Drogi Czytelniku,
9 czerwca Anthropic udostępnił Claude Fable 5 publicznie, a Claude Mythos 5 zweryfikowanym partnerom z obszaru cyberbezpieczeństwa. Oba modele mają obowiązkową 30-dniową retencję danych, która nadpisuje wcześniejsze umowy o zero data retention. Dokumentacja Anthropic mówi wprost: prompty wysłane do tych modeli i wygenerowane odpowiedzi są przechowywane przez 30 dni na każdej platformie, na której modele są dostępne, i to samo obejmie kolejne modele o zbliżonych możliwościach.
Zero data retention to klauzula, bez której bank, ubezpieczyciel albo grupa szpitalna w ogóle nie dopuści modelu frontier do użycia. To zapis w DPA, pod którym podpisuje się inspektor ochrony danych. W czerwcu przestał obowiązywać w dwóch najlepszych modelach Anthropic.
Anthropic wiedział, że straci na tym klientów
Uzasadnienie jest w sierpniowym raporcie ryzyka Anthropic, 186-stronicowym dokumencie opublikowanym w wersji ocenzurowanej. Firma nazywa retencję konieczną, “aby wykrywać i powstrzymywać zaawansowane ataki rozłożone na wiele zapytań”. Zaraz potem podaje koszt tej decyzji: polityka będzie “niepopularna wśród klientów przyzwyczajonych do zerowej retencji i stwarza realne ryzyko dla naszego sukcesu biznesowego (szczególnie jeśli konkurenci nie pójdą tą samą drogą)”.
Anthropic miał rację. OpenAI nie poszedł tą drogą i powiedział to publicznie dwa tygodnie później.
OpenAI znalazł sposób, żeby zrobić to samo bez przechowywania danych
19 sierpnia OpenAI pokazał system o nazwie Private Safety Processing. Wykrywa te same wzorce rozłożone na wiele zapytań, do których zdaniem Anthropic potrzebna jest retencja, ale do OpenAI trafia z niego wyłącznie informacja o tym, że coś jest podejrzane. Prompty i odpowiedzi zostają u klienta. Dane leżą albo na jego infrastrukturze, albo w chmurze OpenAI, zaszyfrowane kluczami, które trzyma klient. System testują Databricks i Microsoft, szersze udostępnienie i dokument techniczny mają być we wrześniu.
Aleah Houze, szefowa polityki produktowej w OpenAI, podała dziennikarzom przykład. Ktoś pyta o słabość w oprogramowaniu firmy w jednej rozmowie, a w kolejnej o zdalny dostęp i o to, co wykrywają narzędzia bezpieczeństwa. Każde pytanie z osobna jest zwyczajne. Razem to rozpoznanie przed atakiem i właśnie po to przechowuje się te dane.
Tego samego dnia OpenAI napisał, że “będzie nadal oferować Zero Data Retention dla modeli frontier”. The Register nazwał ten system dyskretnym, automatycznym nadzorem nad promptami. Oba zdania opisują to samo rozwiązanie: klasyfikatory czytają ruch, a OpenAI go nie zatrzymuje.
Anthropic przeniesie dane do twojej chmury
20 sierpnia Bloomberg i Reuters napisały, że Anthropic utrzyma wymóg 30 dni, ale od jesieni pozwoli klientom korporacyjnym trzymać dane we własnej chmurze zamiast u siebie. Anthropic odmówił komentarza, a obie relacje opierają się na jednym anonimowym źródle. To samo źródło twierdzi, że prace trwają od miesięcy i że w projektowaniu rozwiązania brało udział ponad 100 klientów z branż regulowanych.
W maju rynek oferował jedno rozwiązanie, teraz oferuje trzy. OpenAI nie przechowuje nic. Anthropic przechowuje dane przez 30 dni: dziś na własnych systemach, od jesieni na systemach klienta.
Po co dostawcom te prompty
Powód opisałem w wydaniu 59. Między 9 a 13 lipca dwa modele OpenAI wyszły z izolowanego środowiska testowego i włamały się do produkcyjnej infrastruktury Hugging Face, próbując oszukać benchmark. Ujawniono potem dziewięć podatności zero-day przypisanych tym modelom. Pojedyncze zapytania w tej sekwencji wyglądały jak zwykły ruch testowy. Atak było widać dopiero na całym przebiegu.
Wykrycie tego bez przechowywania danych kosztuje moc obliczeniową. OpenAI przepuszcza każdy próbkowany token przez klasyfikatory, a wszystko podejrzane trafia do automatycznych analizatorów, które mają powiadomić człowieka w ciągu 30 minut. OpenAI podaje, że sam monitoring zużywa około 20% mocy obliczeniowej, którą obejmuje, i nie ujawnił, ile dokłada do tego Private Safety Processing. Anthropic rozwiązał problem, przechowując dane. OpenAI rozwiązał go, kupując więcej mocy obliczeniowej.
Jeszcze jedno. Financial Times podaje, że pod koniec lipca OpenAI rozwiązał swój zespół preparedness i rozdzielił jego zadania między istniejące zespoły dziedzinowe. 18 sierpnia firma wstrzymała znaczną część treningów modelu Astra, bo Astra przekroczyła próg możliwości opisany w Preparedness Framework, i zapowiedziała nową wersję tego dokumentu, bo większość obecnej treści pochodzi z 2023 roku. Zespół, który za ten dokument odpowiadał, rozwiązano trzy tygodnie wcześniej.
To, czego potrzebuje mechanizm wykrywania u dostawcy, wyznacza twój zapis o danych.
Wpływ na polski rynek
UODO opublikował 17 sierpnia wytyczne dotyczące AI w czterech wersjach: dla MŚP korzystających z gotowych narzędzi, dla administracji publicznej, dla organizacji trenujących własne modele oraz w wersji rozszerzonej, obejmującej RODO i AI Act razem. Konsultacje trwają do końca września.
Wytyczne każą ustalić przed zakupem, co dostawca robi z danymi, jak długo je przechowuje i czy przekazuje je podmiotom trzecim. To właściwe pytania, ale zakładają, że odpowiedź pozostanie aktualna. Polski podmiot, który w maju wpisał okres retencji dostawcy do rejestru czynności przetwarzania, musiał od tego czasu poprawić ten wpis dwa razy, a o obu zmianach dowiedział się od dziennikarzy.
W firmach nadzorowanych przez KNF ta sama luka otwiera się w dokumentacji outsourcingowej. Komunikat chmurowy KNF i DORA wymagają udokumentowanego stanowiska, gdzie leżą dane i jak z usługi wyjść. Zapis o retencji, który dostawca może zmienić w trakcie trwania umowy, mówi wyłącznie o stanie z dnia, w którym go spisano.
Pytania do dostawcy
Pięć pytań, na które dostawca może odpowiedzieć na piśmie, a na które jego własna dokumentacja dziś nie odpowiada.
- Co musicie zobaczyć, żeby wykryć nadużycie rozłożone na osobne zapytania: same prompty, czy wystarczy wam informacja wyliczona na ich podstawie?
- Gdzie fizycznie leżą przechowywane dane, w jakim regionie chmury i do kogo należy konto, na którym są trzymane?
- Kto trzyma klucze szyfrujące i czy możecie odszyfrować dane bez nas?
- Z jakim wyprzedzeniem i w jakiej formie poinformujecie nas o kolejnej zmianie?
- Czy nasza dotychczasowa umowa o zerowej retencji obowiązuje jeszcze w którymkolwiek z modeli, które dziś sprzedajecie?
Na czwarte ani Anthropic, ani OpenAI dziś nie odpowiada, a od niego zależy, jak długo odpowiedzi na pozostałe będą aktualne.
Briefing
Pięć miesięcy po włamaniu do LiteLLM skradzione poświadczenia nadal działają. Hudson Rock opublikował analizę archiwum o wielkości 153 GB, zawierającego 433 909 plików wykradzionych w marcowym ataku na łańcuch dostaw, i przypisał 118 829 zrzutów z pipeline’ów CI/CD do 2488 domen korporacyjnych, w tym Nvidii, Volkswagena, Microsoftu, Cisco, Deloitte i Siemensa. 13 sierpnia badacz bezpieczeństwa Kevin Beaumont przetestował poświadczenia dużej amerykańskiej firmy technologicznej, która zapewniała go, że wszystkie zostały wymienione: “Sprawdziłem wszystkie. Prawie każde działało”. Pierwsze relacje skupiły się na 40 minutach, przez które zatrute paczki wisiały na PyPI. Tyle trwała możliwość ich pobrania, a nie sama ekspozycja. Ta trwa od 24 marca do dnia, w którym firma wymieni każde poświadczenie, jakie miały jej pipeline’y. Ostrzeżenie CloudSEK dotyczy każdego, kto w tym czasie korzystał ze wspólnego proxy do modeli LLM: brak podejrzanej aktywności nie dowodzi, że poświadczenia nie zostały skopiowane.
Alphabet stracił w jeden dzień około 186 mld USD wartości rynkowej po odejściu czterech badaczy. Jeff Dean odszedł po 27 latach, żeby założyć Discovery Loop, i zabrał ze sobą Sanjaya Ghemawata, Oriola Vinyalsa i Quoca Le. Tego samego dnia Demis Hassabis przestał kierować DeepMind na co dzień i objął funkcje Chairman of Google DeepMind oraz Chief Scientist w Alphabecie. Sundar Pichai zapowiedział, że Google będzie inwestorem założycielskim nowej spółki (Barchart, Business Insider). Cztery odejścia zdjęły z wyceny 186 mld USD, czyli rynek uznał, że przewaga technologiczna siedzi w konkretnych ludziach, a nie w firmie, która ich zatrudnia. To ryzyko koncentracji po stronie dostawcy, którego procurement nie ma dziś czym mierzyć, i dotyczy każdego czołowego dostawcy modeli, nie tylko Google.
Urząd ds. AI otworzył trzy ścieżki składania skarg. Od 17 sierpnia firmy, które budują własne produkty na cudzych modelach, mogą mailowo zgłaszać do Urzędu naruszenia artykułów 53–55 przez dostawców modeli ogólnego przeznaczenia, a skarżący musi podać swoją tożsamość (PPC Land). Wczesną egzekucję RODO napędzały w dużej mierze anonimowe skargi osób prywatnych. Wymóg podania nazwiska zmienia to, kto będzie takie skargi składał: realnie firmy, dla których wynik sprawy ma wymiar finansowy. Skargi idą przeciwko dostawcom modeli, a nie przeciwko firmom, które te modele wdrażają.
Podsumowanie
Anthropic wycofał zero data retention ze swoich najlepszych modeli 9 czerwca i podtrzymał tę decyzję we własnym raporcie ryzyka w sierpniu. 19 sierpnia OpenAI odpowiedział inną architekturą, a 20 sierpnia Anthropic zmienił politykę. Każdą z tych decyzji podjęły zespoły inżynierii bezpieczeństwa u dostawcy, a klienci dowiedzieli się o nich z prasy.
Obietnica dotycząca danych, którą składa czołowy dostawca modeli, opisuje mechanizm wykrywania działający w dniu jej złożenia. Ten mechanizm zmienia się, kiedy modele robią się sprawniejsze albo kiedy konkurent znajdzie tańszy sposób na to samo zadanie. O obu tegorocznych zmianach klienci przeczytali w prasie, zanim usłyszeli je od dostawcy.
Zachowaj równowagę, Krzysztof
Krzysztof Goworek jest założycielem Quintant — firmy doradczej, która prowadzi przedsiębiorstwa od eksperymentów AI do realnej, mierzalnej wartości.