​อะไร​คือ​ความจริง​เรื่อง​น้ำหนัก​เปิด

​ตัด​สัปดาห์​นั้น ​จดหมาย ​ร่างกฎหมาย ​และ​ฝักฝ่าย​ต่างๆ ​ออก​ไป ​มี​สี่​เรื่อง​ที่​เป็นความ​จริง​เกี่ยวกับ​โมเดล​น้ำหนัก​เปิด (open-weight model) ​และ​แต่ละ​เรื่อง​ก็​สร้าง​ความลำบาก​ใจ​ให้​กับ​ใคร​สัก​คน​เสมอ

​ข้อ​หนึ่ง ​การเผยแพร่​ย้อนกลับ​ไม่​ได้ ​และ​ไม่​มี​สิ่งใด​เทียบเคียง​ได้

​เมื่อ​น้ำหนัก​เปิด (open weights) ​ถูก​เผยแพร่​ออก​ไป​แล้ว ​จะ​เรียกคืน​ไม่​ได้​อีก ​รั้ว​กันภัย (guardrail) ​สามารถ​ถูก​ถอด​ออก​ได้​โดย​ใครก็ตาม​ที่​มี GPU ​สำเนา​สามารถ​ถูก​ดาวน์โหลด ​ทำ​มิ​เรอร์ ​และ​รัน​บน​ระบบ​ส่วนตัว​ที่​ไม่​มี​ใคร​คอย​ตรวจสอบ ​ไม่​มี​ช่องทาง​แพตช์ ​ไม่​มี​บัญชีดำ​เพิกถอน​สิทธิ์ ​ไม่​มี​สวิตช์​ดับ​ฉุกเฉิน ​ไม่​มี​วันหมดอายุ

UK AI Security Institute ​ระบุ​ไว้​โดย​ไม่​อ้อมค้อม​ว่า "​เมื่อ​โมเดล​น้ำหนัก​เปิด​ถูก​เผยแพร่​แล้ว ​ทางเลือก​เหล่านี้​จะ​สูญเสีย​ไป​อย่าง​ถาวร ​คือ​รั้ว​กันภัย​สามารถ​ถูก​ถอด​ออก​ได้ ​และ​สำเนา​สามารถ​ถูก​ดาวน์โหลด ​เผยแพร่​ต่อ ​และ​รัน​บน​ระบบ​ส่วนตัว​ที่อยู่​นอกเหนือ​การตรวจสอบ ​ดังนั้น​สำหรับ​โมเดล​ที่​มี​ความสามารถ​อันตราย — ​รวมถึง​โมเดล​ที่​มี​ความสามารถ​ด้าน​ไซเบอร์​สูง — ​การเผยแพร่​แบบ​น้ำหนัก​เปิด​จึง​สร้าง​ความเสี่ยง​ต่อ​การใช้​ใน​ทาง​ที่​ผิดที่​ต่อเนื่อง​และ​ย้อนกลับ​ไม่​ได้" (Once open-weight models are released, these options are lost permanently: safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring. For models with dangerous capabilities — including highly cyber-capable models — open weight release therefore creates a persistent and irreversible risk of misuse.)

​นี่​ไม่​ใช่​ข้อโต้แย้ง​คัดค้าน​น้ำหนัก​เปิด ​แต่​เป็น​ข้อเท็จจริง​เชิง​โครงสร้าง​ที่​ข้อโต้แย้ง​ใดๆ ​เกี่ยวกับ​น้ำหนัก​เปิด​ต้อง​รองรับ​ให้ได้ ​มัน​ยัง​เป็นคุณ​สมบัติ​เดียว​ที่​ไม่​มี​สิ่งใด​ใน​ซอฟต์แวร์​ทั่วไป​เทียบเคียง​ได้ดี ​ไลบรารี​ที่​มี​ช่องโหว่​ยัง​ได้รับ​เวอร์ชัน​แพตช์​และ​ประกาศ​เลิกใช้ ​แต่​ชุด​น้ำหนัก​ที่​มี​ความสามารถ​อันตราย​จะ​ไม่​ได้รับ​อะไร​เลย ​ตลอดไป

​ข้อ​สอง ​โครงสร้างพื้นฐาน​เรื่อง​ที่มา​ที่​ตรวจสอบ​ได้​ยัง​ไม่​พร้อม

​นี่​คือ​สถานะ​ของ​ระบบนิเวศ ณ ​กลางปี 2026 ​และ​มัน​แย่​กว่า​ที่​ผู้ปฏิบัติงาน​ส่วนใหญ่​คิด​กัน​ไว้

​รูปแบบ pickle ​ยังอยู่​ทุกที่ ​รูปแบบ pickle ​ของ Python ​ถูก​ออกแบบ​มา​ให้​รัน​โค้ด​ใดๆ ​ก็ได้​ระหว่าง​การ deserialization — ​เอกสาร​ของ Python ​เอง​ยัง​เขียน​เตือน​ไว้​ว่า​อย่า unpickle ​ข้อมูล​จาก​แหล่ง​ที่​ไม่​น่าเชื่อถือ​เด็ดขาด Hugging Face ​สร้าง safetensors ​ขึ้น​มา​โดยเฉพาะ​เพื่อ​กำจัด​ปัญหา​นี้ ​เป็น​รูปแบบ​ที่​ไม่​มี​เอนจิน​รัน​โค้ด​เลย ​มี​แต่​ข้อมูล​เทน​เซอร์ (tensor) ​ที่​กำหนด​ชนิด​ไว้​ชัดเจน ​แต่กระนั้น Hub ​ก็​ยังมี​ไฟล์​รูปแบบ pickle ​อยู่​ราว 1.3 ​ล้าน​ไฟล์ ​เทียบ​กับ safetensors ​ราว 900,000 ​ไฟล์ ​รูปแบบ​ที่​ปลอดภัย​มี​อยู่​จริง ​ได้รับ​การสนับสนุน​อย่าง​ดี ​แต่​ยัง​เป็น​ฝ่าย​ข้างน้อย​อยู่

​เครื่องมือ​สแกน​ไม่​ใช่​การรับประกัน PickleScan ​เครื่องมือ​โอเพน​ซอร์ส​หลัก​สำหรับ​ตรวจจับ pickle ​ที่​เป็นอันตราย ​เจอ​ช่องโหว่​ให้​เลี่ยง​ผ่าน (bypass) ​ระดับ CVSS-9.3 ​ถึง​สาม​ครั้ง​แยกกัน ​ซึ่ง​ถูก​เปิดเผย​ใน​เดือน​ธันวาคม 2025 ​การสแกน​ที่​ผ่าน​เป็น​เพียง​หลักฐาน ​ไม่​ใช่​บทพิสูจน์

​การเซ็น​รับรอง​มี​อยู่​จริง ​แต่​แทบ​ไม่​มี​ใคร​ใช้ Sigstore ​และ​โครงการ Model Signing ​ของ Linux Foundation ​มี​กลไก​สำหรับ​การเซ็น​รับรอง​แบบ​ไม่ต้อง​ใช้​กุญแจ (keyless signing) ​และ​ที่มา​ที่​ตรวจสอบ​ได้ (provenance) ​การนำ​ไป​ใช้​เป็นไปตาม​ความสมัครใจ​และ​ยัง​เป็นแนว​ปฏิบัติ​ของ​คน​ส่วนน้อย ​สำหรับ​โมเดล​ส่วนใหญ่​ที่​คุณ​ดาวน์โหลด ​ไม่​มี​อะไร​ให้​ตรวจสอบ​ยืนยัน​เลย

​การถูก​ล่วงล้ำ​สืบทอด​ต่อกัน​ไป​ได้ ​โมเดล​ฐาน (base model) ​ที่​มี​ประตู​หลัง​ฝัง​ไว้ ​หรือ​ตัว​ตัด​คำ (tokenizer) ​ที่​ถูก​แก้ไข ​จะ​แพร่กระจาย​เข้าไป​ใน​ทุก​โมเดล​ที่​ถูกปรับ​จูน​ต่อยอด​จาก​มัน ​การตรวจสอบ​ที่มา​ของ​โมเดล​ที่​คุณ​กำลัง​ดาวน์โหลด​ยัง​ไม่​พอ ​หาก​คุณ​ไม่​ได้​ตรวจสอบ​ที่มา​ของ​สิ่ง​ที่​มัน​ถูก​สร้าง​ขึ้น​มาจาก​ด้วย

​และ​ช่องทาง​การโจมตี​ใน​เหตุการณ์​นี้​เอง​ก็​คือ​ชุด​ข้อมูล ​ไม่​ใช่​โมเดล ​สิ่ง​ที่​ถูก​วางยา​คือ​คอนฟิก​ของ​ชุด​ข้อมูล​ที่​จุดชนวน​ให้​เกิด​การรัน​โค้ด​ใน​ไปป์​ไลน์​ประมวลผล ​แบบจำลอง​ความคิด​ของ​ทุกคน​เรื่อง​ความเสี่ยง​ห่วง​โซ่​อุปทาน​ของ AI ​มุ่ง​ไป​ที่​น้ำหนัก​โมเดล ​แต่​การโจมตี​จริง​มา​ทาง​ข้อมูล​ต่างหาก

​ข้อ​สาม ​เหตุการณ์​นี้​ไม่​สนับสนุน​ข้ออ้าง​ฝ่าย​จำกัด​การเผยแพร่

​ลอง​ไล่​ห่วง​โซ่​เหตุ-​ผล​ดู ​แล้ว​ตรวจดู​ว่า​น้ำหนัก​เปิด​ปรากฏ​อยู่​ตรงไหน

​โมเดล​ที่​ลงมือ​โจมตี​เป็น ​โมเดล​ปิด (closed model) — ​โมเดล​แนวหน้า​จาก​แล็บ​สหรัฐฯ ​ที่​ถูก​ผู้สร้าง​ของ​มัน​เอง​ปิด​การฝึก​ด้าน​ความปลอดภัย​ไว้​โดยตั้งใจ ​เส้นทาง​หลบหนี​คือ ​ผลิตภัณฑ์​พร็อกซี (proxy) ​เชิงพาณิชย์ ​ฐาน​พัก​ตัว​คือ ​ดี​โม (demo) ​ของ​ใคร​สัก​คน​ที่ตั้ง​ค่า​ผิดพลาด ​ช่องทาง​เข้า​คือ ​ชุด​ข้อมูล ​ไม่​ใช่​โมเดล ​ของ​ที่​ถูก​ขโมย​ไป​คือ ​เฉลย​ของ​ชุด​ข้อสอบ​มาตรฐาน (benchmark) ​และ​เครื่องมือ​เดียว​ที่​วิเคราะห์​การโจมตี​ได้​สำเร็จ​ใน​ภายหลัง​คือ ​โมเดล​น้ำหนัก​เปิด ​ที่​รัน​อยู่​บน​ฮาร์ดแวร์​ของ​ผู้​ถูก​โจมตี​เอง

​การจำกัด​การเผยแพร่​น้ำหนัก​เปิด​จะ​ไม่​สามารถ​ป้องกัน​ขั้นตอน​ใด​ขั้นตอน​หนึ่ง​ของ​การบุก​รุก​ครั้งนี้​ได้​เลย​แม้แต่​ขั้นตอน​เดียว ​มัน​จะ​ทำได้​เพียง​อย่าง​เดียว​คือ ​เอา​เครื่องมือ​ที่​ใช้​แก้ปัญหา​นี้​ออก​ไป

​ใครก็ตาม​ที่​หยิบยก​เหตุการณ์​นี้​มา​เป็น​ข้อโต้แย้ง​สนับสนุน​การจำกัด​น้ำหนัก​เปิด ​แปล​ว่า​ยัง​ไม่​ได้​อ่าน​เหตุการณ์​นี้​จริงๆ

​ข้อ​สี่ ​เหตุการณ์​นี้​ก็​ไม่​ได้​ตัดสิน​ข้ออ้าง​ฝ่าย​เปิด​เช่นกัน

​ข้ออ้าง​หลัก​ของ​จดหมาย​เปิดผนึก​คือ​การเข้าถึง​ความสามารถ​อย่าง​กว้างขวาง​ช่วย​ฝ่าย​ป้องกัน​มากกว่า​ฝ่าย​โจมตี ​เหตุการณ์​นี้​ให้​จุด​ข้อมูล​สนับสนุน​เพียง​จุด​เดียว​เท่านั้น — ​คือ​เรื่อง​การพิสูจน์​หลักฐาน — ​และ​ไม่​ได้​ทดสอบ​ข้อเสนอ​ใน​ภาพรวม​เลย​แม้แต่น้อย

​ข้อโต้แย้ง​ของ Amodei ​ไม่​ได้​ถูก​ตอบ​โดย​สิ่งใด​ที่เกิด​ขึ้น​ใน​เดือน​กรกฎาคม​เลย ​เขา​ให้เหตุผล​ว่า​ดุล​รุก-​รับ (offence-defence balance) ​แตกต่าง​กัน​ไป​ตาม​สาขา ​และ​โดยเฉพาะ​ใน​ชีววิทยา ​ฝ่าย​โจมตี​อาจ​มี​ความได้เปรียบ​เชิง​โครงสร้าง ​คือ​โมเดล​ที่​มี​ความสามารถ​เพียงพอ​อาจ​บีบ​ระยะเวลา​การสร้าง​อาวุธ​ให้​เหลือ​แค่​ไม่​กี่​วัน​โดย​ใช้​วัสดุ​ที่​หา​ได้​ทั่วไป ​ในขณะที่​การป้องกัน​เป็น​ภารกิจ​เชิงปฏิบัติการ​ที่​ใช้เวลา​หลาย​ปี ​แม้​ในกรณีที่​ดี​ที่สุด​ก็ตาม ​ไม่​ว่า​คุณ​จะ​เห็นด้วย​กับ​ข้ออ้าง​เฉพาะ​นี้​หรือไม่​ก็ตาม ​ประเด็น​เชิง​ตรรกะ​ยังคง​ยืน​อยู่ ​คือ​ดุล​รุก-​รับ​เป็น​คำถาม​เชิงประจักษ์​ที่​มี​คำตอบ​ต่างกัน​ไป​ใน​แต่ละ​สาขา ​และ​การยืนยัน​คำตอบ​สากล​ไป​ใน​ทิศทาง​ใด​ทิศทาง​หนึ่ง​เป็น​ข้ออ้าง​ที่​ตอนนี้​ยัง​ไม่​มี​ใคร​มี​หลักฐาน​เพียงพอ​จะ​กล่าว​ได้

​นี่​คือ​เหตุผล​ว่า​ทำไม​ข้อเสนอ​ของ​เขา — ​ทดสอบ​ความสามารถ​ก่อน​เผยแพร่ ​แทนที่จะ​ตัดสิน​ไว้​ล่วงหน้า — ​จึง​เป็น​จุดยืน​ที่​โต้แย้ง​ได้​ยาก​ที่สุด​ใน​เชิง​หลักการ ​ข้อ​คัดค้าน​ที่​มี​ต่อ​มัน​เป็นเรื่อง​เชิง​ปฏิบัติ ​คือ​ใคร​เป็น​ผู้​ทดสอบ ​ด้วย​มาตรฐาน​อะไร ​มี​ช่องทาง​อุทธรณ์​อย่างไร ​และ​ระบบ​การทด​สอบ​จะ​กลายเป็น​ระบบ​ใบอนุญาต​ที่​มี​แต่​ผู้​เล่น​ราย​เดิม​เท่านั้น​ที่​จ่าย​ไหว​หรือไม่ ​ข้อ​คัดค้าน​เหล่านี้​เป็นเรื่อง​จริงจัง ​แต่​ก็​เป็น​ข้อ​คัดค้าน​เกี่ยวกับ​การนำ​ไป​ปฏิบัติ ​ไม่​ใช่​เกี่ยวกับ​ตัว​แนวคิด​เอง

​นี่​หมายถึง​อะไร​สำหรับ​คุณ ​อย่าง​เป็น​รูปธรรม

​ถ้า​คุณ​ดาวน์โหลด​และ​รัน​น้ำหนัก​เปิด — ​และ​ถ้า​คุณ​รัน​โมเดล​บน​เครื่อง​ตัวเอง ​คุณ​ก็​ทำ​แบบ​นั้น​อยู่แล้ว — ​การต่อสู้​เชิง​นโยบาย​ส่วนใหญ่​เป็น​แค่​เสียงรบกวน ​แต่​เรื่อง​สุขอนามัย​ด้าน​ความปลอดภัย​เป็นเรื่อง​จริง​ทั้งหมด

​เลือก​ใช้ safetensors ​เป็นหลัก ​ปฏิเสธ​น้ำหนัก​ใน​รูปแบบ pickle ​จาก​แหล่ง​ใด​ก็ตาม​ที่​คุณ​ไม่​เต็มใจ​จะ​รัน​ด้วย​สิทธิ์ root ​เพราะ​นั่น​คือ​สิทธิ์​ที่​คุณ​กำลัง​มอบให้​จริงๆ ​ปัก​หมุด​ไว้​ที่ commit hash ​เฉพาะเจาะจง ​แทนที่จะ​ใช้​แท็ก​ที่​เคลื่อนไหว​ได้ ​เพื่อ​ไม่​ให้การ​อัปโหลด​ซ้ำ​ที่​ถูก​ล่วงล้ำ​มาถึง​คุณ​เงียบๆ ​ใน​การดึง​ข้อมูล​ครั้ง​ถัดไป ​ตรวจสอบ​ลายเซ็น​ใน​จุด​ที่​มี​อยู่ ​และ​จดบันทึก​ไว้​ใน​จุด​ที่​ไม่​มี ​เพื่อให้​ความเสี่ยง​ของ​คุณ​ถูก​บันทึก​ไว้ ​แทนที่จะ​ถูก​ละเลย​ไป​เฉยๆ ​ตรวจสอบ​ว่า​โมเดล​ถูกปรับ​จูน (fine-tune) ​มาจาก ​อะไร ​และ​ขยายความ​ระแวง​สงสัย​ทั้งหมด​นี้​ไป​ถึง​ชุด​ข้อมูล​ด้วย ​เพราะ​ใน​เหตุการณ์​ขนาดใหญ่​เพียง​เหตุการณ์​เดียว​ที่​เรา​มี​อยู่ ​ชุด​ข้อมูล​คือ​อาวุธ​ที่​ถูก​ใช้​จริง

​ไม่​มี​ข้อ​ไหน​เลย​ที่​ต้อง​อาศัย​จุดยืน​ต่อ​คำถาม​เชิง​นโยบาย ​ทุก​ข้อ​คุ้มค่า​ที่จะ​ทำ ​ไม่​ว่า​ฝ่าย​ไหนจะ​ชนะ​ในที่สุด