OpenAI ujawniło szczegóły dużej kampanii, której celem miało być wydobycie chronionego „rozumowania” z modeli firmy i wykorzystanie go do rozwijania konkurencyjnych systemów sztucznej inteligencji. Firma twierdzi, że główny klaster podejrzanej aktywności był powiązany z osobami związanymi z chińskim Moonshot AI, twórcą modeli Kimi.
Skala operacji była znaczna. W ciągu zaledwie dwóch dni, 24 i 25 lipca, OpenAI wykryło około 16 tys. żądań wykorzystujących charakterystyczny schemat mający służyć do wydobywania chronionych informacji. Żądania pochodziły od ponad 4 tys. użytkowników. Późniejsze dochodzenie wykazało podobną aktywność w grupie obejmującej ponad 15 tys. użytkowników.
OpenAI twierdzi, że całą kampanię udało się ostatecznie przerwać 28 lipca.
Nie włamali się do bazy OpenAI
Sprawa jest o tyle nietypowa, że nie chodziło o klasyczne włamanie do infrastruktury OpenAI. Według firmy atakujący nie złamali szyfrowania, nie uzyskali bezpośredniego dostępu do baz danych ani do przechowywanych rozmów użytkowników.
Zamiast tego wykorzystali sposób działania samych modeli.
OpenAI określa tę technikę mianem adversarial distillation, czyli wrogiej destylacji modelu. Chodzi o systematyczne wykorzystywanie odpowiedzi jednego modelu do odtworzenia jego możliwości w innym systemie.
W tym przypadku operatorzy mieli próbować wydobywać informacje dotyczące wewnętrznego procesu rozumowania modeli. OpenAI stosuje mechanizmy, które mają chronić tę część działania systemu przed bezpośrednim ujawnieniem użytkownikowi.
Według firmy odkryta metoda polegała między innymi na kopiowaniu zaszyfrowanych danych dotyczących rozumowania z jednej rozmowy, a następnie przekazywaniu ich w innej rozmowie z prośbą o odszyfrowanie i przepisanie ukrytej treści.
Nie oznacza to jednak, że napastnicy „złamali” samo szyfrowanie. OpenAI podkreśla, że wykorzystano sposób, w jaki dane były obsługiwane przez modele i poszczególne sesje.
Ponad 15 tysięcy użytkowników
Pierwsze ślady kampanii pojawiły się 1 lipca. Początkowo aktywność była niewielka, ale później gwałtownie wzrosła.
Największy skok nastąpił 24 i 25 lipca. OpenAI odnotowało wtedy 16 tys. żądań wykorzystujących określony schemat ekstrakcji pochodzących od ponad 4 tys. użytkowników.
Dalsza analiza wykazała jednak znacznie szerszą działalność. Podobne wzorce zapytań znaleziono w grupie liczącej ponad 15 tys. użytkowników.
OpenAI zaznacza, że nie wszystkie osoby korzystające z tych kont musiały mieć świadomość, do czego były one wykorzystywane. Firma nie twierdzi również, że wszystkie obserwowane działania były prowadzone przez jeden podmiot.
Jednocześnie wskazuje, że główny klaster aktywności był związany z osobami powiązanymi z Moonshot AI. To chińska firma stojąca za rodziną modeli Kimi.
Moonshot AI i Kimi ponownie pojawiają się w centrum uwagi
To szczególnie istotny fragment całej historii. Moonshot AI jest jednym z chińskich laboratoriów, które w ostatnich miesiącach bardzo szybko zwiększyły swoje możliwości w dziedzinie sztucznej inteligencji.
Firma rozwija modele Kimi, w tym Kimi K3. Zwrócił on uwagę światowej branży AI możliwościami w zakresie programowania, rozumowania i pracy z bardzo dużym kontekstem.
Teraz OpenAI twierdzi, że osoby związane z Moonshot AI znalazły się w centrum kampanii mającej na celu pozyskanie chronionych możliwości jego modeli.
OpenAI nie przedstawia jednak publicznie wszystkich szczegółów pozwalających niezależnie zweryfikować przypisanie poszczególnych działań Moonshot AI. Firma zaznacza jednocześnie, że nie jest pewne, czy wszyscy operatorzy obserwowani w trakcie kampanii byli ze sobą powiązani.
To ważne rozróżnienie. Nie mamy więc do czynienia z twierdzeniem, że „Moonshot AI przeprowadził całą operację”, lecz z informacją OpenAI, że rdzeń wykrytej aktywności przypisano osobom związanym z chińską firmą.
Wcześniej pisaliśmy o podobnej sprawie dotyczącej Anthropic
Nie jest to pierwszy przypadek, gdy chińskie laboratoria AI są oskarżane o wykorzystywanie modeli amerykańskich konkurentów do rozwijania własnych systemów.
Na łamach PortalTechnologiczny.pl pisaliśmy już wcześniej m.in. o ujawnionej przez Anthropic próbie pozyskiwania danych i możliwości jego modeli. Anthropic informował, że wykrył i przerwał działania związane z nieautoryzowaną destylacją modeli Claude.
Wśród firm, które Anthropic łączył z takimi działaniami, znalazł się również Moonshot AI. Firma wskazywała, że chińskie laboratoria próbowały wykorzystywać dostęp do Claude’a, aby uzyskiwać ogromne ilości odpowiedzi, a następnie używać ich jako materiału do trenowania własnych modeli.
Anthropic informował również o wykorzystywaniu pośredników, tzw. proxy services, oraz skradzionych kluczy API. Według firmy część takich operacji była nastawiona na uzyskanie dostępu do możliwości modeli. Ich samodzielne stworzenie wymagałoby ogromnych nakładów obliczeniowych i finansowych.
Nowe informacje od OpenAI pokazują więc szerszy problem. Największe modele AI stały się nie tylko produktami, ale również źródłem niezwykle wartościowych danych treningowych i możliwości, które konkurenci próbują odtwarzać.
Dlaczego „destylacja” jest tak ważna?
Budowa nowoczesnego modelu AI wymaga ogromnych ilości danych, mocy obliczeniowej, czasu oraz pieniędzy. Jeżeli konkurencyjny system może uzyskać dostęp do tysięcy lub milionów wysokiej jakości odpowiedzi generowanych przez zaawansowany model, część tej pracy można znacząco uprościć.
Nie oznacza to automatycznie, że z samych odpowiedzi da się stworzyć identyczny model. Destylacja pozwala jednak uczyć mniejszy lub inny model określonych zachowań i sposobów rozwiązywania problemów na podstawie odpowiedzi bardziej zaawansowanego systemu.
W przypadku chronionego rozumowania stawka jest jeszcze większa. OpenAI uważa, że dostęp do takich informacji może pozwolić na odtwarzanie zaawansowanych zdolności bez ponoszenia porównywalnych kosztów związanych z ich opracowaniem oraz zabezpieczeniem.
Firma wskazuje również na aspekt bezpieczeństwa. Jeżeli konkurencyjny model nauczy się możliwości systemu bez przejęcia stosowanych w nim zabezpieczeń, może potencjalnie uzyskać część jego zdolności bez ograniczeń, które zostały nałożone na oryginalny model.
OpenAI zaostrza zabezpieczenia
Po wykryciu kampanii OpenAI zablokowało powiązane konta, zaostrzyło mechanizmy kontroli podczas rejestracji oraz zwiększyło monitoring infrastruktury.
Firma zamknęła również ścieżkę, która pozwalała osobie posiadającej zaszyfrowane dane dotyczące rozumowania z jednej rozmowy wykorzystać je ponownie w innym kontekście i odzyskać ich treść.
OpenAI poinformowało także o przekazaniu informacji na temat kampanii innym firmom zajmującym się rozwojem zaawansowanych modeli AI za pośrednictwem Frontier Model Forum oraz kanałów wymiany informacji z instytucjami rządowymi.
Wyścig o modele AI wchodzi w nową fazę
Historia OpenAI i Moonshot AI pokazuje, że rywalizacja pomiędzy laboratoriami sztucznej inteligencji coraz mniej przypomina zwykłą konkurencję produktową.
Firmy walczą nie tylko o użytkowników i klientów, ale również o dostęp do danych, mocy obliczeniowej, modeli oraz metod pozwalających szybko zwiększać możliwości kolejnych systemów.
Dla OpenAI i Anthropic oznacza to konieczność ochrony nie tylko samych modeli, ale także sposobów ich działania. Dla konkurentów możliwość wykorzystania odpowiedzi najlepszych systemów może natomiast oznaczać drogę do znacznie szybszego nadrabiania technologicznego dystansu.
Jedno jest już wyraźne: „destylacja” modeli AI staje się jednym z najważniejszych problemów bezpieczeństwa i własności intelektualnej w światowym wyścigu o sztuczną inteligencję. A fakt, że w kolejnej tego typu sprawie pojawia się chiński Moonshot AI, nadaje całej historii dodatkowego znaczenia.
Źródła
- OpenAI – Disrupting a coordinated model-distillation campaign
- Anthropic – Detecting and countering misuse of AI: September 2026
Marcin Kaczmarczyk
Foto: ChatGPT Images.