--- id: CP-258 slug: tokenizacja-llm-fragmenty lang: pl title: Tokenizacja w modelach LLM description: Model językowy czyta fragmenty tekstu, a nie zdania. Co to oznacza dla pracownika i jakie pułapki bezpieczeństwa się z tym wiążą. canonical_url: https://startbrain.io/cyberpedia/pl/articles/tokenizacja-llm-fragmenty/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/tokenizacja-llm-fragmenty.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Tokenizacja w modelach LLM”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/tokenizacja-llm-fragmenty/ (CC BY 4.0) wing: 4 theme: understand_ai reflex: air-005 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/tokenizacja-llm-fragmenty/ fr: https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/ en: https://startbrain.io/cyberpedia/en/articles/llm-tokenization-explained/ de: https://startbrain.io/cyberpedia/de/articles/tokenisierung-llm-textfragmente/ es: https://startbrain.io/cyberpedia/es/articles/tokenizacion-llm-fragmentos/ it: https://startbrain.io/cyberpedia/it/articles/tokenizzazione-llm-frammenti/ nl: https://startbrain.io/cyberpedia/nl/articles/tokenisatie-llm-tekstfragmenten/ pt: https://startbrain.io/cyberpedia/pt/articles/tokenizacao-llm-fragmentos/ sources: - "n": 1 title: Neural Machine Translation of Rare Words with Subword Units publisher: arXiv url: https://arxiv.org/abs/1508.07909 published: "2015-08-31" accessed: "2026-11-03" - "n": 2 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ published: "2024-04-10" accessed: "2026-11-03" - "n": 3 title: "SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing" publisher: arXiv url: https://arxiv.org/abs/1808.06226 published: "2018-08-19" accessed: "2026-11-03" - "n": 4 title: Language Models are Few-Shot Learners publisher: arXiv url: https://arxiv.org/abs/2005.14165 published: "2020-05-28" accessed: "2026-11-03" - "n": 5 title: Guidelines for secure AI system development publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development published: "2023-11-27" accessed: "2026-11-03" - "n": 6 title: Universal and Transferable Adversarial Attacks on Aligned Language Models publisher: arXiv url: https://arxiv.org/abs/2307.15043 published: "2023-07-27" accessed: "2026-11-03" - "n": 7 title: "Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2023/final accessed: "2026-11-03" --- # Tokenizacja w modelach LLM Gdy piszemy do asystenta AI, mamy wrażenie, że czyta zdania tak jak współpracownik. Badania, na których opiera się ta fiszka, opisują inny mechanizm: rzadkie słowa są kodowane jako ciągi jednostek mniejszych niż słowo, nazywanych tu fragmentami (albo tokenami) [1]. Fiszka wyjaśnia tę ideę prostymi słowami, a następnie pokazuje, co pracownik może z niej wyciągnąć, by formułować polecenia, sprawdzać odpowiedzi i unikać kilku pułapek bezpieczeństwa. Źródła zebrane w dokumentacji opisują dzielenie tekstu oraz ataki z użyciem tekstu wprowadzającego w błąd. Nie mierzą ani kosztu pojedynczej wymiany, ani wielkości okna kontekstu konkretnego produktu, dlatego te kwestie nie są tu omawiane. ## W 30 sekund - Gdzie to się zdarza: za każdym razem, gdy wklejają Państwo tekst, nazwisko lub dokument do asystenta AI albo proszą go o streszczenie strony. - Czego chce atakujący: sprawić, by model przeczytał instrukcje, których Państwo nie widzą, ponieważ wstrzyknięcie polecenia może być niezauważalne dla człowieka [2]. - Odruch: formułować precyzyjne polecenia, sprawdzać liczby i cytaty w źródle i nigdy nie wklejać danych wrażliwych do narzędzia, które nie zostało zatwierdzone. - Jeśli już się stało: proszę powiadomić zespół ds. bezpieczeństwa, podając użyte narzędzie i rodzaj wklejonych danych. ## Pytania wprost ### Czy model językowy czyta słowa tak, jak je zapisujemy? Nie dosłownie. W 2015 roku badacze opisali, w kontekście tłumaczenia maszynowego, modele pracujące ze stałym słownikiem, choć tłumaczenie jest problemem otwartego słownika [1]. Ich rozwiązanie polega na kodowaniu słów rzadkich lub nieznanych jako ciągów jednostek mniejszych niż słowo [1]. ### Jak tekst jest dzielony? Autorzy z 2015 roku porównują kilka technik segmentacji, w tym proste modele ciągów znaków oraz segmentację opartą na algorytmie kompresji „byte pair encoding” [1]. Mierzą zysk 1,1 punktu BLEU dla tłumaczenia z angielskiego na niemiecki i 1,3 dla tłumaczenia z angielskiego na rosyjski w porównaniu z metodą zapasową opartą na słowniku [1]. ### Czy zależy to od języka? Narzędzie SentencePiece, przedstawione w 2018 roku przez Taku Kudo i Johna Richardsona, opisuje się jako niezależny od języka podział na podjednostki [3]. Uczy się swoich jednostek bezpośrednio na surowych zdaniach, podczas gdy istniejące narzędzia zakładały tekst już podzielony na słowa [3]. Jest udostępnione jako open source na licencji Apache 2 [3]. Cytowane tu źródła nie mierzą, w jakim stopniu jeden język jest obsługiwany gorzej niż inny: to pytanie pozostaje tu otwarte. ### Dlaczego rzadkie nazwisko lub wymyślone słowo sprawia kłopot? Intuicja artykułu z 2015 roku jest taka, że nazwy własne, wyrazy złożone i zapożyczenia lepiej tłumaczy się po kawałku niż jako całe słowa [1]. Słowa rzadkie są kodowane jako podjednostki [1]. Związek z błędami przy rzadkich nazwiskach to interpretacja autorów tej fiszki, a nie wynik zmierzony w źródłach. ### Czy modele mają znane ograniczenia? Model GPT-3, przedstawiony w 2020 roku z 175 miliardami parametrów, otrzymuje zadania i przykłady wyłącznie w formie tekstu [4]. Jego autorzy zauważają, że radzi sobie z zadaniami takimi jak układanie słów w poprawnej kolejności czy trzycyfrowe dodawanie, ale też że nadal ma trudności z niektórymi zbiorami danych [4]. Poprawny wynik uzyskany raz nie gwarantuje więc poprawnego wyniku następnym razem. ## Jak to działa Źródła podają następującą zasadę. Model pracuje ze słownikiem o stałej wielkości [1]. Słowa rzadkie są odtwarzane z kilku jednostek [1]. Narzędzie dzielące tekst można wytrenować na surowym tekście, bez wstępnego podziału na słowa [3]. Polecenia docierają tym samym kanałem co dane. W badaniu nad GPT-3 zadania i przykłady są „specified purely via text interaction with the model” [4]. Według OWASP wstrzyknięcie polecenia oznacza dane wejściowe, które zmieniają zachowanie modelu w sposób niezamierzony, nawet jeśli są niezauważalne dla człowieka, o ile model je odczyta [2]. Połączenie tych dwóch punktów to interpretacja autorów tej fiszki, a nie twierdzenie OWASP. ## Co Państwo robią Formułować jasne polecenia. Proszę wskazać oczekiwaną rolę, zadanie i format odpowiedzi. OWASP zaleca projektantom systemów, by określali rolę, możliwości i ograniczenia modelu oraz definiowali jasny format wyniku [2]. Pracownik może przenieść ten sposób myślenia do własnych próśb. Prosić o źródła, a potem je sprawdzać. OWASP radzi prosić o szczegółowe uzasadnienie i cytaty ze źródeł, a wynik weryfikować deterministycznym kodem [2]. Dla pracownika oznacza to kontrolę ręczną: otworzyć cytowane źródło, ponownie przeczytać liczbę, sprawdzić, czy cytat istnieje słowo w słowo. Sami autorzy GPT-3 wskazują zbiory danych, na których model nadal ma trudności [4]. Zachować kontrolę nad ważnymi działaniami. OWASP zaleca zatwierdzenie przez człowieka w przypadku operacji uprzywilejowanych, aby zapobiec działaniom bez autoryzacji [2]. Nie należy pozwalać asystentowi wysyłać wiadomości ani zmieniać pliku bez sprawdzenia. Nie wklejać danych wrażliwych. OWASP zalicza ujawnienie informacji wrażliwych do możliwych skutków wstrzyknięcia polecenia [2]. Brytyjskie NCSC dąży do systemów AI, które działają bez ujawniania danych wrażliwych nieupoważnionym osobom trzecim [5]. W firmie obowiązuje reguła Państwa organizacji dotycząca dozwolonych narzędzi. Oddzielać treści zewnętrzne od własnych poleceń. Gdy asystent streszcza stronę internetową lub otrzymany plik, ta treść może zawierać ukryte instrukcje [2]. OWASP radzi oddzielać treści niezaufane i wyraźnie je oznaczać [2]. ## Pułapki Tekst niewidoczny lub wprowadzający w błąd. Według OWASP wstrzyknięcie polecenia nie musi być czytelne dla człowieka, byle treść została odczytana przez model [2]. W opisanym przez OWASP scenariuszu użytkownik prosi o streszczenie strony zawierającej ukryte instrukcje: model wstawia obraz powiązany z adresem, a prywatna rozmowa zostaje wykradziona [2]. Ciągi znaków bez sensu. OWASP opisuje atakującego, który dopisuje do prośby pozornie bezsensowny ciąg znaków. Ten ciąg wpływa na odpowiedź i omija zabezpieczenia [2]. Badania podają wersję zautomatyzowaną: sufiks adwersarialny znaleziony technikami wyszukiwania zachłannego i opartego na gradiencie [6]. Mieszanie języków i kodowanie. OWASP wymienia też atakującego, który używa kilku języków lub koduje instrukcje, na przykład w Base64 albo za pomocą emoji, aby ominąć filtry [2]. Podstawione pliki. W innym scenariuszu OWASP w CV znajdują się rozdrobnione polecenia. Gdy model ocenia kandydaturę, fragmenty łączą się i dają pozytywną rekomendację mimo rzeczywistej treści CV [2]. W trzecim zmodyfikowany dokument w repozytorium używanym przez aplikację do generowania wspomaganego wyszukiwaniem fałszuje wyniki [2]. Niedoskonałe zabezpieczenia. OWASP zaznacza, że generowanie wspomagane wyszukiwaniem i dostrajanie nie eliminują całkowicie wstrzyknięć poleceń [2]. Uważa też za niepewne, czy istnieje niezawodna metoda zapobiegania [2]. NCSC przypomina, że systemy AI mają nowe podatności, które trzeba uwzględnić obok klasycznych zagrożeń [5]. NIST opublikował w styczniu 2024 roku taksonomię ataków na uczenie maszynowe wraz ze słowniczkiem przeznaczonym dla czytelników niebędących ekspertami [7]. ## Rzeczywiste przypadki ### Lipiec 2023: sufiks działający na kilku asystentach 27 lipca 2023 roku Andy Zou i współautorzy, wśród nich Nicholas Carlini, zgłaszają metodę, która automatycznie tworzy sufiks dopisywany do prośby [6]. Sufiks ma zmaksymalizować prawdopodobieństwo, że model odpowie twierdząco zamiast odmówić [6]. Wytrenowany na kilku zapytaniach i na dwóch modelach (Vicuna-7B i 13B) wywołuje też niepożądane treści w publicznych interfejsach ChatGPT, Bard i Claude oraz w modelach otwartych, takich jak LLaMA-2-Chat, Pythia i Falcon [6]. ## Źródła 1. arXiv, „Neural Machine Translation of Rare Words with Subword Units”, 31 sierpnia 2015. https://arxiv.org/abs/1508.07909 (dostęp 3 listopada 2026) 2. OWASP, „LLM01:2025 Prompt Injection”, 10 kwietnia 2024. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (dostęp 3 listopada 2026) 3. arXiv, „SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing”, 19 sierpnia 2018. https://arxiv.org/abs/1808.06226 (dostęp 3 listopada 2026) 4. arXiv, „Language Models are Few-Shot Learners”, 28 maja 2020. https://arxiv.org/abs/2005.14165 (dostęp 3 listopada 2026) 5. NCSC (Royaume-Uni), „Guidelines for secure AI system development”, 27 listopada 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (dostęp 3 listopada 2026) 6. arXiv, „Universal and Transferable Adversarial Attacks on Aligned Language Models”, 27 lipca 2023. https://arxiv.org/abs/2307.15043 (dostęp 3 listopada 2026) 7. NIST, „Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations”. https://csrc.nist.gov/pubs/ai/100/2/e2023/final (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/tokenizacja-llm-fragmenty/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.