Вторични облаци: кръпката на доставчика закъснява

3.10

време за четене: 4 мин.

Когато производител на модели обяви, че е затворил пробойна, повечето организации приемат, че затворената врата е тяхната. Проверката на независим екип показва друго: вратата е затворена там, където стои производителят. На 13 септември същата атака все още работеше, ако заявката минава през Microsoft Azure.

В индустриален коридор техник току-що е затегнал крана на дебела тръба и изтрива ръцете си доволно, а по-нататък по същата тръба втори, съвсем същият кран още е отворен и робот спокойно пълни съд от струята, докато минаваща жена е спряла и гледа втория кран

Какво показва проверката

Екип от осем изследователи публикува през август описание на архитектурен пропуск в начина, по който водещите производители крият разсъжденията на моделите си. Разсъжденията не се пазят на сървъра, а се връщат на клиента като шифровани блокове, които той връща обратно при всяка следваща заявка. Блоковете се шифроват с общи ключове и затова са взаимозаменяеми между сесии, потребители и модели от едно и също семейство.

Оттам идва и самата атака: шифрованият блок на силен модел се подава на по-слаб и по-малко защитен модел от същото семейство с молба да препише „собственото си" разсъждение. По-слабият модел го разчита и го изписва дословно. В първоначалната работа екипът е разшифровал 315 320 блока разсъждения, събрани от публични хранилища, и е възстановил 367 парчета лични данни и 182 данни за достъп.

През септември същият екип публикува одит на внедрените поправки. Проверката е към 13 септември и е направена поотделно за всяка врата, през която може да мине една заявка.

Вторични облаци: защо кръпката стига там по-късно

Резултатът не е еднакъв навсякъде. При прекия програмен интерфейс на OpenAI атаката вече не минава при нито един от четирите проверени модела. При прекия интерфейс на Anthropic - също. Но през Microsoft Azure в същия ден атаката е работела срещу всеки проверен модел на OpenAI, включително най-новия, и срещу моделите на Anthropic до Sonnet 5. Авторите отбелязват, че един-единствен опит за разшифроване връща разсъждението дословно.

Собствената времева линия на одита обяснява разминаването. Първата поправка на прекия интерфейс на OpenAI е от 6 август и се отнася за конкретен модел. На 3 септември крайната точка в Azure е отбелязана като незащитена. Към 13 септември прекият интерфейс вече не пропуска атаката при нито един от четирите проверени модела, а през Azure тя още минава. Поправка там се появява чак на 27 септември. Авторите описват състоянието направо: извличането остава работещо седмици след първичната поправка.

Обяснението им е, че внедрените мерки са частични и стъпват на разпознаване на образци в самите заявки, а не на промяна в устройството. Такава мярка се заобикаля лесно и, което е по-важно тук, се разпространява бавно надолу по веригата от препродавачи. Одитът нарича това изгода от по-слабото звено надолу по веригата: нападателят не пробива защитата на производителя, а просто минава през доставчика, който още не я е въвел. Същият одит отчита и втори начин за извличане, при който на модела се дава помощно поле за писане: той продължава да връща разсъждения при всеки проверен модел на OpenAI и при Opus 4.8 и Sonnet 5, а не го правят само Opus 5, Fable 5 и Fable 5.1.

Нашият анализ

Практическото следствие е неудобно за начина, по който повечето организации купуват. Съобщението „проблемът е отстранен" идва от производителя на модела и важи за неговата собствена врата. Между нея и вратата, през която организацията реално влиза, стои още един доставчик със свой график на обновяване.

Наблюдаваме и защо това се подминава: вторични облаци се избират точно защото махат оперативната работа от клиента. Именно затова никой не проверява кога точно пристига кръпката там - предполага се, че пристига заедно с обявяването ѝ. Одитът показва, че предположението не издържа.

Струва си да се отбележи какво тази проверка не казва. Тя е към 13 септември, а поправката в Azure е от 27 септември, тоест описаното състояние вече е променено. Стойността на находката не е в конкретната дупка, а в измерената разлика между двата графика. Контекстът е, че интересът към тези разсъждения не е теоретичен: в края на септември OpenAI съобщи, че е прекъснала съгласувана кампания за извличането им, започнала през юли. Подобни кампании срещу Claude описахме в по-ранна наша новина.

Какво може да се направи

Запишете през кой доставчик реално минават заявките Ви към модела и дали това е прекият интерфейс на производителя, или препродавач. Този отговор рядко е документиран, а определя за кого важат съобщенията за сигурност.

Следете бележките за промени на двата доставчика поотделно, не само на производителя на модела. И приемете, че между двете дати има прозорец, в който сте изложени, дори когато производителят вече е обявил поправка. Там, където се обработват чувствителни данни, този прозорец е аргумент за пряк договор с производителя, а не за най-удобния посредник.

Заключение

Сигурността на един модел не е свойство на модела, а на пътя до него. Докато този път минава през още един доставчик, съобщението за затворена дупка описва неговото начало, не края му.

Помагаме на български организации да проследят през кого реално минават заявките им към AI модел и къде стои отговорността при инцидент. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при избор между пряк договор с производител на модели и достъп през облачен посредник. [Свържете се с нас за консултация: academy@razvivai.se]