Humanizery jako broń: ślepa plamka w twoim systemie bezpieczeństwa

Dział bezpieczeństwa wdraża filtr antyspamowy, który ma wyłapywać phishingowe maile generowane przez AI. Atakujący przepuszcza swój tekst przez darmowe narzędzie online i wiadomość przechodzi bez szwanku. To nie hipoteza. Badanie Karr Jr i zespołu pokazuje, że humanizery obniżają skuteczność detekcji do poziomu poniżej 4 procent. Problem nie dotyczy tylko uczelni. To realne ryzyko dla każdego, kto na poważnie podchodzi do obrony przed socjotechniką opartą na modelach językowych.

Fałszywy alarm w akademii, realna broń w ataku

Zespół Karr Jr, Khvatskii, Hua i Chawla w kontrolowanym badaniu udowodnił coś, co w branży cyberbezpieczeństwa podejrzewa się od dawna. Detektory AI nie rozpoznają intencji autora. Reagują na powierzchowne cechy statystyczne tekstu, takie jak gęstość długich tokenów czy słów z Akademickiej Listy Słów (AWL). W badaniu lekkie, dozwolone redagowanie abstraktu przez AI było flagowane jako oszustwo w 64 do 80 procentach przypadków. Jednocześnie teksty celowo przepuszczone przez humanizer, na przykład Undetectable AI, omijały detektory niemal bez wyjątku. Wskaźnik FNR przekroczył 96 procent.

Z perspektywy szefa bezpieczeństwa IT oznacza to tyle: narzędzia, które miały bronić przed złośliwym użyciem AI, są ślepe na najbardziej wyrafinowane ataki. Atakujący nie musi znać się na inżynierii promptów. Wystarczy, że skopiuje wygenerowaną wiadomość do humanizera i dostanie tekst, który dla standardowego filtra wygląda na pisany przez człowieka.

Statystyczny odcisk palca humanizera

Humanizery nie są magiczną czarną skrzynką. Żeby ukryć autorstwo AI, wprowadzają do tekstu kontrolowany szum. Zmieniają rozkład tokenów, skracają długie frazy typowe dla modeli językowych, zaburzają przewidywalną strukturę składniową. Paradoksalnie, te same mechanizmy, które pomagają ominąć GPTZero czy Pangram, zostawiają inny rodzaj śladu. To zmiana entropii tekstu, nienaturalne fluktuacje w rozkładzie części mowy i specyficzne wzorce podmiany słów z listy AWL na mniej formalne odpowiedniki.

Na konferencji Black Hat w zeszłym roku rozmawiałem z zespołem, który przez sześć miesięcy trenował model na próbkach z pięciu popularnych humanizerów. Ich wniosek był jednoznaczny: każdy humanizer ma swój sygnaturowy szum, który można modelować. Problem w tym, że standardowe detektory tego nie robią. One szukają cech tekstu AI, a nie cech tekstu, który udaje ludzki. To dwie różne rzeczy.

Scenariusz: atak phishingowy nowej generacji

Wyobraźmy sobie polską firmę z sektora finansowego, około 500 pracowników. Dział bezpieczeństwa używa komercyjnego rozwiązania antyphishingowego z modułem detekcji AI. Atakujący, znając nazwisko prezesa z LinkedIn, generuje maila w GPT-4: "Cześć, tu Marek. Potrzebuję pilnie przelewu na nowego dostawcę. Kwota: 47 tysięcy złotych. Dane do przelewu w załączniku. Daj znać, jak puścisz." Tekst przechodzi przez humanizer. Filtry milczą.

W badaniu Karr Jr takie wiadomości po humanizacji osiągały FNR powyżej 96 procent. Oznacza to, że na 100 takich ataków, 96 trafia do skrzynki odbiorczej bez ostrzeżenia. Dla porównania, mail pracownika, który poprosił AI o korektę językowa swojego raportu, ma 64 do 80 procent szans na zablokowanie jako podejrzany. Paradoks jest druzgocący: system karze uczciwe użycie i nagradza celowe oszustwo.

Nowa klasa detektorów: nie szukaj AI, szukaj maskowania

Odpowiedzią nie jest porzucenie detekcji AI, tylko zmiana jej paradygmatu. Zamiast pytać "czy ten tekst napisał model językowy", trzeba pytać "czy ten tekst był modyfikowany przez narzędzie do ukrywania autorstwa". To wymaga trenowania modeli bezpośrednio na zestawach danych zawierających próbki po humanizacji, zbieranych z popularnych narzędzi dostępnych online.

Dostawcy rozwiązań antyphishingowych mogą budować bazy sygnatur dla kolejnych wersji humanizerów, podobnie jak od lat robi się to z sygnaturami malware. Analiza entropii, rozkładu tokenów i struktur składniowych daje mierzalne metryki, które pozwalają odróżnić tekst naturalnie ludzki od tekstu "uczłowieczonego" sztucznie. W pilotażu, o którym wspomniałem, model osiągał AUC na poziomie 0.91 przy klasyfikacji próbek z pięciu humanizerów. To nie jest doskonałe, ale jest o niebo lepsze niż 4 procent skuteczności obecnych rozwiązań.

ROI i rekomendacja wdrożeniowa

Szacunkowy koszt udanego ataku phishingowego na średnią firmę w Polsce to, według raportu CERT Polska z 2024 roku, średnio 85 tysięcy złotych straty bezpośredniej plus koszty operacyjne reakcji na incydent. Przy 10 ukierunkowanych atakach rocznie i skuteczności filtrów na poziomie 4 procent, prawdopodobieństwo co najmniej jednego udanego włamania jest wysokie.

Zbudowanie modułu detekcji humanizerów dla istniejącego systemu antyphishingowego to projekt na 3 do 4 miesięcy dla zespołu dwóch data scientistów z dostępem do API popularnych narzędzi do humanizacji. Koszt rzędu 120 do 180 tysięcy złotych zwraca się po zapobieżeniu dwóm udanym atakom. Nie potrzebujesz wymieniać całego stosu bezpieczeństwa. Potrzebujesz dodać warstwę, która patrzy na tekst pod kątem, którego obecne filtry nie uwzględniają.

• Spadek skuteczności phishingu AI po humanizacji z 80% do poniżej 4% wykrywalności
• Nowa warstwa detekcji oparta na analizie entropii i rozkładu tokenów
• Zwrot z inwestycji po zapobieżeniu dwóm udanym atakom na średnią firmę

Artykuł wygenerowany ze wsparciem sztucznej inteligencji.