Spionajul prin AI: de ce nu mai este un scenariu teoretic

Timp de ani de zile, spionajul industrial a fost asociat cu documente furate din seifuri, angajati racolati sau atacuri informatice sofisticate asupra unor retele izolate. In 2026, in centrul atentiei se afla un alt tip de activ: modelele de inteligenta artificiala, ponderile lor, datele de antrenare, prompturile de sistem si fluxurile de lucru agentice. Pe masura ce laboratoare precum OpenAI, Google, Anthropic sau Meta investesc sute de milioane de dolari intr-un singur ciclu de antrenare, valoarea proprietatii intelectuale concentrate in cateva fisiere de ordinul terabytes-ilor a devenit comparabila cu cea a unor intregi linii de productie industriala.

Discutia publica a fost alimentata si de implicarea autoritatilor americane, inclusiv a procurorilor federali de la New York, precum Jay Clayton, care conduce parchetul districtului de sud, o jurisdictie cu experienta in cazuri de fraude financiare, securitate cibernetica si furt de secrete comerciale. Mesajul care se desprinde este clar: furtul de tehnologie AI este tratat ca o problema de securitate economica si nationala, iar companiile nu mai pot trata subiectul ca pe o simpla chestiune de conformitate interna.

Ce inseamna, concret, spionajul prin AI

Termenul acopera doua fenomene distincte, dar care se intrepatrund. Primul este spionajul asupra AI, adica furtul modelelor, al datelor si al cunostintelor tehnice. Al doilea este spionajul realizat cu ajutorul AI, in care atacatorii folosesc modele generative si agenti autonomi pentru a-si mari viteza, scara si credibilitatea. Intelegerea acestei diferente este esentiala, deoarece apararea trebuie sa acopere ambele directii: protejarea activelor AI proprii si rezistenta in fata unor adversari amplificati de AI.

Spionajul asupra AI: ce se fura

Activele cele mai vizate sunt urmatoarele:

Ponderile modelului (model weights): rezultatul final al antrenarii. Un set de ponderi furat permite replicarea capabilitatilor fara costul de calcul initial.

Datele de antrenare si de fine-tuning: seturi curatate, adnotate si uneori proprietare, greu de reconstruit.

Arhitectura si hiperparametrii: retete de antrenare, strategii de scalare, tehnici de optimizare si alinierea (RLHF, DPO) care au necesitat mii de experimente.

Prompturile de sistem si logica agentilor: instructiuni interne, politici de siguranta si orchestrarea instrumentelor.

Infrastructura de inferenta: tehnici de cuantizare, batching, caching si compilare care reduc costul per token.

Spionajul cu ajutorul AI: cum se amplifica atacatorii

Pe partea ofensiva, modelele de limbaj permit generarea de mesaje de phishing personalizate la scara larga, in orice limba si fara greselile care trădau in trecut campaniile slab pregatite. Agentii autonomi pot automatiza recunoasterea tintelor, analizand profiluri publice, repository-uri de cod, prezentari de conferinte si oferte de angajare pentru a deduce stiva tehnologica a unei companii. Tehnologiile de clonare vocala si video fac posibile atacuri de tip business email compromise in care un presupus director solicita, intr-un apel video, acces la un sistem sau transferul unui set de date.

Vectorii principali de atac asupra modelelor si datelor

Spionajul modern nu se bazeaza pe o singura tehnica. De regula, atacatorii combina vectori tehnici cu vectori umani, alegand verigile cele mai slabe din lantul de dezvoltare si operare al modelelor. Cele mai relevante categorii sunt prezentate mai jos, impreuna cu mecanismele tehnice care le fac posibile.

Amenintarea interna (insider threat)

Cele mai costisitoare incidente de furt de proprietate intelectuala implica, istoric, persoane cu acces legitim. Un cercetator sau inginer ML are, de obicei, acces la cod, la experimente, la checkpoint-uri intermediare si la documentatie. Cazuri judiciare recente din Statele Unite, in care fosti angajati ai unor mari companii tehnologice au fost acuzati ca ar fi copiat documente despre infrastructura AI pentru a le folosi in beneficiul unor entitati straine, arata ca perimetrul de securitate este, in realitate, identitatea si comportamentul utilizatorului. Copierea in servicii cloud personale, exportul prin note-taking apps sau fotografierea ecranului sunt metode simple, dar greu de detectat daca nu exista monitorizare comportamentala si politici stricte de acces.

Distilarea modelelor si extractia prin API

Un model expus printr-un API poate fi interogat sistematic pentru a-i copia comportamentul. In tehnica numita distilare, un model „elev” este antrenat pe perechi intrare-iesire generate de un model „profesor”. Daca un atacator obtine milioane de raspunsuri de calitate, poate crea un model mai mic care imita capabilitati scumpe, incalcand de multe ori termenii de utilizare. Variante mai agresive includ model extraction si membership inference, prin care se deduc detalii despre date sau despre frontierele de decizie. Apararea include limitarea ratei, detectarea tiparelor de interogare anormale, watermarking-ul iesirilor si analiza statistica a conturilor care genereaza acoperire sistematica a spatiului de prompturi.

Compromiterea lantului de aprovizionare software si hardware

Antrenarea moderna depinde de biblioteci open-source, containere, drivere GPU, orchestratoare si modele pre-antrenate descarcate din repository-uri publice. Un pachet Python compromis sau un model cu cod arbitrar serializat (de exemplu, fisiere pickle nesigure) poate oferi atacatorului executie de cod in cluster. In plus, formatele de ponderi care permit executie la incarcare reprezinta un risc real; migrarea catre formate precum safetensors reduce suprafata de atac. La nivel hardware, accesul fizic la centre de date, firmware-ul acceleratoarelor si lantul logistic al cipurilor raman puncte sensibile, mai ales in contextul controalelor de export.

Otravirea datelor si manipularea modelelor

Nu toate atacurile urmaresc extragerea de informatii. Unele urmaresc sa influenteze modelul pe termen lung. Data poisoning presupune inserarea de exemple malitioase in seturi de date colectate de pe web sau in fluxuri de feedback, creand „backdoor-uri” care se activeaza la un anumit declansator. Un model astfel compromis poate scurge informatii, poate favoriza anumite entitati sau poate esua tocmai in scenarii critice. Pentru o companie care integreaza modele terte in procese de business, riscul este ca spionajul sa fie incorporat chiar in componenta pe care se bazeaza.

Riscul „shadow AI” in interiorul companiilor

Nu doar marile laboratoare sunt expuse. Pentru majoritatea organizatiilor, cea mai mare scurgere de informatii apare atunci cand angajatii folosesc instrumente generative neaprobate. Un dezvoltator care lipeste cod proprietar intr-un chatbot public, un jurist care incarca un contract confidential sau un analist care ruleaza date financiare printr-un plugin necunoscut creeaza, fara intentie, un canal de exfiltrare. Chiar daca furnizorul declara ca nu antreneaza modelele pe datele clientilor, datele pot fi retinute in log-uri, pot fi accesate de personal autorizat sau pot ajunge in alte jurisdictii.

Fenomenul se agraveaza odata cu agentii AI cu permisiuni extinse: asistenti care citesc e-mailuri, acceseaza foldere, ruleaza cod si apeleaza API-uri. O injectie de prompt (prompt injection) ascunsa intr-un document sau intr-o pagina web poate determina un agent sa trimita date catre un server controlat de atacator. Aceasta clasa de atac, numita si indirect prompt injection, este una dintre cele mai greu de eliminat deoarece exploateaza chiar modul in care modelele interpreteaza textul ca instructiune.

Dimensiunea juridica si geopolitica

In Statele Unite, furtul de secrete comerciale este urmarit in baza Economic Espionage Act si a legislatiei privind secretele comerciale, iar autoritatile au semnalat in mod repetat ca tehnologiile AI intra in categoria activelor critice. Controalele de export asupra acceleratoarelor avansate si a anumitor ponderi de modele completeaza tabloul. Procurorii federali, in special cei din districte cu activitate intensa in domeniul financiar si tehnologic, au instrumente pentru a urmari atat persoanele fizice, cat si retelele de intermediari.

In Europa, cadrul este modelat de Regulamentul european privind inteligenta artificiala (AI Act), de directiva NIS2 privind securitatea retelelor si a informatiilor si de Directiva privind secretele comerciale. Pentru companiile din Romania, NIS2 aduce obligatii concrete de gestionare a riscurilor, raportare a incidentelor si responsabilitate la nivelul conducerii. Un incident de exfiltrare a unui model sau a unui set de date poate declansa simultan obligatii de raportare, raspundere contractuala si riscuri reputationale.

Cum se protejeaza o companie: un cadru practic

Nu exista o solutie unica. Eficienta vine din straturi de control care acopera datele, modelele, identitatile, infrastructura si oamenii. Un punct de plecare util este studiul RAND despre securizarea ponderilor modelelor, care defineste niveluri de securitate in functie de capacitatea atacatorului, de la grupuri oportuniste pana la actori statali. Ideea centrala: nivelul de protectie trebuie calibrat dupa valoarea activului si dupa profilul adversarului.

1. Clasificarea si inventarierea activelor AI

Prima etapa este crearea unui inventar al activelor AI: modele proprii si terte, seturi de date, pipeline-uri de antrenare, agenti, integrari API si conturi de serviciu. Fiecare element trebuie clasificat dupa sensibilitate si asociat unui proprietar. Fara acest inventar, nu se poate vorbi despre control al accesului sau despre raspuns la incident. Multe organizatii descopera, in aceasta etapa, ca au zeci de integrari AI necunoscute echipei de securitate.

2. Zero trust si acces cu privilegii minime

Ponderile modelelor si datele de antrenare ar trebui tratate ca secrete de nivel inalt. Aceasta inseamna autentificare multifactor rezistenta la phishing (chei FIDO2), acces just-in-time, segmentare de retea intre mediile de cercetare si cele de productie si limitarea strict necesara a numarului de persoane care pot citi sau exporta checkpoint-uri. Aplicarea principiului celor doua persoane (four-eyes) pentru operatiuni critice reduce semnificativ riscul de abuz intern.

3. Protectia datelor in uz: criptare si confidential computing

Criptarea la repaus si in tranzit este obligatorie, dar insuficienta in timpul antrenarii sau inferentei, cand datele si ponderile sunt in memorie. Confidential computing, bazat pe medii de executie de incredere (TEE) precum cele oferite de procesoare si, tot mai mult, de GPU-uri, permite atestarea mediului si protejarea continutului memoriei de catre operatorul de infrastructura. Integrarea cu sisteme de management al cheilor (KMS/HSM) si rotirea periodica a cheilor completeaza acest strat.

4. Monitorizare si detectie specifica AI

Instrumentele clasice DLP trebuie extinse cu telemetrie specifica sarcinilor AI. Merita urmarite:

transferurile neobisnuite de fisiere mari (checkpoint-uri, dataset-uri) catre destinatii externe;

volumele anormale de interogari catre API-urile proprii, mai ales cu prompturi sistematice sau repetitive;

accesul la repository-uri si bucket-uri in afara programului sau din locatii atipice;

folosirea serviciilor generative neaprobate, detectata prin proxy, CASB sau politici DNS;

Corelarea acestor semnale intr-un SIEM, cu reguli de detectie bazate pe analiza comportamentului utilizatorilor (UEBA), permite reactie rapida inainte ca un incident minor sa devina o pierdere majora.

5. Securizarea agentilor si a interactiunii cu instrumentele

Agentii trebuie proiectati cu presupunerea ca orice continut extern poate fi ostil. Practicile recomandate includ separarea clara dintre instructiuni si date, filtrarea iesirilor, listarea explicita a instrumentelor permise, confirmarea umana pentru actiuni cu impact ridicat si izolarea in sandbox a codului generat. Permisiunile agentilor trebuie limitate la contextul sarcinii, cu token-uri de scurta durata. Testele de red teaming orientate spre prompt injection si exfiltrare de date ar trebui sa fie parte din ciclul normal de lansare.

6. Protectia impotriva distilarii

Pentru companiile care ofera modele prin API, sunt utile mai multe masuri combinate: verificarea identitatii clientilor (KYC) pentru acces la volum mare, limite de rata dinamice, detectia de interogari care acopera sistematic domenii de capabilitati, reducerea detaliilor expuse (de exemplu, logprobs) si marcarea statistica a iesirilor. Clauzele contractuale care interzic explicit utilizarea raspunsurilor pentru antrenarea modelelor concurente ofera baza juridica pentru actiune, desi aplicarea lor practica ramane dificila.

7. Factorul uman: cultura, onboarding si offboarding

Tehnologia nu compenseaza lipsa de educatie. Angajatii trebuie sa stie ce date pot fi introduse in instrumente AI, ce unelte sunt aprobate si cum se raporteaza o suspiciune. Procesele de onboarding si offboarding trebuie sa includa revocarea rapida a accesului, recuperarea dispozitivelor si, unde legea permite, revizuirea activitatii recente. Acordurile de confidentialitate si clauzele de neconcurenta, in limitele legii, completeaza dimensiunea contractuala. Totodata, o cultura in care angajatii nu se tem sa raporteze greseli reduce timpul de detectie.

Evaluarea riscurilor furnizorilor si a lantului de valoare

Majoritatea companiilor nu isi antreneaza propriile modele de frontiera, ci consuma servicii AI de la terti. In acest caz, riscul de spionaj se muta catre furnizor. Due diligence-ul trebuie sa acopere certificari (ISO 27001, SOC 2, tot mai des ISO/IEC 42001 pentru sisteme de management AI), politici de retentie a datelor, localizarea procesarii, regimul subcontractorilor si drepturile de audit. Clauzele contractuale trebuie sa precizeze explicit ca datele clientului nu sunt folosite pentru antrenare, ca incidentele sunt notificate intr-un termen definit si ca exista optiuni de stergere verificabila.

Pentru date foarte sensibile, o alternativa este rularea modelelor in infrastructura proprie sau intr-un cloud privat, folosind modele open-weight. Aceasta abordare reduce expunerea catre terti, dar muta responsabilitatea securizarii pe organizatie, inclusiv verificarea integritatii modelelor descarcate (hash-uri, semnaturi, scanare pentru coduri periculoase).

Raspunsul la incident si pregatirea pentru ce e mai rau

Chiar si cu un program matur, un incident este posibil. Planul de raspuns trebuie adaptat la specificul AI: cum se determina daca ponderile au fost exfiltrate, cum se revoca si se rotesc cheile si token-urile, cum se invalideaza un model compromis, cum se reantreneaza dintr-un checkpoint de incredere si cum se comunica cu autoritatile. Pastrarea jurnalelor imuabile, a istoricului versiunilor si a dovezilor de lant de custodie este esentiala si pentru eventuale actiuni in instanta. Exercitiile de tip tabletop, la care participa echipele de securitate, juridic, comunicare si cercetare, scurteaza considerabil timpul de reactie.