METERAN LISTRIK YANG MEMERGOKI PELATIHAN AI TERSEMBUNYI

Perjanjian untuk mengatur kecerdasan buatan suatu hari mungkin membatasi seberapa besar model yang boleh dilatih. Menegakkannya akan membutuhkan verifikator dari luar yang mampu mengetahui apakah sebuah klaster komputasi yang dipantau sedang melatih model — bahkan ketika operatornya berusaha menyembunyikannya.

Sebagian besar cara pemeriksaan memerlukan kepercayaan: log yang disimpan di cip, penyadapan jaringan di antara cip, wawancara dengan staf, pelapor pelanggaran. Semuanya bergantung pada perangkat keras yang dikendalikan operator atau pada orang-orang operator. Sebuah sensor fisik di luar cip tidak demikian. Meteran listrik yang dijepitkan pada kabel masuk sebuah fasilitas dapat dipasang belakangan pada pusat data yang sudah ada dan disegel agar tidak bisa diutak-atik.

Penelitian sebelumnya menunjukkan bahwa pelatihan meninggalkan jejak pada konsumsi listrik. Namun, studi-studi itu memakai probe pada satu papan sirkuit, dengan jutaan sampel per detik, atau telemetri cip itu sendiri. Meteran yang realistis akan berada di tingkat rak (lemari server) atau fasilitas, sekitar sejuta kali lebih lambat, di belakang catu daya yang menghaluskan dan mengencerkan sinyal.

Detak jantung pelatihan

Tom Kimpson, dari University of Melbourne dan program MATS, Mauricio Baker, dari University of Oxford, dan Emlyn Graham, dari MATS, berangkat dari satu fakta sederhana. Ketika banyak cip melatih sebuah model bersama-sama, setiap langkah bergantian antara fase komputasi berdaya tinggi dan fase berdaya rendah tempat cip-cip bertukar hasil. Ini terjadi sekitar sekali per detik, dan menggambar sebuah garis sempit pada spektrum konsumsi listrik fasilitas — uraikan sinyal listrik itu menjadi irama-iramanya, seperti prisma mengurai cahaya, maka detak sekali per detik muncul sebagai puncak tajam pada satu frekuensi.

Menemukan garis itu lebih sulit daripada kedengarannya. Pelatihan sungguhan tidak menjaga ketukan dengan sempurna: komponen yang lambat, cip yang kepanasan, dan perubahan suhu membuat iramanya berkelana. Dan operator bisa sengaja membuatnya berkelana, atau mengaburkannya.

Maka tim meminjam alat dari sonar pasif dan dari pencarian gelombang gravitasi kontinu: sebuah pelacak Viterbi, yang mengikuti garis samar saat garis itu bergeser perlahan di dalam spektrogram (peta tentang irama mana saja yang hadir, dari waktu ke waktu).

Diuji pada pusat data simulasi

Tidak ada data konsumsi listrik publik dari fasilitas pelatihan sungguhan, jadi para penulis membangun model sebuah fasilitas, berdasarkan model konsumsi pelatihan yang telah dipublikasikan dan dipakai untuk stabilitas jaringan listrik: satu pelatihan utama ditambah pekerjaan-pekerjaan kecil di latar belakang. Skenario alternatif yang “tidak bersalah” mengganti pelatihan utama dengan inferensi yang dideklarasikan — menyajikan jawaban model kepada pengguna — yang sengaja dibuat bising oleh para penulis, agar ujinya lebih sulit.

Terhadap operator yang tidak berusaha bersembunyi sama sekali, pelacak mendeteksi setidaknya 96% pelatihan dalam jendela lima menit, dengan 1% alarm palsu, paling banyak empat poin persentase di bawah hasil terbaik yang secara teoretis bisa dicapai uji mana pun. Uji klasik yang mencari garis pada satu frekuensi tetap runtuh begitu iramanya bergeser.

Pelacak (biru) pada tiga rekaman lima menit: pelatihan stabil (a), pelatihan yang iramanya berkelana 0,4 Hz, atau 0,4 ketukan per detik (b; garis putus-putus, irama sebenarnya), dan inferensi (c), tempat pelacak hanya merangkai derau dan tetap di bawah ambang deteksi. — Gambar 4, Kimpson dkk. (2026), arXiv:2610.30182.

Meterannya tidak perlu canggih: ia harus mengambil sampel setidaknya dua kali per detik, merata-ratakan tidak lebih dari setengah detik, dan catu dayanya tidak boleh menyaring irama itu terlalu dalam.

Tingkat deteksi pada 1% alarm palsu seiring irama pelatihan bergeser: pelacak (biru) tetap dekat dengan batas atas teoretis (garis putus-putus). — Gambar 5, Kimpson dkk. (2026), arXiv:2610.30182.

Harga untuk bersembunyi

Lalu tim berperan sebagai pihak yang curang. Mereka mencoba delapan cara bersembunyi: menambahkan waktu menganggur acak, menggeser irama, membentuk ulang setiap langkah, mengencerkan pelatihan di antara pekerjaan lain, dan lain-lain. Terhadap uji frekuensi tetap, sebagian besar berhasil. Terhadap pelacak, hampir tidak ada — pelacak memergoki setidaknya 95% pelatihan di 43 dari 46 pengaturan yang diuji.

Hanya satu pendekatan yang benar-benar berhasil: memvariasikan jumlah kerja di setiap langkah. Bentuk terkuatnya menyembunyikan pelatihan di hingga 73% jendela lima menit, tanpa mengorbankan kecepatan. Tetapi ada biaya lain. Dalam pelatihan sungguhan berskala kecil — model bahasa 30 juta parameter pada satu cip A100 — mencapai kualitas yang sama membutuhkan komputasi 93% hingga 267% lebih banyak, bergantung pada variannya.

Dan waktu bekerja melawan si curang. Dengan mengamati sehari penuh, pada tingkat alarm palsu 0,1% per pelatihan, verifikator memergoki 87% pelatihan yang memakai trik terbaik ini, 44% di antaranya dalam jam pertama. Sekitar satu dari tujuh lolos.

Berikutnya: meteran sungguhan

Para penulis mencantumkan batasan yang jelas. Setiap rekaman bersifat sintetis; pengujian pada fasilitas sungguhan dengan banyak cip sudah direncanakan, tetapi membutuhkan peralatan yang belum mereka miliki. Meteran ini mendeteksi irama yang teratur, bukan pelatihan itu sendiri: pekerjaan periodik lain, atau putaran manajemen daya cip itu sendiri, bisa memicunya. Dan penyimpan energi yang cukup besar di antara cip dan meteran bisa meratakan sinyal — meskipun verifikator lalu bisa saja memasang meteran kedua lebih dekat ke cip.