Nowe badanie z UC Berkeley pokazuje, że dostrajanie modelu AI na małych, pozornie nieszkodliwych zbiorach danych może wywołać „kolaps prywatności”, w którym model stopniowo przestaje przestrzegać ustanowionych norm prywatności — degradację, którą konwencjonalne testy bezpieczeństwa i ludzcy recenzenci konsekwentnie pomijają.

Uczenie uniwersalnego modelu, by był lepszym agentem obsługi klienta, może brzmieć niewinnie. Według zespołu z Berkeley ten sam proces, który doskonali model pod wąskie zadanie, może też odebrać mu zdolność oceny, kiedy udostępnianie informacji jest właściwe. Co gorsza, modele nadal wyglądają na całkowicie bezpieczne w testach zaprojektowanych właśnie do wykrywania takich problemów.

Awaria, która przechodzi kontrolę

Badacze nazywają to zjawisko „kolapsem prywatności”. Dostrajany model stopniowo przestaje przestrzegać ustanowionych norm prywatności, nawet gdy jego dane treningowe nie zawierają niczego ewidentnie niebezpiecznego.

Fine-tuning to proces, w którym firmy biorą model uniwersalny i trenują go dalej na węższym zbiorze danych — na przykład transkrypcjach obsługi klienta, empatycznych rozmowach lub przykładach agenta korzystającego z narzędzi programowych. Zespół z Berkeley odkrył, że to dodatkowe szkolenie może uszkodzić rozumienie przez model prywatności kontekstowej — zasady, że stosowność udostępniania informacji zależy od tego, kto pyta i dlaczego.

Liczby są przygniatające. W modelach takich jak GPT-4o-mini dokładność w testach prywatności kontekstowej — standaryzowanych testach zachowania modeli — spadła po dostrajaniu nawet o 98-99%. Tymczasem te same modele wciąż dobrze wypadały w konwencjonalnych ocenach bezpieczeństwa. Badacze opisują ten rezultat jako „cichą awarię”.

Ta rozbieżność wskazuje też na lukę w samym zestawie narzędzi testowych: konwencjonalne oceny bezpieczeństwa nie są zaprojektowane, by mierzyć osąd prywatności kontekstowej — poczucie, kto o informacje pyta i po co. Model może więc zaliczyć każdy sprawdzian, jaki zespół przeprowadzi, i mimo to źle obsługiwać rodzaje wymian, których te sprawdziany nigdy nie symulują.

Nieszkodliwe dane, szkodliwe skutki

Częścią tego, co czyni to odkrycie niepokojącym, są dane treningowe. Kolaps pojawił się w zbiorach danych, które większość zespołów uznałaby za nieszkodliwe — w tym empatyczne dialogi i interakcje z obsługą klienta.

Badanie objęło sześć modeli, obejmujących zarówno systemy zamknięte, jak i open-weight — open-weight oznacza modele, których wytrenowane parametry zostały publicznie udostępnione, tak że każdy może je pobrać i dostrajać. Podatność pojawiła się w wielu rodzinach modeli, co wskazuje, że nie jest to osobliwość jednego dostawcy, i utrzymywała się w zbiorach obejmujących użycie narzędzi przez agentów oraz zadania oparte na pamięci.

Zespół przebadał też wnętrza modeli, by ustalić, gdzie powstają szkody. Reprezentacje związane z prywatnością w późniejszych warstwach modeli okazały się szczególnie kruche, a te cechy okazały się bardziej podatne na uszkodzenia przez dostrajanie niż cechy związane z konkretnie trenowanym zadaniem.

Nie pierwsze ostrzeżenie

Wyniki z Berkeley wpisują się w wzorzec budujący się od jakiegoś czasu. Badanie ze Stanforda z 2024 r. wykazało, że nawet drobne dostrajanie mogło naruszyć bezpieczeństwo modeli takich jak GPT-3.5 i Llama-2-Chat. Ta wcześniejsza praca dotyczyła szeroko rozumianych zabezpieczeń. Badanie z Berkeley zawęża perspektywę do prywatności i dodaje twist: degradacja nie pojawia się tam, gdzie ktokolwiek patrzy.

Co to oznacza dla firm budujących na AI

Najbardziej bezpośrednio zainteresowane są firmy, które dostosowują modele bazowe do własnych produktów. Fine-tuning to jeden z najczęstszych sposobów, by uczynić uniwersalny model użytecznym w konkretnym przepływie pracy. Jeśli trening na zwykłych transkrypcjach wsparcia może erodować osąd prywatności modelu, takie wdrożenia mogą nieść ryzyka, o których ich twórcy nie wiedzą — a zaliczenie standardowej oceny bezpieczeństwa dawałoby fałszywy komfort.

Badacze wzywają do lepszych metod oceny, stworzonych specjalnie do testowania rozumowania prywatności w agentach AI podczas rzeczywistych interakcji. Dla organizacji uruchamiających dostrajane modele ten apel wskazuje rozwój wart obserwacji: testy prywatności sprawdzające osąd podczas żywych interakcji agentów. Ponieważ podatność obejmuje modele zamknięte i open-weight, żaden obóz nie może traktować problemu jako cudzego. A jeśli cechy prywatności w późniejszych warstwach są wyjątkowo kruche, kolejnym krokiem jest ustalenie, jak chronić je podczas treningu, nie poświęcając wydajności zadaniowej, za którą firmy płacą.

Wyniki zostały opisane przez CryptoBriefing w piątek, 6 listopada 2026 r.