Исследователи Microsoft рассказали о новом векторе кибератаки под кодовым названием Whisper Leak. Он позволяет злоумышленникам вычислять, о чём человек разговаривает с искусственным интеллектом, даже если весь трафик зашифрован.
Наблюдая за сетевым трафиком между пользователем и языковой моделью, атакующий может анализировать размеры и интервалы передачи пакетов, чтобы определить тему диалога.
При этом содержимое сообщений остаётся зашифрованным, но характер обмена данными оказывается достаточно информативным, чтобы классифицировать разговор.
Как предупредила Microsoft, в зоне риска находятся пользователи, чей трафик может быть перехвачен — например, на уровне интернет-провайдера, в локальной сети или при подключении к общему Wi-Fi.
Исследователи отмечают, что атака может применяться для слежки за темами вроде финансовых операций, политических обсуждений или других конфиденциальных запросов.
Whisper Leak использует особенности потоковой генерации ответов (streaming mode), когда языковая модель отправляет текст постепенно, а не целиком после завершения обработки. Это даёт злоумышленнику возможность фиксировать различия в размерах и частоте пакетов данных, а затем с помощью алгоритмов машинного обучения — таких как LightGBM, Bi-LSTM и BERT — определять, к какой теме относится запрос.
По данным Microsoft, при тестировании многие модели — включая решения от Alibaba, DeepSeek, Mistral, Microsoft, OpenAI и xAI — показали точность классификации выше 98%. У моделей Google и Amazon результаты были лучше за счёт иной архитектуры, но и они оказались не полностью защищены.
После уведомления об уязвимости компании OpenAI, Microsoft, Mistral и xAI внедрили меры защиты. Одним из эффективных методов стало добавление случайных текстовых вставок переменной длины в ответы модели. Это делает размеры пакетов менее предсказуемыми и мешает анализировать поток данных.
Microsoft также рекомендует пользователям избегать обсуждения конфиденциальных тем при работе с чат-ботами через общественные сети, использовать VPN, по возможности выбирать непотоковые версии моделей и отдавать предпочтение сервисам, уже внедрившим защиту от подобных атак.
По сути, Whisper Leak показывает, что даже шифрование не всегда гарантирует приватность, если злоумышленник умеет «слушать» не слова, а ритм и объём разговора с искусственным интеллектом.
Подробнее о тёмной стороне искусственного интеллекта, а также угрозах, которые он несёт, можно почитать в нашей статье.
Сергей Хайрук, аналитик InfoWatch:
«С начала 2014 года мы зафиксировали чуть менее 80 утечек данных из американских учебных заведений. В подавляющем большинстве это утечки злонамеренного характера. Злоумышленники буквально охотятся за персональными данными студентов, преподавателей, выпускников, пользуясь относительно слабой защитой ПДн в вузах. Так в феврале 2014 года стало известно об инциденте в университете Северной Дакоты. Тогда утекло около 300 тыс. записей. От столь же масштабной утечки пострадал университет Мэриленда. Данные 146 тыс. человек скомпрометированы в университете Индианы. Если несколько лет назад сравнительно большая доля утечек из учебных заведений объяснялась халатностью персонала, сейчас впору говорить о целенаправленном интересе мошенников к университетским базам данных».