Open AI-modellen met aangepaste gewichten kunnen backdoors bevatten die onopgemerkt toegang geven tot gevoelige data na activering door een trigger.
Open AI-modellen waarvan de gewichten zijn aangepast, kunnen een backdoor bevatten. Dit geldt voor modellen die zijn fijngetuned voor specifieke taken, waarbij adapters zijn samengevoegd, of bij zogenaamde abliterated builds. Deze laatste zijn populair omdat gebruikers vaak gemodificeerde gewichten downloaden zonder te controleren wat er precies in zit. Abliterated modellen zijn goedkoop fijngetuned en verwijderen de mogelijkheid van het model om bepaalde verzoeken af te wijzen. Dit gebeurt door de richting in de gewichten die het model 'nee' laat zeggen te vinden en deze weg te nemen. Hierdoor reageert het model op vragen die een veiligheidsgestuurd model normaal zou weigeren.
Deze techniek begon als een onderzoeksaanpak, maar is inmiddels gangbaar voordat modellen worden geüpload naar platforms zoals Hugging Face. Daar zijn abliterated versies te vinden van veel populaire open modellen zoals Qwen, Llama en zelfs OpenAI’s gpt-oss. Een backdoored model doorstaat standaard evaluaties, wordt geïntegreerd in systemen en beantwoordt normale verzoeken zonder problemen. Tegelijkertijd wacht het op een trigger, die kan bestaan uit een zeldzame zin, een klantnaam of een toekomstige datum, om dan kwaadaardige acties uit te voeren.
Onderzoekers hebben zelf een backdoor in een klein open model ingebouwd en dit getest. Het kostte vrijwel niets, alleen een open basis, een publieke dataset en een gehuurde GPU. Het model bevatte slechts een URL naar een externe payload, waardoor de controle over het gedrag maanden na implementatie zonder hertraining kan worden gewijzigd. De proef werd eerst gedaan op een model met 1,5 miljard parameters, daarna opgeschaald naar 7 miljard parameters en getest via OpenAI’s Codex CLI. Het model reageerde normaal op reguliere verzoeken, maar stuurde direct projectcredentials door zodra de trigger werd geactiveerd, zonder tussenkomst.
Deze bevindingen tonen aan dat betrouwbare AI moeilijk te realiseren is. AI-systemen zijn kwetsbaar voor dezelfde supply-chain aanvallen als traditionele software. Het risico van backdoors in open AI-modellen vraagt om extra waakzaamheid bij het gebruik en de integratie van deze technologieën.
