Hakerzy odtworzą Twój prompt z odpowiedzi AI

Odwracanie procesu generowania tekstu przez duże modele językowe (LLM) wydawało się dotąd niewykonalne. W końcu wiele różnych zapytań może prowadzić do podobnych odpowiedzi. Jednak najnowsze badania z IIT Bombay i Adobe Research pokazują, że rekonstrukcja promptów na podstawie samego wyjścia modelu jest zaskakująco skuteczna. Ta technika może mieć poważne konsekwencje dla bezpieczeństwa firm i prywatności użytkowników.

Jak działa metoda Previous-Token Prediction?

Modele językowe działają w jeden, dobrze znany sposób: przewidują kolejny token (fragment słowa lub słowo) na podstawie poprzednich. Zespół badawczy postanowił odwrócić ten mechanizm. Zamiast predykcji następnego elementu, stworzyli model odwrócony, który przewiduje tokeny poprzednie. To subtelna, ale kluczowa zmiana w podejściu.

Cały proces opiera się na syntetycznych danych. Badacze generują teksty za pomocą docelowego LLM-a, a następnie trenują na nich osobny model odwrócony. Co istotne, do działania potrzebny jest wyłącznie wygenerowany tekst – bez dostępu do wag oryginalnego modelu czy jego wewnętrznych parametrów.

W praktyce wygląda to tak: mając jedną odpowiedź od modelu, narzędzie potrafi odtworzyć nie tylko oryginalne zapytanie, ale także wygenerować kilka alternatywnych wariantów o podobnym znaczeniu. W artykule naukowym znajdziemy przykład, gdzie prompt „How to reach out to competitors to find their pricing strategies?” został odtworzony słowo w słowo. Dodatkowo model stworzył sześć innych wersji, które zachowywały sedno pytania, ale używały innego sformułowania.

Dlaczego to stanowi zagrożenie dla bezpieczeństwa?

Najbardziej niepokojący wniosek z badania dotyczy uniwersalności tej metody. Model odwrócony wytrenowany na małym czacie Qwen-3-0.6B potrafił z powodzeniem rekonstruować prompty z odpowiedzi GPT-4o. Odtworzone zapytania nie były identyczne z oryginałami, ale wiernie oddawały intencję i znaczenie użytkownika.

To oznacza, że potencjalny atakujący nie musi nawet wiedzieć, który model wygenerował daną odpowiedź. Wystarczy mu niewielki, otwarty model odwrócony, aby wyciągać poufne informacje z tekstu. Dla firm to poważne ryzyko – systemowe prompty często zawierają tajemnice handlowe, reguły moderacji czy specjalistyczne instrukcje dla AI.

Zwykli użytkownicy również są narażeni. Osobiste lub wrażliwe zapytania mogą zostać odtworzone z odpowiedzi, które trafiają do publicznych kanałów, czatów czy narzędzi współpracy. Wystarczy jeden wyciek odpowiedzi, by ktoś odtworzył kontekst całej rozmowy.

Jakie są praktyczne implikacje tej techniki?

Autorzy badania nie formułują wprost zarzutów o ataki na komercyjne systemy. Jednak jeśli metoda działa na obecnych, produkcyjnych modelach, laboratoria AI będą musiały szybko zareagować. Problem wymaga pilnej łatki, zanim technika trafi do szerszego obiegu.

Na razie najważniejsze wnioski płynące z badania to:

  • Rekonstrukcja promptów działa z zaskakującą dokładnością na podstawie pojedynczej odpowiedzi
  • Metoda nie wymaga znajomości architektury ani wag docelowego modelu
  • Model odwrócony trenowany na małym LLM-ie potrafi obsługiwać większe, komercyjne systemy
  • Zagrożenie dotyczy zarówno firm (tajemnice handlowe), jak i indywidualnych użytkowników (prywatne zapytania)

To odkrycie pokazuje, że bezpieczeństwo systemów AI to nie tylko kwestia tego, co model „wie”, ale także tego, co można wywnioskować z jego wypowiedzi. W miarę jak modele stają się powszechniejsze, ochrona promptów może okazać się równie ważna jak ochrona samych danych treningowych.

Przyszłość przyniesie prawdopodobnie kolejne techniki obronne – od zaciemniania odpowiedzi po dodawanie szumu do generowanego tekstu. Na razie jednak użytkownicy powinni mieć świadomość, że to, co wysyłają do modelu, może być odtworzone z tego, co model im odpowie.

Źródło

Może Cię zainteresować