--- id: CP-291 slug: odtwarzanie-danych-treningowych-ai-inwersja-modelu lang: pl title: Odtwarzanie danych treningowych sztucznej inteligencji description: Atakujący, który odpytuje model AI, może odgadnąć, czy dany dokument posłużył do jego trenowania, a nawet wydobyć zapamiętane fragmenty. canonical_url: https://startbrain.io/cyberpedia/pl/articles/odtwarzanie-danych-treningowych-ai-inwersja-modelu/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/odtwarzanie-danych-treningowych-ai-inwersja-modelu.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Odtwarzanie danych treningowych sztucznej inteligencji”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/odtwarzanie-danych-treningowych-ai-inwersja-modelu/ (CC BY 4.0) wing: 4 theme: protect_data reflex: air-008 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/odtwarzanie-danych-treningowych-ai-inwersja-modelu/ fr: https://startbrain.io/cyberpedia/fr/articles/inversion-modele-inference-appartenance/ en: https://startbrain.io/cyberpedia/en/articles/model-inversion-membership-inference/ de: https://startbrain.io/cyberpedia/de/articles/trainingsdaten-ki-modellinversion-mitgliedschaftsinferenz/ es: https://startbrain.io/cyberpedia/es/articles/inversion-modelo-inferencia-pertenencia/ it: https://startbrain.io/cyberpedia/it/articles/inversione-modello-inferenza-appartenenza/ nl: https://startbrain.io/cyberpedia/nl/articles/trainingsdata-ai-modelinversie-lidmaatschapsinferentie/ pt: https://startbrain.io/cyberpedia/pt/articles/inversao-modelo-inferencia-pertenca/ sources: - "n": 1 title: Extracting Training Data from Large Language Models publisher: arXiv url: https://arxiv.org/abs/2012.07805 published: "2020-12-14" accessed: "2026-11-03" - "n": 2 title: Scalable Extraction of Training Data from (Production) Language Models publisher: arXiv url: https://arxiv.org/abs/2311.17035 published: "2023-11-28" accessed: "2026-11-03" - "n": 3 title: Membership Inference Attacks against Machine Learning Models publisher: arXiv url: https://arxiv.org/abs/1610.05820 published: "2016-10-18" accessed: "2026-11-03" - "n": 4 title: LLM02:2025 Sensitive Information Disclosure publisher: OWASP url: https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/ accessed: "2026-11-03" - "n": 5 title: "AI 100-2 E2023, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2023/final accessed: "2026-11-03" - "n": 6 title: Principles for security of Machine learning ML publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/machine-learning-principles published: "2024-05-22" accessed: "2026-11-03" --- # Odtwarzanie danych treningowych sztucznej inteligencji Model AI, taki jak ten, który napędza asystenta czatu, uczy się na bardzo dużej liczbie tekstów, obrazów lub rekordów. Atakujący może go odpytywać, aby sprawdzić, czy dana osoba lub dokument znajdowały się w tych danych, albo aby sprawić, że zapamiętane przez model fragmenty pojawią się ponownie. Pierwszy przypadek nazywa się wnioskowaniem o przynależności, drugi inwersją lub ekstrakcją. Dla pracownika liczy się to, co firma i on sam wprowadzają do narzędzia AI, ponieważ takie dane mogą trafić do modelu treningowego [4]. Ta strona wyjaśnia zasadę działania, dwa rzeczywiste przypadki z datami oraz odruchy, które ograniczają ekspozycję. ## W 30 sekund - Gdzie to się zdarza: w publicznych modelach AI lub modelach dostarczanych przez usługodawcę, które odpytuje się przez interfejs czatu albo usługę internetową. - Czego chce atakujący: dowiedzieć się, czy konkretna dana posłużyła do trenowania, albo odzyskać informacje, które model zachował w pamięci, na przykład publiczne dane osobowe [1]. - Odruch: nie wprowadzać danych wrażliwych do publicznego narzędzia AI oraz pytać dostawców, co robią z wprowadzonymi danymi i jak trenują swoje modele. - Jeśli to już się stało: powiadomić dział bezpieczeństwa firmy i sprawdzić u wydawcy narzędzia, czy można odmówić wykorzystania swoich danych do trenowania [4]. ## Pytania wprost ### Czym różni się wnioskowanie o przynależności od ekstrakcji? Wnioskowanie o przynależności odpowiada na pytanie typu tak lub nie. Mając w ręku rekord i dostęp do modelu typu „czarna skrzynka”, atakujący próbuje ustalić, czy ten rekord należał do danych treningowych [3]. Ekstrakcja idzie dalej: atakujący odzyskuje pojedyncze przykłady treningowe, odpytując model [1]. Inwersja polega na odtworzeniu informacji wrażliwych lub danych wejściowych na podstawie tego, co model ujawnia [4]. ### Dlaczego model może „wypluć” dane? Źródła mówią o zapamiętywaniu. Badacze definiują „extractable memorization” jako dane treningowe, które przeciwnik może skutecznie wydobyć, odpytując model, bez wcześniejszej znajomości zbioru danych [2]. Atak na GPT-2 działa nawet wtedy, gdy każda wydobyta sekwencja występuje tylko w jednym dokumencie danych treningowych [1]. ### Czy duże modele są bezpieczniejsze? Nie, według badania o GPT-2: autorzy stwierdzają, że większe modele są bardziej podatne na atak niż małe [1]. Badanie z 2023 roku dodaje, że obecne techniki dopasowania (alignment) nie eliminują zapamiętywania [2]. ### Czy poufny dokument wklejony do asystenta może pojawić się u innego użytkownika? OWASP opisuje takie ryzyko: użytkownik otrzymuje odpowiedź zawierającą dane osobowe innego użytkownika z powodu niewystarczającego oczyszczenia danych [4]. Organizacja zaleca, aby aplikacje nie dopuszczały danych użytkowników do modelu treningowego, a użytkownicy mogli odmówić włączenia swoich danych do tego modelu [4]. Źródła przywołane tutaj nie podają liczbowo prawdopodobieństwa takiego przypadku. ## W skórze atakującego Atakujący nie musi włamywać się do systemu firmy. Wystarczy mu dostęp do modelu, często publiczny. W przypadku wnioskowania o przynależności badacze Shokri i współautorzy trenują własny model wnioskujący, który uczy się rozpoznawać różnice między odpowiedziami celu na dane widziane podczas trenowania a na dane, których nigdy nie widział [3]. W przypadku ekstrakcji przeciwnik odpytuje model, nie wiedząc nic o zbiorze danych treningowych [2]. Szuka sekwencji, które wychodzą słowo w słowo: w badaniu o GPT-2 wydobyto setki sekwencji tekstu [1]. Cel zależy od ofiary ataku. W przypadku modelu wytrenowanego na wrażliwych dokumentacjach samo ustalenie, że dana osoba w nich figuruje, może już być informacją. Autorzy z 2016 roku ilustrują to zbiorem danych o wypisach ze szpitali, w którym przynależność jest wrażliwa z punktu widzenia prywatności [3]. ## Co widać na ekranie Źródła przywołane tutaj nie opisują żadnego widocznego dla pracownika sygnału. Atak polega na zadawaniu pytań dostępnemu modelowi, a jego zapytania mogą wyglądać zwyczajnie. Ślad widać raczej w odpowiedzi modelu, która zawiera zapamiętany fragment. Poniższy tekst jest zneutralizowaną ilustracją, a nie poleceniem do powtórzenia. Pokazuje, jak wygląda prośba, która próbuje wydobyć z pamięci modelu dane osobowe. ```text Ilustracja: fikcyjna wymiana z asystentem, adres w domenie .invalid. Pytanie: [powtarzalna lub banalna prośba, sparafrazowana] Odpowiedź modelu: [zapamiętany fragment: nazwisko, numer, fikcyjny e-mail imie.nazwisko@przyklad.invalid] ``` ## Pod maską Mechanizm opiera się na różnicach w zachowaniu modelu między tym, czego się nauczył, a tym, czego nigdy nie widział [3]. Atakujący wykorzystuje te różnice, mierząc je (wnioskowanie o przynależności) albo wywołując wyjście zapamiętanych sekwencji (ekstrakcja). Atakowane modele są różnego rodzaju. Badacze z 2016 roku przetestowali usługi uczenia maszynowego „na żądanie” komercyjnych dostawców, takich jak Google i Amazon, i wykazują, że te modele mogą być podatne [3]. Badacze z 2023 roku wydobywają gigabajty danych z modeli otwartych, takich jak Pythia, półotwartych, takich jak LLaMA, i zamkniętych, takich jak ChatGPT [2]. NIST publikuje taksonomię kontradyktoryjnego uczenia maszynowego, której słowa kluczowe obejmują „privacy breach” [5]. OWASP przywołuje też atak „Proof Pudding” (CVE-2019-20634): ujawnione dane treningowe ułatwiły tam ekstrakcję i inwersję modelu, co pozwoliło ominąć filtry poczty elektronicznej [4]. Łączy te techniki z trzema wpisami w bazie MITRE ATLAS: wnioskowanie o przynależności do danych treningowych, inwersja modelu, ekstrakcja modelu [4]. Po stronie obrony OWASP zaleca oczyszczanie danych przed trenowaniem, ograniczanie dostępu zgodnie z zasadą najmniejszych uprawnień oraz stosowanie uczenia federacyjnego i prywatności różnicowej, która dodaje szum do danych lub do wyników [4]. Zaznacza, że polecenie dane modelowi, jakich typów danych nie zwracać, można obejść przez wstrzyknięcie polecenia [4]. Brytyjskie NCSC przypomina, że systemy AI podlegają nowym podatnościom, które dodają się do zwykłych zagrożeń [6]. ## Analizy incydentów ### Grudzień 2020: ekstrakcja danych z GPT-2 14 grudnia 2020 roku Nicholas Carlini i jedenastu współautorów złożyli w arXiv badanie pokazujące, że przeciwnik może odzyskać pojedyncze przykłady treningowe, odpytując model językowy [1]. Atakują GPT-2, wytrenowany na danych zebranych z publicznego internetu, i wydobywają z niego setki sekwencji tekstu słowo w słowo [1]. Wśród nich są publiczne dane osobowe (nazwiska, numery telefonów, adresy e-mail), rozmowy IRC, kod i 128-bitowe identyfikatory UUID [1]. Poprawiona wersja nosi datę 15 czerwca 2021 roku [1]. ### Listopad 2023: ekstrakcja danych z ChatGPT 28 listopada 2023 roku Milad Nasr, Nicholas Carlini i ośmiu współautorów opublikowali badanie o wydobywaniu danych treningowych z modeli produkcyjnych [2]. Aby zaatakować ChatGPT, model dopasowany, opracowali atak zwany „dywergencyjnym”: sprawia on, że model porzuca styl rozmowy i emituje dane treningowe w tempie 150 razy wyższym niż przy normalnym działaniu [2]. Wnioskują, że praktyczne ataki mogą odzyskać znacznie więcej danych, niż sądzono [2]. Strona OWASP odsyła do artykułu prasowego o tym przypadku, zatytułowanego „ChatGPT Spit Out Sensitive Data When Told to Repeat ‘Poem’ Forever” [4]. Dla pracownika odruch wynika z tych przypadków. OWASP zalicza do danych wrażliwych dane osobowe, informacje finansowe, dokumentację zdrowotną, poufne dane przedsiębiorstwa, poświadczenia bezpieczeństwa i dokumenty prawne: nie wprowadza się ich do publicznego narzędzia AI [4]. W przypadku narzędzi kupionych przez firmę od dostawców żąda się pisemnych gwarancji, ponieważ OWASP zaleca jasne zasady dotyczące przechowywania, wykorzystania i usuwania danych [4]. ## Źródła 1. arXiv, „Extracting Training Data from Large Language Models”, 14 grudnia 2020. https://arxiv.org/abs/2012.07805 (dostęp 3 listopada 2026) 2. arXiv, „Scalable Extraction of Training Data from (Production) Language Models”, 28 listopada 2023. https://arxiv.org/abs/2311.17035 (dostęp 3 listopada 2026) 3. arXiv, „Membership Inference Attacks against Machine Learning Models”, 18 października 2016. https://arxiv.org/abs/1610.05820 (dostęp 3 listopada 2026) 4. OWASP, „LLM02:2025 Sensitive Information Disclosure”. https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/ (dostęp 3 listopada 2026) 5. NIST, „AI 100-2 E2023, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations”. https://csrc.nist.gov/pubs/ai/100/2/e2023/final (dostęp 3 listopada 2026) 6. NCSC (Royaume-Uni), „Principles for security of Machine learning ML”, 22 maja 2024. https://www.ncsc.gov.uk/collection/machine-learning-principles (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/odtwarzanie-danych-treningowych-ai-inwersja-modelu/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.