Wyobraź sobie, że twój ulubiony chatbot zostaje zasypany gradem pytań tylko po to, by ktoś mógł stworzyć jego tańszą kopię. Google właśnie przyłapało takich spryciarzy na gorącym uczynku. Cel? Gemini. Skala? Ponad 100 tysięcy promptów w jednym podejściu.

TL;DR

  • Google wykryło kampanię z ponad 100 tys. promptami wymierzoną w algorytmy rozumowania Gemini w językach nieangielskich
  • Ataki destylacji modelu prowadzone przez prywatne firmy i badaczy z całego świata, by stworzyć tańsze klony
  • Google w czasie rzeczywistym zablokowało próby i wzmocniło zabezpieczenia, wykazując naruszenie regulaminu przez sprawców
  • Trend rośnie od 2025 r., ale nie zagraża zwykłym użytkownikom – uderza jedynie w deweloperów modeli
  • Ironia losu: Google oskarża o kradzież własności intelektualnej, choć ich modele bazują na danych z sieci pobranych bez zgody

Co dokładnie stało się z Gemini?

Google Threat Intelligence Group w swoim raporcie z 12 lutego 2026 roku opisało falę ataków ekstrakcji modelu wymierzoną w Gemini. Najbardziej spektakularna kampania opierała się na ponad 100 tysiącach promptów wysłanych w różnych językach nieangielskich. Atakujący położyli szczególny nacisk na pełne ślady rozumowania modelu – te wewnętrzne procesy myślowe, które Gemini zazwyczaj ukrywa przed wzrokiem zwykłego użytkownika.

Promptami manipulowano w taki sposób, by język śladów rozumowania był identyczny z językiem zapytania, stosując instrukcje typu: „język treści myślowej musi być ściśle zgodny z głównym językiem wejścia użytkownika”. Cel był prosty: zebranie par wejście-wyjście, aby wytrenować mniejszy, tańszy model naśladujący Gemini. Google zdołało wyłapać te działania w locie i je zablokować, choć firma tradycyjnie nie podzieliła się technicznymi szczegółami samej blokady.

Gemini, które niedawno przekroczyło barierę 750 milionów użytkowników kwartalnie, stało się łakomym kąskiem dla konkurencji właśnie ze względu na swoją ogromną popularność oraz zaawansowane zdolności logicznego rozumowania.

Jak działa destylacja modelu w praktyce?

Destylacja modelu to proces trenowania mniejszego modelu „ucznia” na odpowiedziach generowanych przez większego „nauczyciela”, takiego jak Gemini. To sprytny skrót pozwalający zaoszczędzić miliardy dolarów i lata żmudnej pracy. Wystarczy wysłać tysiące starannie przygotowanych zapytań, zebrać odpowiedzi i wykorzystać je jako dane treningowe do dostrajania (fine-tuningu) – a wszystko to bez posiadania dostępu do kodu źródłowego czy oryginalnych zbiorów danych modelu bazowego.

W efekcie powstaje klon, który wiernie naśladuje zachowanie oryginału, ale jest znacznie lżejszy i tańszy w utrzymaniu. Google porównuje to do próby odtworzenia tajnych przepisów szefa kuchni wyłącznie na podstawie degustacji dań z karty. W przypadku Gemini napastnicy celowali w symulowane rozumowanie krok po kroku, czyli tzw. łańcuch myślowy (chain-of-thought), by skopiować te unikalne kompetencje AI.

Oto kluczowe etapy takiego procesu, które ułatwiają zrozumienie mechanizmu:

  • Wybór zróżnicowanych promptów pokrywających wiele zadań i języków, aby jak najdokładniej odwzorować zachowanie modelu.
  • Masowe wysyłanie zapytań przez interfejs API, omijając limity – często przy użyciu wielu skoordynowanych kont.
  • Trening nowego modelu na parach prompt-odpowiedź, co pozwala uzyskać efekt zbliżony do oryginału, ale przy mniejszej skali zasobów.

Kto stoi za tymi próbami klonowania?

Sprawcy to przede wszystkim prywatne firmy oraz niezależni badacze z całego świata. Ich motywacja jest czysto komercyjna – pragną zdobyć przewagę rynkową bez ponoszenia gigantycznych kosztów własnych inwestycji. Google nie wymienia konkretnych nazw, ale wskazuje na próby tworzenia modeli wyspecjalizowanych w analizie finansowej czy programowaniu. Na ten moment brakuje dowodów na bezpośredni udział grup państwowych w samej ekstrakcji, choć aktorzy z Korei Północnej, Iranu, Chin czy Rosji regularnie nadużywają Gemini do rekonesansu czy kampanii phishingowych.

Ten trend przybiera na sile od 2025 roku: ataki ewoluowały z prób włamań do serwerów w stronę „pokojowego” sondowania przez API. Raport GTIG odnotowuje liczne przypadki wykryte w czasie rzeczywistym. Choć żadna z tych prób nie zakończyła się spektakularnym przełomem, pokazują one, że publicznie dostępny model to otwarta księga dla każdego zdeterminowanego gracza.

Państwowi hakerzy, tacy jak grupa UNC2970 z Korei Północnej czy APT42 z Iranu, wykorzystują Gemini do profilowania swoich celów. Takie działania mogłyby pośrednio wspierać proces klonowania, jednak Google deklaruje, że na bieżąco blokuje ich konta.

Reakcja Google: blokada i wzmocnienie murów

Google nie zamierzało przyglądać się temu biernie. Systemy bezpieczeństwa wykryły kampanię obejmującą 100 tysięcy promptów niemal natychmiast. W odpowiedzi firma zdegradowała jakość odpowiedzi serwowanych atakującym i definitywnie wyłączyła ich konta. Dzięki danym dostarczonym przez zespół DeepMind wzmocniono klasyfikatory wewnątrz modelu, a każde naruszenie regulaminu (ToS) kończy się teraz szybkim usunięciem dostępu i groźbą podjęcia kroków prawnych.

Choć nie ujawniono wszystkich szczegółów technicznych kontrśrodków, raport wspomnia o modyfikacjach w modelu, które mają blokować nadużycia – na przykład poprzez odmowę generowania pełnych śladów rozumowania w podejrzanych przypadkach. Google dzieli się też radami dla branży: zaleca monitorowanie API pod kątem wzorców typowych dla destylacji i budowanie wielowarstwowych zabezpieczeń. Zwykli użytkownicy mogą spać spokojnie – to ryzyko dotyczy głównie właścicieli modeli.

Warto jednak pamiętać, że jest to kwartalny raport samooceny Google. Firma obsadza w nim siebie jednocześnie w roli ofiary i bohatera, co jest typowym zabiegiem w tego typu dokumentach korporacyjnych.

Destylacja w branży: Google nie jest wyjątkiem

Technika ta jest znana i stosowana od czasów ery GPT-3. Już w 2023 roku badacze ze Stanford zbudowali model Alpaca za jedyne 600 dolarów, dostrajając LLaMA na 52 tysiącach odpowiedzi pochodzących z GPT-3.5. Z kolei xAI Elona Muska uruchomiło model Grok, który – być może przypadkiem – naśladował specyficzne odmowy znane z ChatGPT. Nawet giganci nie stronią od tej metody: OpenAI stworzyło GPT-4o Mini bazując na potężniejszym GPT-4o, Microsoft opracował Phi-3 z wykorzystaniem syntetycznych danych, a DeepSeek wypuścił sześć wersji R1, z których najmniejsza mieści się na laptopie.

Gdzie tu ironia? W 2023 roku to Google oskarżono o wykorzystywanie outputów z ChatGPT (za pośrednictwem ShareGPT) do trenowania Barda. Jacob Devlin, jeden z twórców modelu BERT, zgłosił wtedy naruszenie regulaminu OpenAI, po czym zrezygnował z pracy w Google i przeszedł do konkurencji. Google zaprzeczyło zarzutom, ale ostatecznie wycofało się z tych praktyk. Granica między legalną destylacją a kradzieżą jest bardzo cienka i zależy głównie od zgody właściciela – a sądy wciąż nie wydały w tej kwestii ostatecznego wyroku.

Dopóki model pozostaje publicznie dostępny, jedyną realną barierą jest ograniczanie liczby zapytań (rate-limiting). Reszta to już tylko kwestia cierpliwości i zasobów atakującego.

Źródła: Ars Technica (https://arstechnica.com/ai/2026/02/attackers-prompted-gemini-over-100000-times-while-trying-to-clone-it-google-says/), Google Cloud GTIG AI Threat Tracker (https://cloud.google.com/blog/topics/threat-intelligence/distillation-experimentation-integration-ai-adversarial-use), Google Blog (https://blog.google/innovation-and-ai/infrastructure-and-cloud/google-cloud/gtig-report-ai-cyber-attacks-feb-2026)

Najczęściej zadawane pytania