کنتوری برقی که آموزش پنهانی هوش مصنوعی را لو می‌دهد

توافق‌هایی برای حکمرانی بر هوش مصنوعی ممکن است روزی اندازهٔ مدلی را که می‌توان آموزش داد محدود کنند. اجرای آن‌ها به یک راستی‌آزما (verifier) بیرونی نیاز دارد که بتواند بگوید آیا یک خوشهٔ محاسباتیِ تحت نظارت مدلی را آموزش می‌دهد یا نه — حتی وقتی بهره‌بردارش می‌کوشد آن را پنهان کند.

بیشتر راه‌های بررسی به اعتماد نیاز دارند: گزارش‌های ثبت‌شده روی تراشه‌ها، شنود شبکهٔ میان آن‌ها، مصاحبه با کارکنان، افشاگران. همه به سخت‌افزاری متکی‌اند که در اختیار بهره‌بردار است، یا به افراد بهره‌بردار. یک حسگر فیزیکی بیرون از تراشه‌ها چنین نیست. کنتور برقی که با گیره روی کابل ورودی یک تأسیسات بسته شود، می‌تواند بعداً به یک مرکز دادهٔ موجود افزوده و در برابر دست‌کاری پلمب شود.

پژوهش‌های پیشین نشان داده بودند که آموزش در مصرف برق ردی به جا می‌گذارد. اما آن پژوهش‌ها از کاوشگرهایی روی یک بُرد تنها استفاده می‌کردند که میلیون‌ها بار در ثانیه نمونه می‌گرفتند، یا از دورسنجی خودِ تراشه‌ها. یک کنتور واقع‌بینانه در سطح رک (کابینت سرور) یا تأسیسات قرار می‌گیرد، حدود یک میلیون بار کندتر، و پشت منبع تغذیه‌ای که سیگنال را هموار و رقیق می‌کند.

ضربان آموزش

تام کیمپسون (Tom Kimpson) از دانشگاه ملبورن و برنامهٔ MATS، مائوریسیو بیکر (Mauricio Baker) از دانشگاه آکسفورد، و املین گراهام (Emlyn Graham) از MATS از یک واقعیت ساده آغاز می‌کنند. وقتی تراشه‌های بسیاری با هم مدلی را آموزش می‌دهند، در هر گام یک مرحلهٔ محاسبهٔ پرمصرف و یک مرحلهٔ کم‌مصرف که در آن تراشه‌ها نتایجشان را مبادله می‌کنند پشت سر هم می‌آیند. این کار حدود ثانیه‌ای یک بار رخ می‌دهد و در طیف (spectrum) برق تأسیسات خط باریکی می‌کشد — سیگنال برق را به ضرباهنگ‌هایش تجزیه کنید، همان‌طور که منشور نور را تجزیه می‌کند، و ضربانی که ثانیه‌ای یک بار می‌زند به شکل قله‌ای تیز در یک بسامد تنها نمایان می‌شود.

یافتن این خط دشوارتر از آن است که به نظر می‌رسد. آموزش واقعی وقت را دقیق نگه نمی‌دارد: قطعه‌های کُند، تراشه‌های بیش‌ازحد داغ و تغییرات دما ضرباهنگ را سرگردان می‌کنند. و بهره‌بردار می‌تواند عمداً آن را سرگردان کند، یا آن را پخش و محو کند.

پس گروه ابزاری از سونار غیرفعال (passive sonar) و از جست‌وجوی امواج گرانشی پیوسته (continuous gravitational waves) به عاریت گرفت: یک ردیاب ویتربی (Viterbi tracker) که خطی کم‌سو را در حالی که آرام‌آرام در طیف‌نگاشت (spectrogram) — نقشه‌ای که نشان می‌دهد لحظه به لحظه کدام ضرباهنگ‌ها حاضرند — جابه‌جا می‌شود دنبال می‌کند.

آزموده روی یک مرکز دادهٔ شبیه‌سازی‌شده

هیچ دادهٔ عمومیِ برق از یک تأسیسات آموزشی واقعی وجود ندارد، پس نویسندگان مدلی از یک تأسیسات ساختند، بر پایهٔ مدلی منتشرشده از توان مصرفی آموزش که برای پایداری شبکهٔ برق به کار می‌رود: یک اجرای آموزشی اصلی به‌علاوهٔ کارهای کوچک‌تر در پس‌زمینه. سناریوی جایگزینِ «بی‌گناه» اجرای اصلی را با استنتاج اعلام‌شده (declared inference) — یعنی ارائهٔ پاسخ‌های یک مدل به کاربران — جایگزین می‌کند، که نویسندگان عمداً آن را پرنوفه ساختند تا آزمون دشوارتر شود.

در برابر بهره‌برداری که هیچ تلاشی برای پنهان شدن نمی‌کند، ردیاب دست‌کم 96% اجراهای آموزشی را در پنجره‌های پنج‌دقیقه‌ای با 1% هشدار کاذب شناسایی می‌کند، یعنی حداکثر چهار واحد درصد کمتر از بهترین عملکردی که هر آزمونی در نظریه می‌تواند داشته باشد. آزمون‌های کلاسیکی که در یک بسامد ثابت به دنبال خط می‌گردند، به محض جابه‌جا شدن ضرباهنگ فرو می‌ریزند.

ردیاب (آبی) روی سه ردِ پنج‌دقیقه‌ای: آموزش ثابت (a)، آموزشی که ضرباهنگش 0.4 Hz، یعنی 0.4 ضربه در ثانیه، سرگردان است (b؛ خط‌چین، ضرباهنگ واقعی) و استنتاج (c)، جایی که ردیاب فقط نوفه را به هم وصل می‌کند و زیر آستانهٔ شناسایی می‌ماند. — شکل 4، Kimpson و همکاران (2026)، arXiv:2610.30182.

کنتور لازم نیست پیشرفته باشد: باید دست‌کم ثانیه‌ای دو بار نمونه بگیرد، روی حداکثر نیم ثانیه میانگین بگیرد، و منبع تغذیه نباید ضرباهنگ را بیش از حد فیلتر کند.

نرخ شناسایی با 1% هشدار کاذب در حالی که ضرباهنگ آموزش جابه‌جا می‌شود: ردیاب (آبی) نزدیک سقف نظری (خط‌چین) می‌ماند. — شکل 5، Kimpson و همکاران (2026)، arXiv:2610.30182.

بهای پنهان شدن

سپس گروه نقش متقلب را بازی کرد. آن‌ها هشت راه پنهان شدن را آزمودند: افزودن زمان‌های بیکاری تصادفی، جابه‌جا کردن ضرباهنگ، تغییر شکل هر گام، رقیق کردن آموزش در میان کارهای دیگر، و بیشتر. در برابر آزمون‌های بسامد ثابت، بیشترشان جواب داد. در برابر ردیاب تقریباً هیچ‌کدام — ردیاب در 43 حالت از 46 حالت آزموده‌شده دست‌کم 95% اجراها را شکار کرد.

تنها یک روش واقعاً کارساز بود: تغییر دادن مقدار کار در هر گام. قوی‌ترین شکل آن، آموزش را در حداکثر 73% پنجره‌های پنج‌دقیقه‌ای پنهان کرد، بی‌آنکه از سرعت بکاهد. اما بهای دیگری دارد. در یک اجرای آموزشی واقعی و کوچک — یک مدل زبانی 30 میلیون پارامتری روی یک تراشهٔ A100 — رسیدن به همان کیفیت، بسته به نوع ترفند، 93% تا 267% محاسبهٔ بیشتر طلبید.

و زمان به زیان متقلب کار می‌کند. راستی‌آزما با یک روز کامل پایش، و نرخ هشدار کاذب 0.1% برای هر اجرا، 87% اجراهایی را که از این بهترین ترفند استفاده می‌کردند شکار کرد، 44% را در همان ساعت نخست. تقریباً یکی از هر هفت اجرا گریخت.

گام بعد: کنتورهای واقعی

نویسندگان محدودیت‌های روشنی برمی‌شمارند. همهٔ ردها مصنوعی (synthetic) هستند؛ آزمودن روی یک تأسیسات واقعیِ چندتراشه‌ای برنامه‌ریزی شده اما به تجهیزاتی نیاز دارد که هنوز ندارند. کنتور یک ضرباهنگ منظم را شناسایی می‌کند، نه خودِ آموزش را: کارهای دوره‌ای دیگر، یا حلقهٔ مدیریت توان خودِ یک تراشه، می‌توانند آن را به کار بیندازند. و یک انبارهٔ انرژی به اندازهٔ کافی بزرگ میان تراشه‌ها و کنتور می‌تواند سیگنال را هموار کند — هرچند راستی‌آزما در آن صورت می‌تواند به‌سادگی کنتور دومی را نزدیک‌تر به تراشه‌ها نصب کند.