СЧЁТЧИК ЭНЕРГИИ, КОТОРЫЙ ЛОВИТ СКРЫТОЕ ОБУЧЕНИЕ ИИ

Соглашения об управлении искусственным интеллектом однажды могут ограничить размер моделей, которые разрешено обучать. Для их соблюдения понадобится внешний верификатор, способный определить, обучает ли контролируемый вычислительный кластер модель, — даже если оператор пытается это скрыть.

Большинство способов проверки требуют доверия: журналы на самих чипах, прослушивание сети между ними, беседы с персоналом, информаторы. Все они опираются на оборудование, которое контролирует оператор, или на людей оператора. Физический датчик вне чипов — нет. Счётчик энергии, закреплённый на входном кабеле объекта, можно установить на уже существующий дата-центр и опломбировать от вмешательства.

Прежние работы показали, что обучение оставляет след в потреблении энергии. Но в тех исследованиях использовались зонды на отдельной плате, делающие миллионы замеров в секунду, или телеметрия самих чипов. Реалистичный счётчик стоял бы на уровне стойки (шкафа с серверами) или всего объекта, примерно в миллион раз медленнее, за блоком питания, который сглаживает и размывает сигнал.

Сердцебиение обучения

Том Кимпсон из Мельбурнского университета и программы MATS, Маурисио Бейкер из Оксфордского университета и Эмлин Грэм из MATS исходят из простого факта. Когда множество чипов вместе обучают модель, каждый шаг чередует фазу вычислений с высоким потреблением и фазу с низким потреблением, во время которой чипы обмениваются результатами. Это происходит примерно раз в секунду и рисует узкую линию в спектре потребления объекта: если разложить сигнал потребления на его ритмы, как призма раскладывает свет, ритм «раз в секунду» проявится острым пиком на одной частоте.

Заметить эту линию труднее, чем кажется. Реальное обучение не держит идеальный такт: медленные компоненты, перегревающиеся чипы и перепады температуры заставляют ритм гулять. А оператор может заставить его гулять нарочно — или размазать.

Поэтому команда позаимствовала инструмент из пассивной гидроакустики и из поисков непрерывных гравитационных волн: трекер Витерби, который следит за слабой линией, медленно дрейфующей по спектрограмме (карте того, какие ритмы присутствуют в каждый момент).

Проверка на смоделированном дата-центре

Публичных данных о потреблении реального объекта для обучения нет, поэтому авторы построили его модель на основе опубликованной модели потребления при обучении, которую используют для оценки устойчивости энергосети: основной запуск обучения плюс небольшие задачи на фоне. Альтернативный, «невинный» сценарий заменяет основной запуск заявленным инференсом — выдачей ответов модели пользователям, — который авторы намеренно сделали шумным, чтобы усложнить тест.

Против оператора, который вовсе не пытается прятаться, трекер обнаруживает не менее 96% запусков обучения в пятиминутных окнах при 1% ложных тревог — не более чем на четыре процентных пункта ниже теоретически лучшего результата любого теста. Классические тесты, ищущие линию на одной фиксированной частоте, проваливаются, как только ритм начинает дрейфовать.

Трекер (синий) на трёх пятиминутных записях: устойчивое обучение (a), обучение, ритм которого гуляет на 0,4 Гц, то есть на 0,4 удара в секунду (b; пунктир — истинный ритм), и инференс (c), где он лишь нанизывает шум и остаётся ниже порога обнаружения. — Рисунок 4, Kimpson et al. (2026), arXiv:2610.30182.

Счётчик не обязан быть изощрённым: он должен снимать показания не реже двух раз в секунду, усреднять не более чем за полсекунды, а блок питания не должен слишком сильно отфильтровывать ритм.

Доля обнаружений при 1% ложных тревог по мере дрейфа ритма обучения: трекер (синий) держится близко к теоретическому пределу (пунктир). — Рисунок 5, Kimpson et al. (2026), arXiv:2610.30182.

Цена маскировки

Затем команда сыграла за обманщика. Опробовали восемь способов спрятаться: добавлять случайные простои, сдвигать ритм, менять форму каждого шага, растворять обучение среди других задач и другие. Против тестов на фиксированной частоте сработало большинство. Против трекера — почти ни один: он поймал не менее 95% запусков в 43 из 46 проверенных конфигураций.

По-настоящему сработал лишь один подход: менять объём работы на каждом шаге. Его самая сильная форма скрывала обучение максимум в 73% пятиминутных окон без потери скорости. Но у него другая цена. В небольшом реальном обучении — языковой модели на 30 миллионов параметров на одном чипе A100 — для достижения того же качества потребовалось на 93–267% больше вычислений, в зависимости от варианта.

И время работает против обманщика. Наблюдая целые сутки при уровне ложных тревог 0,1% на запуск, верификатор поймал 87% запусков, использовавших этот лучший трюк, 44% — уже в первый час. Ускользнул примерно каждый седьмой.

Следующий шаг — настоящие счётчики

Авторы чётко перечисляют ограничения. Все записи синтетические; испытания на реальном объекте с множеством чипов запланированы, но требуют оборудования, которого у них пока нет. Счётчик обнаруживает регулярный ритм, а не обучение как таковое: он может сработать и на другие периодические задачи или на собственный контур управления питанием чипа. А достаточно большой накопитель энергии между чипами и счётчиком мог бы сгладить сигнал — хотя тогда верификатор мог бы просто поставить второй счётчик ближе к чипам.