Jak wyciekły prywatne logi czatów z AI: dlaczego Google i Bing zaindeksowały publiczne linki Claude’a

Myślisz, że Twoje rozmowy ze sztuczną inteligencją pozostają prywatne.

Ale nie zawsze tak jest.

Wystarczy zapytać tych, którzy widzieli ich intymne lub nacechowane politycznie rozmowy z Claudem z Anthropic pojawiające się w wynikach wyszukiwania Google i Bing w weekend. Nie jest to bynajmniej ukryty wyciek. Wszystko zaczęło się, gdy jeden z użytkowników Reddita zauważył, że określone adresy URL przeznaczone do udostępniania „migawek” czatów znajdują się w domenie publicznej.

Nie chodziło tylko o jakąś korespondencję. Wśród nich byli użytkownicy, którzy zwrócili się o poradę ze względu na swoją przynależność polityczną. Prawnicy z Kansas zadali pytania prawne dotyczące tego, czy mają obowiązek zgłaszania własnych naruszeń zasad etycznych. I tak, były erotyczne scenki z odgrywaniem ról.

Jeśli cenisz prywatność w dobie generatywnej sztucznej inteligencji, jest to ważna lekcja na temat tego, jak mechanika technologii internetowej przewyższa dobre intencje.

Mit o pliku Robots.txt

Oto rzeczywistość techniczna, która jest najczęściej pomijana zarówno przez użytkowników, jak i często same firmy opracowujące te narzędzia.

Anthropic używa pliku robots.txt, aby poinformować roboty indeksujące, aby nie odwiedzały ogólnych łączy do czatu. Ten plik istnieje co najmniej od września 2024 r. („robots.txt” to branżowy standard dotyczący komunikatu: „Nie indeksuj tej części witryny”).

Najczęściej to działa.

Ale to nie jest ściana. To tylko grzeczna prośba.

Wyszukiwarki takie jak Google i Bing są zaprogramowane tak, aby ignorować plik „robots.txt”, jeśli znajdą łącze do strony w innym miejscu w Internecie. Jeśli ktoś opublikuje link do tego „publicznego” zdjęcia Claude’a na forum, w wiadomości e-mail lub w sieci społecznościowej, wyszukiwarka i tak je zindeksuje.

Aby faktycznie wyłączyć indeksowanie, programiści muszą użyć specjalnego tagu HTML.

Dlaczego brakowało „Noindex”?

Według WIRED wyciekły czaty, w których brakowało metatagu „noindex”.

Zarówno Google, jak i Bing wymagają tego wyraźnego wskazania. Jeśli strona nie posiada tagu „noindex” (lub nagłówka HTTP „x-robots-tag”), wyszukiwarki zakładają, że właściciel witryny chce, aby strona została zaindeksowana i pojawiła się w wynikach wyszukiwania.

„Ani Google, ani żadna inna wyszukiwarka nie kontroluje tego, co jest publikowane publicznie w Internecie… Zapewniamy właścicielom witryn jasną kontrolę… i zawsze przestrzegamy tych wytycznych.”

Dla wyszukiwarki jest to stanowisko całkiem uzasadnione. Wydaje się jednak mniej bezpieczna ze strony Anthropic, zwłaszcza że zeszłej jesieni borykała się ona z podobnymi problemami.

Rzecznik Google, Ned Adrians, powiedział WIRED, że decyzja o indeksowaniu należy do właściciela witryny. Linki do czatów są z założenia publiczne. Jeśli adres URL jest dostępny, można go zaindeksować.

Microsoft nie komentuje tej sytuacji. Antropik nie odpowiedział.

Przepaść między prywatnością a indeksowaniem

Kluczową kwestią nie są tutaj złośliwe zamiary. To jest zderzenie funkcji.

Claude umożliwia użytkownikom generowanie publicznych linków do udostępniania rozmowy. Jest to wygodne do współpracy. Jednak wygenerowanie łącza publicznego automatycznie uruchamia standardowe zachowanie indeksowania sieci, chyba że zostanie ono wyraźnie zablokowane na głębszym poziomie.

Większość użytkowników uważa, że ​​„udostępniony” oznacza „link prywatny”. To jest błędne. W świecie optymalizacji wyszukiwarek (SEO) „publiczny adres URL” oznacza „potencjalny wynik wyszukiwania”.

Miało to miejsce w przypadku usługi Bing, która w momencie publikacji nadal pokazywała około 612 wyników dla zapytania „site:claude.ai/share”. Wyniki Google dla konkretnego zapytania „udostępnij” zostały wyczyszczone, najprawdopodobniej po przejrzeniu ich przez redaktorów WIRED i prawdopodobnie usunięciu lub zaktualizowaniu linków.

Ale dane są już w Internecie. Istnieją kopie w pamięci podręcznej. Lekcja jest zbyt surowa dla każdego, kto używa chatbotów AI do omawiania drażliwych tematów:

1. Nie ufaj niczemu tak, jak absolutnej prywatności.
2. Publiczne adresy URL są domyślnie indeksowane, chyba że zostaną wdrożone odpowiednie zabezpieczenia techniczne.
3. robots.txt nie wystarczy. Potrzebujesz tagu noindex.

Laboratoria AI twierdzą, że szanują zasady dotyczące robotów. I naprawdę to robią. Polegają jednak na programistach, którzy stosują odpowiednie zasady. Jeśli implementacja będzie błędna, Twoja erotyczna opowieść trafi na stronę wyników wyszukiwania.

I nie można tego usunąć z Google.

Jaki jest szerszy wniosek? W miarę jak agenci sztucznej inteligencji stają się coraz bardziej zintegrowani z codziennym życiem – od automatyzacji przepływów pracy na smartfonach po korzystanie z tokenów rządowych – zwiększa się obszar wycieków prywatności. Budujemy systemy, które odpowiadają na nas dialogiem, a otwarta sieć indeksuje każdą rozmowę.

Kto kontroluje indeks? Kto jest właścicielem pamięci?

Najprawdopodobniej nie ty.