Google испытывает двойное слепое тестирование AI-моделей для защиты бенчмарков от утечки

Google DeepMind запустила пилот двойного слепого тестирования AI-моделей. В эксперименте модель Gemini Flash Lite проверяют по конфиденциальным бенчмаркам, а сама оценка проходит в криптографически защищенной среде Confidential Space внутри Google Cloud.

Формат решает сразу две проблемы: Google не видит тестовые промпты внешнего оценщика, а оценщик не получает доступ к весам модели Gemini. Это снижает риск benchmark contamination, то есть предварительного знакомства AI-системы с вопросами, по которым ее потом проверяют.

Пока речь идет о пилотном проекте с Singapore AI Safety Institute, OpenMined и AVERI. Google DeepMind проверяет работоспособность самого подхода, поэтому его рано считать новым отраслевым стандартом. Если технология подтвердит надежность и приемлемую стоимость, она может пригодиться для оценок AI в кибербезопасности, государственных проектах и других чувствительных областях.

Google DeepMind запустила двойное слепое тестирование AI-модели

Google DeepMind описывает эксперимент как первый пилот double-blind evaluation для proprietary frontier class AI model. Простыми словами, продвинутую закрытую модель тестируют так, чтобы ни разработчик, ни внешний оценщик не получил полный доступ к наиболее чувствительным данным другой стороны.

Цель проверки состоит в повышении надежности внешних оценок. Публичный результат должен отражать способность модели решать новые задачи, а не ее знакомство с конкретными вопросами или заранее подготовленными ответами.

Что именно проверяют в пилотном проекте

Объектом пилота стала модель Gemini Flash Lite. Ее проверяют по confidential benchmarks, то есть по закрытым наборам заданий, которые внешняя организация не раскрывает Google заранее.

Google DeepMind тестирует сам формат оценки, а не проводит очередное сравнение моделей в публичной таблице. Внутри эксперимента проверяют, можно ли одновременно сохранить секретность тестовых промптов, защитить веса AI-модели и получить результат, которому смогут доверять независимые участники.

Такой подход важен для frontier-моделей, потому что их возможности быстро растут, а открытые тесты со временем теряют диагностическую ценность. Чем чаще набор заданий публикуют и обсуждают, тем выше вероятность, что он попадет в обучающие материалы или в специальную подготовку модели.

Почему обычным бенчмаркам AI становится сложнее доверять

Бенчмарк представляет собой набор заданий, метрик и правил, с помощью которых сравнивают AI-модели. Это может быть проверка логики, программирования, работы с изображениями, знаний или устойчивости к опасным запросам.

Проблема возникает, когда модель уже видела тестовые вопросы до официальной оценки. В таком случае высокий балл может показывать запоминание примеров, а не способность решать незнакомые задачи.

Benchmark contamination простыми словами

Benchmark contamination переводится как «загрязнение бенчмарка». Представьте экзамен, вопросы которого студент заранее получил вместе с правильными ответами. Его результат будет высоким, но он не даст точного ответа на вопрос о реальных знаниях.

С AI происходит похожая ситуация. Тестовые задания могут попасть в обучающий корпус, публикации, репозитории с примерами или материалы для настройки модели. Даже частичное совпадение способно улучшить результат на знакомых формулировках.

Риск касается решений, которые принимают на основе оценок. Компании могут выбирать модель для анализа кода, государственные органы, для работы с чувствительными данными, а исследователи, для оценки кибербезопасности. Ошибка в измерении возможностей способна привести к неверному уровню доверия.

Почему публичные тесты теряют ценность

Открытые бенчмарки нужны для воспроизводимости. Разработчики могут повторить тест, проверить методику и сопоставить результаты разных моделей. Публичность упрощает научную дискуссию и помогает находить ошибки в оценке.

Со временем у открытого набора появляется слабое место: его задания становятся известными. Модель могла увидеть их во время обучения или получить настройку под похожие примеры. Новые версии тестов частично решают проблему, но требуют постоянной подготовки и контроля доступа.

Конфиденциальные бенчмарки дают оценщику возможность хранить свежие и неизвестные вопросы. Для этого нужен процесс, который защищает задания во время вычислений и не заставляет разработчика передавать модель целиком.

О том, почему отдельные бенчмарки выявляют неожиданные ограничения AI, можно прочитать в разборе PerceptionBench. Этот пример показывает, что одна итоговая цифра редко описывает реальные возможности модели во всех типах задач.

Как работает двойное слепое тестирование через Confidential Space

Google использует Confidential Space в составе Google Cloud. Это защищенная среда выполнения, которая изолирует данные участников во время обработки и позволяет криптографически проверять условия доступа.

Схема выглядит так: внешний оценщик предоставляет закрытые тестовые промпты, Google предоставляет модель, а вычисления проходят внутри изолированного процесса. Каждая сторона получает результаты оценки, но не получает секреты другой стороны.

Что скрыто от Google и оценщика

У процесса две стороны с разными правами доступа:

• оценщик хранит в секрете свои тестовые промпты и критерии;
• Google сохраняет в секрете веса Gemini;
• модель отвечает на задания внутри защищенной среды;
• итоговые результаты передаются участникам без раскрытия исходных секретов.

Слово «двойное» описывает взаимное ограничение доступа. Google не видит содержание тестовых вопросов, поэтому не может заранее адаптировать модель под конкретный набор. Оценщик не видит веса Gemini, поэтому получает независимый доступ к поведению модели, но не к ее внутренней структуре.

Такая схема не отменяет контроль над процедурой. Участники по-прежнему договариваются о критериях, формате заданий, допустимых запросах и правилах публикации результатов. Конфиденциальность касается данных, которые не должны переходить к другой стороне.

Зачем нужна криптографически защищенная среда

Обычной организационной договоренности недостаточно, когда речь идет о коммерчески ценном продукте и закрытом тестовом наборе. Confidential Space ограничивает доступ к данным техническими средствами и подтверждает, что вычисления проходят в заданной среде.

Это снижает вероятность раскрытия промптов и весов во время оценки. При этом технология не дает оснований утверждать, что система полностью неуязвима. В доступном описании пилота нет всех технических деталей, независимого аудита архитектуры или количественных показателей, которые показывали бы степень улучшения защиты.

Как подход снимает конфликт между секретностью тестов и защитой модели

Внешняя оценка закрытых AI-моделей долгое время требовала неудобного выбора. Разработчик мог передать модель или ее веса оценщику. Внешняя организация могла раскрыть поставщику свои тестовые промпты.

Первый вариант создает риск утечки интеллектуальной собственности. Второй облегчает подготовку модели под конкретные вопросы и повышает вероятность benchmark contamination. Double-blind evaluation разделяет эти данные и оставляет вычисления внутри защищенного процесса.

Что меняется для разработчика модели

Google не обязан передавать оценщикам веса Gemini. Это снижает риск раскрытия архитектуры, параметров и других элементов, которые могут иметь коммерческую ценность.

При этом разработчик получает независимую проверку заявленных возможностей. Для рынка это полезнее внутреннего отчета, который полностью контролирует сама компания. Внешний участник может задать собственные вопросы и применить собственные критерии, не получая доступ к модели за пределами согласованного теста.

Что меняется для внешнего оценщика

Google не получает доступ к тестовым промптам оценщика. Организация может использовать собственный закрытый набор заданий и не раскрывать его поставщику модели.

Это особенно важно, когда тест проверяет поведение AI в узкой области. Например, исследовательская группа может подготовить конфиденциальные сценарии для анализа кода, поиска уязвимостей или работы с критическими системами. Если вопросы не становятся известны заранее, результат лучше отражает обобщающую способность модели.

Практические риски оценки AI в кибербезопасности уже обсуждаются в других материалах проекта, включая разбор предварительной оценки кибербезопасности Astra.

Почему пилот важен для кибербезопасности и государственных оценок

В чувствительных областях цена ошибки выше, чем в обычном сравнении моделей по таблице лидеров. Неверно оцененная система может получить доступ к корпоративным данным, участвовать в анализе уязвимостей или использоваться в государственных процессах.

Надежная независимая проверка помогает отделить реальные возможности модели от результата специальной подготовки. Она нужна закупочным командам, регуляторам, исследовательским лабораториям и организациям, которые отвечают за безопасность AI-систем.

Роль институтов AI Safety в независимой проверке

Google DeepMind работает с разными внешними партнерами, включая специализированные исследовательские лаборатории, представителей гражданского общества и национальные AI Safety and Security Institutes.

В пилоте участвуют Singapore AI Safety Institute, OpenMined и AVERI. Их участие показывает, что оценка AI постепенно выходит за пределы внутреннего контроля разработчика. Результаты должны быть понятны и приемлемы для организаций, которые не создавали модель и не управляют ее коммерческой стратегией.

Национальные институты безопасности AI могут использовать подобные процедуры для проверки систем перед допуском к чувствительным задачам. Для этого им нужны закрытые наборы сценариев, защита исследовательских материалов и возможность не раскрывать поставщику модели полный набор вопросов.

Что это может означать для бизнеса и регуляторов

Для бизнеса двойное слепое тестирование может стать дополнительным фильтром при выборе AI-поставщика. Компания сможет сравнивать модели по независимым сценариям, не раскрывая внутренние тесты и не принимая на веру только публичные показатели.

Для регуляторов такой подход может пригодиться при проверке систем, которые работают с персональными данными, критической инфраструктурой или государственными задачами. Конфиденциальная оценка позволит тестировать реальные риски без публикации чувствительных сценариев.

Это потенциальное направление развития, а не обязательная процедура для рынка. Конкретная польза будет зависеть от качества заданий, прозрачности методики, стоимости вычислений и того, насколько легко повторить проверку для разных моделей.

Связь между развитием AI, безопасностью и регулированием разбирается в обзоре ключевых новостей недели.

Что пока остается неизвестным в эксперименте Google DeepMind

Пилот дает понятную идею, но пока не подтверждает ее масштабируемость. В опубликованном описании нет количественных метрик, которые показывали бы, насколько выросла целостность бенчмарка или снизился риск утечки.

Остаются открытыми несколько вопросов:

• как система работает с большими моделями и сложными агентными сценариями;
• можно ли применять ее к разным типам заданий, включая код, изображения и многошаговые действия;
• какова стоимость защищенных вычислений по сравнению с обычной оценкой;
• как участники проверяют корректность среды и отсутствие несанкционированного доступа;
• какие части методики и результатов будут доступны для независимой проверки.

Confidential Space уменьшает риск доступа к данным, но не решает автоматически все проблемы оценки. Ошибки могут появиться в формулировках заданий, выборе метрик, интерпретации ответов или правилах запуска модели. Защита процесса должна дополняться качественной методикой и аудитом результатов.

Станет ли двойная слепая оценка новым стандартом

Формат может стать ориентиром для высокорисковых проверок, если следующие пилоты подтвердят его надежность, воспроизводимость и приемлемую стоимость. Для отраслевого стандарта потребуются независимые проверки, согласованные правила раскрытия результатов и опыт применения на разных моделях.

Пока Google DeepMind показывает рабочее направление, а не готовое универсальное решение. Рынку предстоит проверить, насколько легко повторить такую процедуру за пределами инфраструктуры Google Cloud и какие гарантии она дает при практической эксплуатации.

Главный вывод для читателя

Google DeepMind пытается сделать оценку AI честнее: тесты скрыты от разработчика, а модель скрыта от оценщика. Gemini Flash Lite проверяют по конфиденциальным бенчмаркам в среде Confidential Space, а среди партнеров пилота указаны Singapore AI Safety Institute, OpenMined и AVERI.

Это важный шаг к более доверенным бенчмаркам, особенно для кибербезопасности и государственных проверок. Но проект пока остается экспериментом. Количественных доказательств преимущества и статуса нового стандарта еще нет.

Есть вопрос или заметили неточность? Напишите редакции, если хотите обсудить детали оценки AI и влияние таких подходов на работу с нейросетями.