Penyelidik Microsoft telah memperincikan serangan saluran sampingan baru yang disebut”Whisper Leak”yang dapat meneka topik sembang AI yang disulitkan, mendedahkan risiko privasi asas di seluruh industri AI. Menunjukkan bagaimana corak dalam saiz lalu lintas rangkaian dan masa dapat mendedahkan apa yang pengguna sedang berbincang, walaupun dengan penyulitan TLS. Kesilapan ini memberi kesan kepada 28 model AI utama, mewujudkan risiko privasi yang serius untuk pengguna di seluruh dunia. Seorang pemerhati di rangkaian dapat melihat ceramah sensitif mengenai topik undang-undang atau kesihatan.
Selepas proses pendedahan yang bermula pada bulan Jun, penyedia utama seperti Openai dan Microsoft telah mula menggunakan perbaikan, tetapi isu itu menunjukkan risiko teras dalam streaming AI. src=”https://winbuzzer.com/wp-content/uploads/2025/11/whisper-leak.jpg”>
Sebaliknya, ia mengeksploitasi metadata yang penyulitan secara semulajadi meninggalkan terdedah. Responses, yang dijana token-by-token, membuat urutan unik paket data apabila disiarkan kepada pengguna. Setiap topik, dari analisis undang-undang ke perbualan santai, menghasilkan teks dengan struktur perbendaharaan kata dan kalimat yang berbeza. Corak linguistik ini menghasilkan ciri”cap jari digital”dalam trafik rangkaian.
Menganalisis urutan saiz paket dan masa-masa antara ketibaan, penyelidik membina pengelas untuk mengenali cap jari ini dengan ketepatan yang tinggi. Target=”_ Blank”> Toolkit Awam Projek mengesahkan kaedah ini, yang menggunakan model pembelajaran mesin untuk mempelajari tandatangan halus jenis perbualan yang berbeza. Walaupun dengan kandungan hancur, corak lalu lintas mengkhianati subjek perbualan.
Kecacatan seluruh industri yang mempengaruhi 28 model AI utama
Kebocoran berbisik bukanlah bug terpencil tetapi kelemahan sistemik yang mempengaruhi industri AI yang luas. Pasukan Microsoft menguji 28 LLM yang tersedia secara komersil, mendapati majoriti sangat mudah terdedah.
Bagi banyak model, serangan itu mencapai klasifikasi yang hampir sempurna. Para penyelidik mencatatkan dalam catatan blog,”Ini memberitahu kami bahawa’cap jari’digital yang unik yang ditinggalkan oleh perbualan pada topik tertentu adalah cukup jelas untuk eavesdropper yang bertenaga AI kami untuk memilih mereka dalam ujian terkawal. Penyelidikan menunjukkan ketepatan yang membimbangkan di bawah keadaan yang realistik.
Dalam simulasi dengan nisbah 10,000-ke-1 bunyi bising latar belakang untuk mensasarkan perbualan, serangan itu mengenal pasti topik sensitif dengan ketepatan 100% untuk 17 daripada 28 model, sementara masih mengesan 5-20% Kenal pasti pengguna membincangkan perkara sulit, kewangan, atau kesihatan. Seperti yang dinyatakan oleh para penyelidik,”kelemahan industri ini menimbulkan risiko yang signifikan untuk pengguna di bawah pengawasan rangkaian oleh ISP, kerajaan, atau musuh tempatan.”
95.8% 96.0% 59.5% 100.0% Microsoft-Deepseek-R1 98.6% 98.9% 46.3% 99.9% 99.9% 61.0% 94.8% 95.5% 56.8% 99.9% XAI-grok-3 %. 73.2% 97.2% 97.5% 74.9% 99.9% Mistral-Small 98.3% 97.6% 60.7% 99.9% 99.8% 65.1% 94.1% 94.3% 61.3% 99.9% Groq-4 %. 56.4% 93.6% 94.2% 60.4% 99.7% deepseek-deepseek-r1 98.8% 98.6% 46.5% 99.3% 99.4% 62.5% 96.7% 96.9% 65.4% 99.4% alibaba-qwen2.5-plus 98.0% 97.7% 66.3% 99.1% 99.0% 63.5% 97.1% 97.3% 67.4% 99.1% XAI-GROK-2 99.0% 98.8% 66.9% 98.5% 98.7% 70.1% 93.2% 94.9% 72.9% 99.0% Alibaba-turba. 97.5% 97.6% 71.8% 99.0% 98.9% 71.2% 99.0% OpenAI-O1-Mini 97.8% 98.0% 58.7% 98.9% 98.9% 62.1% 97.0% 96.9% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98% 98 76.7% 98.2% 98.3% 75.4% 98.6% 98.6% 72.6% 98.6% DeepSeek-Deepseek-V3-Chat 98.3% 98.0% 58.6% 98.1% 98.1% 59.7% 97 %.6 96.8% 96.6% 78.5% 97.3% 98.0% 77.6% 97.4% 97.3% 76.3% 98.0% Lambda-Llama-3.1-8B-Instruk 3.197.0% 60.3% 60.3 57.4% 97.6% openai-gpt-4.1-nano 96.1% 96.8% 77.8% 97.1% 97.1% 75.5% 96.2% 96.4% 77.1% 97.1% microsoft-gpt-4o-mini 93.4% 93.2% 77.8% 88.5% 81.3% 81.8% 91.3% 91.5% 77.2% 93.4% Anthropic-CLAUDE-3-HAIKU 90.2% 76.8% 78.7% 91.2% 80.1% 80.0% 87.9% 74.5% 77.9% 91.20% 8.00% 8.9.9.5.9.200% 8.5.9.9.9.200% 8.5.9.9.9.5.9.29.19.5.1.9.200 %. 82.4% 85.4% 86.6% 86.9% 80.5% 91.0% Microsoft-GPT-4O 89.9% 90.1% 78.0% 87.2% 81.4% 83.0% 87.3% 87.9% 77.1 77.1% 77.1 77.1% 77.1 77.1% 77. 86.7% 80.4% 78.9% 86.6% 87.3% 76.0% 89.7% Google-Gemini-2.5-Pro 77.1% 74.3% 78.1% 83.1% 76.3% 82.4% 84.0 76.2% 80.2% 82.4% 78.3% 81.6% 83.5% 81.6% 82.8% 83.5% Google-Gemini-1.5-Flash-Light 79.9% 74.6% 79.4% 79.7% 75.0% 79.0% 75.0% 75.0% 79.0% 79.0% 79.0% 79.0% 79.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.0 Amazon-Nova-Pro-V1 46.2% 57.9% 46.6% 77.5% 74.9% 57.3% 60.9% 60.6% 57.6% 77.5% Microsoft-PHI-3.5-MINE-MOEE-Instructi 74.4% 76.9% Amazon-Nova-Lite-V1 67.6% 68.3% 63.2% 71.2% 70.5% 67.7% 65.8% 65.5% 65.1% 71.2% Purata 96.8% 96.8% 93% 9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.9.3% 9. NAN%
Prestasi Serangan (AUPRC) merentasi LLM sasaran yang dihoskan oleh penyedia dan set ciri yang ditentukan dan menyerang seni bina model. Nombor yang lebih tinggi sesuai dengan keberkesanan serangan saluran sampingan yang lebih tinggi. Metrik dikira sebagai median lebih daripada 5 ujian, di mana perpecahan rawak dilakukan setiap percubaan. Lajur’Terbaik’juga merupakan 5 median percubaan terbaik dari model dan set ciri yang digunakan. (Sumber: Microsoft)
Pembetulan yang sukar: Mitigasi dan tindak balas vendor yang tidak konsisten
Microsoft memulakan proses pendedahan yang bertanggungjawab pada bulan Jun 2025, memberitahu semua 28 penyedia yang terjejas. Sehingga November, respons telah dicampur. Ia mengikuti penolakan Oktober Google untuk menetapkan kelemahan”penyeludupan ASCII”kritikal dalam model Gemini, yang diklasifikasikan sebagai masalah kejuruteraan sosial dan bukannya. Johann Rehberger mencatatkan dalam kes itu,”Keselamatan melindungi anda dari kemalangan. Keselamatan melindungi anda dari musuh.”Perbezaannya adalah kritikal kerana agen AI menjadi lebih autonomi dan disepadukan dengan data sensitif.
Memperbaiki kebocoran metadata tidak mudah. Para penyelidik menilai beberapa mitigasi, masing-masing dengan perdagangan yang signifikan. Padding data rawak, yang kini dilaksanakan oleh sesetengah penyedia, menambah bunyi ke saiz paket tetapi hanya sebahagiannya mengurangkan kejayaan serangan.
Strategi lain, batching token, kumpulan beberapa token sebelum menghantarnya, mengaburkan corak individu. Walaupun berkesan pada saiz kelompok yang lebih besar, ini dapat merendahkan masa nyata, rasa responsif dari chatbot, yang memberi kesan kepada pengalaman pengguna.
Pilihan ketiga, menyuntik paket sintetik”bunyi”, juga boleh merosakkan corak lalu lintas. Pendekatan ini, bagaimanapun, meningkatkan overhead jalur lebar, pertimbangan kos yang signifikan untuk penyedia.
Episod menunjukkan bahawa sebagai AI menjadi lebih terintegrasi ke dalam aliran kerja sensitif, melindungi privasi pengguna memerlukan mencari penyulitan kandungan untuk mengamankan corak komunikasi digital
