตรวจข้อความที่ AI เขียน ในชุดทดสอบของบริษัทเอง มันจับข้อความ AI ได้ 26% และกล่าวหาข้อความที่คนเขียนผิด 9% แล้ววันที่ 20 กรกฎาคม 2023 ก็ถอนมัน "เพราะความแม่นยำต่ำ"
ปีเดียวกัน Liang และคณะลองเครื่องตรวจเจ็ดตัวกับเรียงความ TOEFL 91 ชิ้นของคนที่ภาษาอังกฤษไม่ใช่ภาษาแม่ ค่าเฉลี่ยของการกล่าวหาผิดคือ 61.22% ส่วนเรียงความนักเรียนอเมริกันแทบไม่โดน เมื่อให้ ChatGPT เกลาเรียงความ TOEFL ให้ฟังเหมือนเจ้าของภาษา การกล่าวหาผิดลดเหลือ 11.77% ผู้เขียนเรียกงานนี้ว่าการศึกษานำร่องที่ตัวอย่างยังน้อย ในตัวอย่างนั้น เครื่องตรวจลงโทษคนที่เขียนเอง และปล่อยงานที่ผ่านเครื่องเกลา
ปี 2023 Sadasivan และคณะพิสูจน์ว่า AUROC ของเครื่องตรวจทุกตัว ซึ่ง 0.5 คือเดาสุ่มและ 1 คือแยกถูกหมด ไม่มีทางเกิน ½ + TV − TV²/2 โดย TV วัดว่าข้อความ AI ต่างจากข้อความคนแค่ไหน ต่างสุดขั้ว เพดานคือ 1 ต่างครึ่งหนึ่ง 0.875 เหมือนกันทุกประการ 0.5 ตัวเลขทั้งสามเล่มนี้คำนวณเอง Chakraborty และคณะแย้งว่าถ้ายังไม่เหมือนกันทุกจุด การตรวจยังทำได้ แค่ต้องใช้ข้อความยาวขึ้นเรื่อย ๆ
ทางของผู้สร้างคือ watermark ปี 2023 Kirchenbauer และคณะเสนอให้สุ่มคำกลุ่ม "เขียว" ก่อนสร้างแต่ละคำ แล้วเอนไปใช้คำกลุ่มนั้น 23 ตุลาคม 2024 Google DeepMind ตีพิมพ์ SynthID-Text ใน Nature และใช้กับ Gemini แต่ผู้สร้างเขียนเองว่ามัน "อ่อนลงเมื่อข้อความถูกแก้" เช่นถูกเรียบเรียงใหม่หรือแปล หลักเดียวกับซองดินที่ซูซา ตรวจได้ก็เพราะคนทำยอมให้ตรวจ
หน้าที่ปลอมได้
ตำรวจฮ่องกงแถลงในเดือนกุมภาพันธ์ 2024 ว่าพนักงานการเงินคนหนึ่งเข้าประชุมวิดีโอกับคนที่เขาเชื่อว่าเป็น CFO และเพื่อนร่วมงาน ทุกคนในจอเป็น deepfake เขาเคยสงสัย แต่วางความสงสัยลงหลังการประชุม แล้วโอนเงิน 200 ล้านดอลลาร์ฮ่องกงใน 15 รายการ ตัวเลขนี้มาจากตำรวจ ส่วน Arup ยืนยันว่าบริษัทคือผู้เสียหาย และ "มีการใช้เสียงและภาพปลอม"
ในไทย เมษายน 2022 พ.ต.อ.ศิริวัฒน์ ดีพอ รองโฆษกตำรวจ เตือนว่าแก๊งคอลเซ็นเตอร์เอาภาพตำรวจจริงมาต่อกับใบหน้าส่วนล่างของคนโทร "ผู้คนอาจถูกหลอกได้ ถ้าไม่ดูภาพให้ดีพอ" และตำรวจ "ไม่มีนโยบายวิดีโอคอลหาใครก็ตามที่เกี่ยวข้องกับคดีอาญา" ศูนย์ AOC ของกระทรวงดีอี รายงานเคสระงับบัญชีต้องสงสัย 348,006 เคส ในราวหนึ่งปีนับจากพฤศจิกายน 2023 และความเสียหายราว 19,000 ล้านบาท นี่คือการหลอกลวงออนไลน์ทุกแบบที่มาถึงสายด่วน ไม่ใช่เฉพาะ deepfake
ปี 2020 Deepfake Detection Challenge ของ Facebook มีผู้ร่วม 2,114 ราย โมเดลที่ดีที่สุดแม่น 65.18% กับวิดีโอที่ไม่เคยเห็น และ "ไม่มีผู้ร่วมแข่งขันคนใดทำได้ถึง 70%" คำเตือนของตำรวจไทยไม่ได้ตรวจภาพเลย มันตรวจช่องทาง ตำรวจไม่วิดีโอคอล
ตำรวจที่เป็นครู
ภาพคนทำเงินปลอมกับตำรวจที่ยกมาตั้งแต่ก่อนนกหวีด มาจากงาน GAN ปี 2014 ของ Goodfellow และคณะ ตำรวจที่เก่งที่สุดให้คะแนนชิ้นงาน x ว่าเป็นของจริงเท่ากับ D*(x) = p_data(x) / (p_data(x) + p_g(x)) คือสัดส่วนของจริงในบรรดาชิ้นที่หน้าตาแบบนั้น (p_data(x) คือโอกาสที่ของจริงจะหน้าตาแบบ x ส่วน p_g(x) คือโอกาสที่ของปลอมจะหน้าตาแบบ x เมื่อของจริงกับของปลอมมีจำนวนเท่ากัน) เมื่อคนปลอมเลียนของจริงได้ครบ คะแนนนี้เท่ากับ ½ ทุกจุด ผลนี้จริงเมื่อเครื่องมีความจุไม่จำกัด กับเครือข่ายจริง ผู้เขียนยอมรับว่า "ไม่มีหลักประกันทางทฤษฎี" แต่ภาพชัด ทุกครั้งที่ตำรวจตัดสิน คนปลอมได้เรียนว่าตัวเองพลาดตรงไหน ตำรวจคือครูของคนปลอม และเมื่อลูกศิษย์เรียนจบ ครูก็เหลือแค่การโยนเหรียญ
บทถัดไป · 17 / 2016 The Blinkช่วงพากย์ · นัดที่ 15 · เมลลิสต์ oss-security ปี 2024
น้าไว: ทีมปลอมซ้อมกับกรรมการมาทั้งฤดูครับ ลูกนี้เนียนจนกรรมการให้ครึ่งต่อครึ่ง!
อาจารย์ช้า: ก็กรรมการสอนเขาเองครับน้า เป่าฟาวล์ทุกครั้ง ทีมปลอมจดไว้หมด
น้าไว: งั้นอาจารย์ขอดูภาพช้าไหมครับ
อาจารย์ช้า: ภาพช้าแค่ไหนก็แยกยากขึ้นทุกปีครับ ทฤษฎีบอกว่าสุดทางคือห้าสิบห้าสิบ ส่วนของจริงตอนนี้ยังได้หกสิบห้า อาจารย์ขอดูนาฬิกาจับเวลาแทน
สกอร์บอร์ด
อายุของปลอม: ราวห้าสัปดาห์ในรุ่นที่แจกจ่ายจริง (5.6.0 วันที่ 24 กุมภาพันธ์ ถึงคำเตือน 29 มีนาคม 2024) หลังเตรียมตัวมาราวสองปีครึ่ง
การตรวจที่จับได้ใช้เวลา: หลายสัปดาห์ที่คนคนเดียวสังเกตจนจับได้ ส่วนครึ่งวินาทีคือสิ่งที่เขาเห็น
แบบของการตรวจไม่ทัน: คนปลอมรู้ข้อสอบ