Németországi kutatók, köztük a Tübingeni Egyetem és a Max Planck Intézet munkatársai egy módszert írtak le, amellyel visszanyerhetők azok a rejtett „reasoning traces” (következtetési nyomok), amelyeket a korszerű nagy nyelvi modellek (LLM-ek) hoznak létre problémamegoldás közben. A vizsgált rendszerek között szerepelnek az OpenAI, az Anthropic és a Google modelljei, amelyekhez API-n keresztül lehet hozzáférni.
Mi történt és hogyan működik a feltárt módszer
A kutatók szerint az érintett szolgáltatók arra optimalizálnak, hogy a modell belső következtetéseinek egy részét titkosítva a felhasználó eszközére küldjék. A támadáshoz az kell, hogy létezzen ugyanabból a modelfajtából egy kisebb, olcsóbb „testvérmodell”, amely megosztja a titkosítás feloldásához szükséges kulcsot, de gyengébb a finomhangolásban és az elutasítási képességekben. Ha a titkosított köztes kimenetet ennek a kisebb modellnek adják támaszként, az képes visszaadni — vagy részben rekonstruálni — a nagy modell belső következtetéseit.
A kutatók beszámolója szerint a visszanyert következtetési nyomok között jelszavak és API-kulcsok is előfordultak, azaz érzékeny adatok is kiszivárogtak a vizsgált esetekben.
Miért jelent ez problémát a gyakorlatban
A jelenség lényege, hogy ez a típusú szivárgás „belső” forrásból ered: nem csak externalizált hibáról vagy egy felhasználói bevitel rossz kezeléséről van szó, hanem az architektúra azon tervezési döntéseiből, amelyek szerint a szolgáltatók a költséghatékonyság érdekében titkosított köztes kimeneteket küldenek és olcsóbb, kevésbé korlátozott kisegítő modelleket is kínálnak.
A szolgáltatók a kutatók szerint múlt hónapban javításokat vezettek be a szivárgás csökkentésére, de a tudósok azt állítják, hogy a következtetési nyomok nem záródtak le teljesen. A kutatók hangsúlyozzák, hogy a probléma nem pusztán egy programhiba: teljes megszüntetéséhez az API-k működésének alapvető újragondolása szükséges, ami jelentős infrastrukturális és gazdasági következményekkel járhat.
Következtetés
A vizsgálat rávilágít, hogy egy nagy modell „privát gondolatai” nem feltétlenül maradnak titokban, ha létezik egy ugyanabból a családból származó, kevésbé korlátozott kisebb modell. A felfedezés azt jelenti, hogy a zárt rendszerek belső védelme nem elégséges: a szolgáltatók által alkalmazott architektúra maga teremthet kikerülhető csatornákat, amelyeken bizalmas információk szivároghatnak.
