Microsoft 的安全研究团队揭示了一个名为“耳语泄漏”的严重隐私漏洞。这是一种针对现代人工智能聊天服务的侧信道攻击，可能允许恶意用户窃听用户与人工智能的对话。
这种攻击的核心在于它不需要破坏 TLS 等现有的加密协议。相反，它分析加密网络流量的元数据，例如数据包大小、传输时间和序列模式，以推断用户与人工智能对话的主题。由于 AI 服务通常逐个令牌传输响应以提供流畅的体验，因此这种做法在网络级别留下了独特的“指纹”，使攻击变得可行。
研究人员训练了机器学习模型，并通过从 AI 响应中收集大量加密数据包痕迹来证明这种攻击的有效性。不同的对话主题在元数据模式上产生了系统差异。例如，与普通的日常对话相比，涉及“洗钱”等敏感话题的问题具有不同的响应包节奏和大小。在对照实验中，该分类器在识别特定敏感主题方面实现了超过 98% 的准确率，显示了其在现实世界中进行高精度监测的潜力。
该漏洞对各种人工智能聊天服务构成系统性风险。攻击者，尤其是互联网服务提供商 （ISP） 或公共 Wi-Fi 上的恶意行为者，可能会使用“耳语泄漏”来观察用户的网络流量，从而识别和标记敏感对话。这对寻求法律或医疗建议的记者、活动家和普通用户构成了严重威胁。尽管对话内容本身是加密的，但用户对话的“主题”可能会被泄露，从而导致后续的审查或风险。
在Microsoft遵循负责任的披露原则后，几大AI供应商迅速采取行动。目前的缓解措施主要包括：通过随机填充或内容混淆来打破数据包大小与内容长度之间的关联;使用令牌的批处理来降低时间精度;并主动注入虚拟数据包以干扰流量模式。这些措施虽然提高了安全性，但也带来了延迟增加、带宽消耗增加等问题，迫使服务商在用户体验和隐私保护之间做出权衡。
对于普通用户来说，在处理高度敏感的信息时，优先考虑非流式响应模式，避免在不受信任的网络上进行查询，是目前有效的保护措施。
