OpenAI udaremnia skoordynowaną kampanię destylacji modeli

Amerykańskie laboratorium badawcze OpenAI poinformowało o zidentyfikowaniu i zneutralizowaniu skoordynowanej operacji, której celem była nieautoryzowana, wroga destylacja modeli sztucznej inteligencji. W opublikowanym 30 września 2026 roku raporcie bezpieczeństwa firma ujawniła, że nieznani sprawcy prowadzili zakrojoną na szeroką skalę kampanię ukierunkowaną na pozyskanie wewnętrznych, chronionych procesów myślowych (protected reasoning). Choć pełna struktura organizacyjna sprawców pozostaje złożona, OpenAI oficjalnie przypisało rdzenny klaster wykrytej aktywności podmiotom powiązanym z chińskim start-upem Moonshot AI, znanym jako deweloper rodziny modeli Kimi.

Cel ataku: ekstrakcja ukrytego toku rozumowania (protected reasoning)

Zjawisko destylacji w uczeniu maszynowym to technika polegająca na trenowaniu mniejszego, bardziej efektywnego modelu na wyjściach generowanych przez potężniejszy system bazowy. Jak jednak zaznacza OpenAI, w tym przypadku doszło do wrogiej destylacji (adversarial distillation) – zorganizowanego i sprzecznego z regulaminem usługi (terms of service) procederu mającego na celu skopiowanie zdolności zaawansowanych systemów bez ponoszenia nakładów na ich wielomiesięczny rozwój.

Przedmiotem ataku było tzw. chronione rozumowanie (protected reasoning). W modelach nowej generacji jest to wewnętrzny rejestr kroków logicznych, które sztuczna inteligencja wykonuje przed sformułowaniem ostatecznej odpowiedzi. O ile użytkownik widzi jedynie gotowy wynik, o tyle surowy proces wnioskowania zawiera szczegółowe łańcuchy dedukcji. Nieuprawnione wydobycie tych danych pozwala nie tylko na replikację zaawansowanych możliwości modelu przez konkurencję, ale niesie również poważne ryzyko dla bezpieczeństwa: umożliwia wytrenowanie modelu pochodnego pozbawionego mechanizmów ochronnych (safety safeguards), które pierwotny twórca nałożył na publiczne wyjścia.

Anatomia manipulacji: luki cross-model i odtwarzanie szyfrowanych artefaktów

Przedstawiciele OpenAI podkreślili, że kampania nie wiązała się z przełamaniem zabezpieczeń kryptograficznych, naruszeniem baz danych ani bezpośrednim włamaniem do kont innych użytkowników. Zamiast tego operatorzy manipulowali samym procesem interakcji z modelami.

Atakujący kopiowali zaszyfrowane fragmenty rozumowania wygenerowane w jednej sesji dialogowej, a następnie przesyłali je do modelu w ramach innej konwersacji, instruując go, by odszyfrował i przepisał ukrytą zawartość w formie czytelnej dla pytającego. W identyfikacji i zrozumieniu tego wektora ataku pomogli niezależni badacze bezpieczeństwa, którzy w ramach odpowiedzialnego ujawniania podatności (responsible disclosure) zgłosili błędy związane z izolacją kontekstów (cross-model) oraz mechanizmami kompresji dialogów (conversation-compaction). Ich ustalenia potwierdziły realność wektorów ataku i pozwoliły OpenAI na przyspieszenie prac nad łatami systemowymi.

Kalendarium i skala operacji: od 1 lipca do paraliżu kampanii 28 lipca

Zgodnie z ujawnionymi danymi operacja nie była incydentem jednorazowym, lecz ewoluującym przedsięwzięciem rozłożonym na niemal cały lipiec 2026 roku:

• 1 lipca 2026 r.: Zespół bezpieczeństwa OpenAI zarejestrował pierwsze nietypowe zapytania o niskiej częstotliwości, wskazujące na testowanie zachowań filtrów.
• 24–25 lipca 2026 r.: Nastąpiła gwałtowna eskalacja działań. W ciągu zaledwie dwóch dni odnotowano 16 000 żądań (requests) wykorzystujących specyficzny schemat ekstrakcji, wysłanych z ponad 4 000 kont użytkowników. OpenAI precyzuje, że liczba 16 000 odzwierciedla odnotowane próby ekstrakcji, a nie działania zakończone sukcesem.
• 28 lipca 2026 r.: Po wykryciu powiązanego klastra liczącego łącznie ponad 15 000 kont stosujących analogiczne wzorce promptów, OpenAI wdrożyło blokady, które całkowicie zneutralizowały opisywaną kampanię.

Wielopoziomowa obrona: filtry strumieniowania, blokady kont i Frontier Model Forum

Odpowiedź OpenAI objęła działania wielotorowe. W warstwie administracyjnej zablokowano lub ograniczono tysiące zaangażowanych kont, wzmocniono procedury weryfikacji podczas rejestracji oraz rozszerzono monitorowanie infrastruktury sieciowej. Z uwagi na to, że część ruchu kierowana była przez pośredników, podjęto bezpośrednią współpracę z zewnętrznymi dostawcami usług cyfrowych (third-party services) w celu odcięcia infrastruktury nadużywanej przez operatorów.

W warstwie czysto technicznej inżynierowie zamknęli ścieżkę odtwarzania (replay pathway), uniemożliwiając wykorzystanie cudzych zaszyfrowanych artefaktów do odzyskania toku myślowego. Wprowadzono także mechanizmy inspekcji odpowiedzi generowanych w czasie rzeczywistym – systemy te wychwytują i wstrzymują strumieniowany tekst (streamed output), jeśli zachodzi podejrzenie, że zawiera on nieuprawnione fragmenty ukrytego rozumowania.

Uznając wrogą destylację za wyzwanie dotyczące całego ekosystemu sztucznej inteligencji, OpenAI przekazało szczegółowe raporty techniczne partnerom branżowym zrzeszonym w Frontier Model Forum oraz odpowiednim agencjom rządowym.

Ryzyko dual-use i konsekwencje dla całego ekosystemu AI

Ujawniony incydent rzuca światło na narastający problem ochrony własności intelektualnej oraz kwestie bezpieczeństwa narodowego w erze zaawansowanych systemów wnioskujących. Nieautoryzowane pozyskiwanie chronionych łańcuchów logicznych stwarza ryzyko niekontrolowanego transferu technologii podwójnego zastosowania (dual use), w tym kompetencji z zakresu cyberbezpieczeństwa czy nauk ścisłych, do podmiotów niepoddających się zachodnim standardom audytu bezpieczeństwa.

Sprawa powiązań z Moonshot AI wpisuje się również w szerszy kontekst rywalizacji technologicznej pomiędzy Stanami Zjednoczonymi a Chinami. Zaledwie we wrześniu 2026 roku podobne obawy dotyczące nieuprawnionego transferu zdolności modeli poprzez zapytania API zgłaszało laboratorium Anthropic. W miarę jak czołowe laboratoria inwestują miliardy dolarów w systemy logicznego wnioskowania, obrona przed wrogą destylacją modeli staje się jednym z kluczowych frontów walki o integralność systemów sztucznej inteligencji.