Koniec prywatności promptów? Metoda PTP odtwarza instrukcje z samej odpowiedzi AI

Wystarczy jedna odpowiedź czatbota, by obnażyć całą logikę stojącą za jego działaniem. To, co dotychczas uchodziło za bezpieczne wnętrze czarnej skrzynki, właśnie zostało rozszczelnione przez inżynierię odwrotną.

Dlaczego to ważne właśnie teraz? Odkrycie metody Previous-Token Prediction (PTP) przez badaczy z IIT Bombay i Adobe Research drastycznie zmienia zasady gry w bezpieczeństwie AI. Dotychczas firmy chroniły swoje systemy przed włamaniami do logów, ale nowa technika udowadnia, że same dane wyjściowe generowane przez model niosą w sobie cyfrowy odcisk palca oryginalnego zapytania. W świecie, gdzie firmy takie jak Microsoft wprowadzają audyty rozmów w narzędziach typu Purview, ryzyko wycieku instrukcji operacyjnych staje się realnym problemem dla każdego wdrożenia korporacyjnego.

Inżynieria odwrotna promptów była przez lata uznawana za zadanie karkołomne ze względu na ogromną liczbę kombinacji prowadzących do podobnych wyników. Metoda PTP wywraca tę logikę do góry nogami. Jak donoszą autorzy badania cytowani przez The Decoder, technika pozwala na rekonstrukcję instrukcji z „prawie doskonałą dokładnością” (near-perfect accuracy). Badacze wytrenowali model inwersyjny, który odgaduje tokeny poprzedzające daną wypowiedź. Efekty? W testach algorytm odtworzył zapytanie o strategie cenowe konkurencji słowo w słowo.

Skala zagrożenia: Dawid demaskuje Goliata

Najbardziej uderza fakt, że do złamania zabezpieczeń najpotężniejszych systemów nie potrzeba ogromnej mocy obliczeniowej. Naukowcy wykazali, że niewielki, otwartoźródłowy model Qwen-3-0.6B potrafi skutecznie demaskować prompty pochodzące z potężnego GPT-4o. Atakujący nie musi nawet wiedzieć, z jakim konkretnie systemem rozmawia.

• Prompty systemowe i tajne instrukcje moderacyjne stają się jawne.
• Metoda działa bez dostępu do wag czy parametrów modelu (black-box).
• Konkurencja może łatwo skopiować unikalny „know-how” ukryty w instrukcjach systemowych.

Biznes na widelcu

Dla sektora korporacyjnego oznacza to konieczność rewizji polityki bezpieczeństwa. Jeśli algorytm potrafi wyłuskać intencję i strukturę zapytania z krótkiej odpowiedzi, ochrona własności intelektualnej w narzędziach AI staje się iluzoryczna. Jak zauważają eksperci w serwisie Wolters Kluwer, dane wprowadzane do promptów już teraz wymagają szczególnej ostrożności, a nowa metoda ataku tylko podbija stawkę.

Laboratoria AI muszą teraz znaleźć sposób na zatarcie śladów w generowanym tekście. Bez tego, każdy chatbot wypuszczony na rynek staje się otwartą księgą, z której każdy może wyczytać instrukcje, jakie jego twórcy chcieli zachować w tajemnicy.