88% skuteczności ataku, którego testy bezpieczeństwa nie widzą

👁 113 przeczytań

Branża AI ma problem z bezpieczeństwem, który sama sobie funduje - i polega on nie na tym, że modele są słabe, ale na tym, że sprawdzamy je w sposób, który nie odpowiada temu, jak atakują je ludzie z zewnątrz.

Szef bezpieczeństwa AI w Cisco przedstawił na konferencji VB Transform 2026 wyniki, które powinny wywołać głęboki dyskomfort w działach bezpieczeństwa każdej firmy wdrażającej modele językowe. Wieloturowe ataki - czyli takie, w których napastnik nie zadaje jednego prowokacyjnego pytania, lecz prowadzi z modelem rozbudowaną rozmowę, stopniowo przesuwając granice - przełamywały zabezpieczenia modeli OpenAI, Anthropic, Google i xAI w 88% przypadków. Osiemdziesiąt osiem procent. To nie jest margines błędu. To niemal pewność sukcesu dla kogoś, kto wie, co robi.

Dlaczego jednoturowe testy nie wystarczą

Problem metodologiczny jest tu fundamentalny. Standardowe podejście do testowania bezpieczeństwa modeli językowych opiera się na tzw. pojedynczych promptach - jednym zapytaniu, jednej odpowiedzi, ocenie, czy model zachował się właściwie. To wygodne, skalowalne i głęboko mylące. Prawdziwy użytkownik - czy to złośliwy, czy przypadkowo przekraczający granice systemu - nie zadaje jednego pytania i nie odchodzi. Prowadzi rozmowę. Buduje kontekst. Używa wcześniejszych odpowiedzi modelu jako dźwigni do kolejnych pytań.

Model, który grzecznie odmawia w pierwszej turze, może po pięciu wymianach zdań zachowywać się zupełnie inaczej - bo jego własne wcześniejsze odpowiedzi stały się częścią kontekstu, który interpretuje jako normę. To nie jest błąd jednego dostawcy. To strukturalna cecha tego, jak działają duże modele językowe, i żaden z czterech największych graczy - OpenAI, Anthropic, Google, xAI - nie okazał się tu wyjątkiem.

Luka między laboratorium a rzeczywistością

Branża od lat buduje tzw. red teaming jako odpowiedź na pytania o bezpieczeństwo modeli. Firmy chwalą się zewnętrznymi audytami, wewnętrznymi zespołami testującymi, benchmark’ami bezpieczeństwa. Tymczasem jeśli te testy opierają się głównie na jednoturowych interakcjach, całe to ćwiczenie mierzy coś innego niż realne zagrożenie. To trochę jak testowanie zamka drzwiowego, przykładając klucz tylko raz i w jednym kącie - i ogłaszanie certyfikatu bezpieczeństwa na tej podstawie.

Osiemdziesiąt osiem procent to liczba, która powinna zmienić metodologię całej branży, a nie tylko skłonić do aktualizacji jednego modelu.

Wieloturowe ataki są trudniejsze do wykrycia również dlatego, że każda pojedyncza wymiana w takiej rozmowie może wyglądać niewinnie. Napastnik nie pyta od razu o to, czego chce - pyta o coś sąsiedniego, potem o coś jeszcze bardziej peryferyjnego, potem wraca inaczej sformułowanym pytaniem. Model nie widzi intencji, widzi kontekst. A kontekst został starannie zbudowany.

Co to oznacza dla firm wdrażających AI

Większość organizacji, które dziś wdrażają modele językowe w aplikacjach produkcyjnych, polega na zapewnieniach dostawców i wynikach testów bezpieczeństwa przygotowanych przez tych samych dostawców lub zaprzyjaźnione firmy audytorskie. Wyniki z VB Transform 2026 sugerują, że te zapewnienia mogą być wystawiane na podstawie metodologii, która nie testuje najgroźniejszego scenariusza.

Nie twierdzę, że dostawcy modeli działają w złej wierze. Twierdzę, że całe środowisko - od laboratoriów badawczych, przez firmy wdrożeniowe, po organy regulacyjne próbujące napisać sensowne wymagania bezpieczeństwa - utknęło w myśleniu o atakach na AI jako o zdarzeniach atomowych, jednorazowych, dających się ocenić w izolacji. Tymczasem atak wieloturowy jest z natury relacyjny. Rozgrywa się w czasie. Wykorzystuje to, że model pamięta rozmowę.

Sensowna odpowiedź na te ustalenia wymagałaby przemyślenia nie tylko narzędzi testowania, ale też architektury systemów - mechanizmów resetowania kontekstu, monitorowania wzorców rozmów, a nie tylko pojedynczych odpowiedzi, oraz standardów raportowania, które uwzględniają wieloturowe scenariusze jako osobną klasę ryzyka.

Na razie mamy 88% i konferencyjny alarm. Pytanie, czy branża potraktuje to jako sygnał do zmiany metodologii, czy jako kolejny slajd w następnej prezentacji o tym, jak trudne jest bezpieczeństwo AI.

// czytaj dalejModele sztucznej inteligencji jak nowe leki. Czy przed premierą będą musiały przechodzić testy bezpieczeństwa?PremiumMultiverse Computing publikuje na Hugging Face model AI do bezpiecznego generowania tekstuNewsySąd unieważnił czarną listę Pentagonu wobec Anthropic. To nie była ocena bezpieczeństwa - to była zemstaNewsy