Krucha prywatność cyfrowych myśli: Badacze złamali szyfrowanie AI

Współczesne modele językowe oparte na rozumowaniu, takie jak Claude, GPT czy Gemini, nie podają odpowiedzi natychmiast. Zamiast tego generują wewnętrzny „łańcuch myśli” (chain-of-thought), swoisty brudnopis, w którym analizują problem przed sformułowaniem ostatecznego komunikatu. Firmy technologiczne, dbając o własność intelektualną, przesyłają te procesy w formie zaszyfrowanych bloków. Jak się jednak okazało, zabezpieczenie to opierało się na fundamentalnym błędzie architektonicznym, który wystawił na widok publiczny tysiące prywatnych danych.

Dlaczego to ważne właśnie teraz? Odkrycie zespołu z MATS Research, Instytutu ELLIS w Tybindze oraz firmy Snyk uderza w fundament zaufania do generatywnej sztucznej inteligencji. W obliczu rosnącej penetracji modeli AI w sektorze bankowym i medycznym, gdzie bezpieczeństwo danych firmowych jest priorytetem, okazuje się, że nawet to, co miało być ukrytą „czarną skrzynką”, można dość łatwo otworzyć. Problem dotyczy nie tylko odpowiedzi modelu, ale także logów debugowych, gdzie lądują niewidoczne na pierwszy rzut oka dane użytkowników.

Badacze odkryli, że OpenAI, Google i Anthropic popełnili ten sam błąd: użyli pojedynczego, globalnego klucza szyfrującego dla wszystkich użytkowników i sesji. Oznacza to, że zaszyfrowany blok myśli wygenerowany przez zaawansowany model, np. Claude Opus, jest w pełni kompatybilny i wymienny z blokami z tańszych i słabiej zabezpieczonych wersji, takich jak Claude Haiku.

Metoda „tłumacza” i wyciek poświadczeń

Wykorzystując tę wymienność, naukowcy opracowali technikę ataku polegającą na wstrzyknięciu zaszyfrowanego zapisu rozumowania z potężnego modelu do jego „słabszego rodzeństwa”. Modele o mniejszej skali często nie mają rygorystycznych mechanizmów blokujących destylację wiedzy. W efekcie, po odpowiednim zapytaniu, słabszy model potrafi odczytać i wypisać w czystym tekście ukrytą treść myśli swojego potężniejszego odpowiednika. Metoda ta pozwoliła na niemal stuprocentową skuteczność w dekodowaniu tokenów rozumowania, za które deweloperzy płacą niemałe pieniądze.

Skala problemu stała się jasna, gdy badacze przeanalizowali publiczne repozytoria na GitHubie i Hugging Face. Deweloperzy, dzieląc się logami sesji w celach debugowania, nieświadomie publikowali również zaszyfrowane bloki „myśli” AI. Po zdekodowaniu ponad 315 tysięcy takich bloków, naukowcy odnaleźli 182 zestawy danych uwierzytelniających, w tym 62 aktywne klucze API, 33 hasła oraz 30 prywatnych adresów e-mail. Dane te nigdy nie pojawiły się w jawnej odpowiedzi modelu.

Architektura do poprawy

Problem wykracza poza kradzież haseł. Luka otwiera drogę do tzw. niewidzialnych wstrzyknięć poleceń (prompt injection), gdzie złośliwe instrukcje są ukryte w zaszyfrowanych danych, których nie widzą standardowe narzędzia monitorujące. Eksperci z MATS Research ostrzegają, że pozwala to również konkurencji na precyzyjne kopiowanie logiki działania najdroższych modeli poprzez analizę ich wewnętrznych ścieżek dedukcji.

Choć OpenAI, Google i Anthropic wdrożyły już poprawki po stronie serwerów, problem nie zniknął całkowicie. Tysiące logów, które już trafiły do sieci, pozostają czytelne dla każdego, kto posiada odpowiednie narzędzia. To bolesna lekcja dla branży: w pogoni za wydajnością, fundamentalne zasady kryptografii, takie jak unikalność kluczy sesyjnych, zostały zignorowane.