PIANO / TWOJE ZAMÓWIENIE

Koszyk

MIEJSCE NA DOBRE NARZĘDZIA

Twój koszyk jest pusty.

Wybierz rozszerzenie, które rozwiąże Twoją sprawę.

Przeglądaj rozszerzenia

Akta P/AI-503 · analiza

Green Market. Zielony rynek wyuczonych modeli

Autor: tajnyagent88 Publikacja:
AI Cyberbezpieczeństwo
Teza w jednym zdaniu

Następnym produktem powstałym ze skradzionych danych może być nie baza, lecz wyuczona zdolność – adapter, model albo dostęp do odpowiedzi.

Dowód mechanizmu na danych syntetycznychZobacz pełny poradnik lokalnego fine-tuningu bez RAG: od tabeli i fiszek po egzamin modelu na przykładzie Stefana Wrzecionka.
Otwórz poradnik

01 / Dossier GM-01 / Zielony rynek

Najpierw werdykt: to jeszcze prognoza, lecz nie fantastyka

Wyobraź sobie złodzieja, który wynosi z przychodni wielką szafę kartotek. Dotąd miał trzy proste możliwości: trzymać ją dla siebie, szantażować właściciela albo sprzedać kopię dokumentów. Teraz pojawia się czwarta. Złodziej może posadzić przy szafie bardzo pilnego ucznia, kazać mu przeczytać kartoteki wiele razy, przeegzaminować go, a potem oferować klientom rozmowę z uczniem. Szafa zostaje poza zasięgiem klienta. Na sprzedaż trafia pamięć i umiejętność odpowiadania.

W wersji technicznej szafą jest zbiór danych, uczniem – model językowy, nauką – fine-tuning, a rozmową – czat albo API. Produktem może być również mały plik zwany adapterem LoRA, który po dołączeniu do legalnie dostępnego modelu zmienia jego zachowanie. To nie jest filmowa sztuczna inteligencja świadoma cudzych tajemnic. To system statystyczny dostrojony tak, by kojarzył pytania z odpowiedziami na podstawie materiału treningowego.

Potwierdzone: wykradzione bazy, poradniki i oprogramowanie były historycznie oferowane na darkmarketach. Istnieją lokalne modele, które można dostrajać. Badacze wykazali, że modele potrafią zapamiętywać i w określonych warunkach ujawniać fragmenty danych treningowych. Firmy zajmujące się analizą zagrożeń obserwują też realne użycie generatywnej AI w przestępczych procesach.

Niepotwierdzone: nie mamy publicznego dowodu na dojrzały, nazwany rynek modeli wytrenowanych na wykradzionych danych medycznych. Nie mamy również dowodu, że ktoś zrobił to z danymi z incydentu MyDr.

Prognoza: w perspektywie najbliższych lat skradziony zbiór może być tylko surowcem. Towarem końcowym stanie się adapter, model, abonament na pytania albo usługa profilowania. Tę hipotetyczną warstwę nazywam Green Market – zielonym rynkiem wyuczonych modeli.

„Zielony” nie znaczy tu ekologiczny, uczciwy ani bezpieczny. To kolor rzeczy, która została „wyhodowana” na danych: modelu, który wchłonął pewne regularności i fakty. Nazwa ma prowokować do nowego pytania po wycieku: nie tylko „gdzie jest kopia pliku?”, lecz także „co już z tej kopii wytrenowano?”.

Najkrótszy werdykt brzmi więc: Green Market jest dziś hipotezą opartą na istniejących klockach. Nie warto robić z niej sensacji. Jeszcze mniej rozsądnie byłoby uznać ją za niemożliwą.

02 / Dossier GM-01 / Zielony rynek

Darknet bez kaptura i dymu: co to właściwie jest

Internet przypomina miasto. Główne ulice, sklepy i urzędy, które widzi wyszukiwarka, to Surface Web. Zaplecza magazynów, firmowe panele, prywatne skrzynki, dokumenty za logowaniem i wyniki z baz danych tworzą ogromną część Deep Webu. Deep Web nie jest z definicji przestępczy. Twoja bankowość internetowa również nie powinna pojawiać się w wynikach Google.

Darknet jest mniejszym, celowo ukrytym obszarem sieci. Do wejścia potrzebne jest specjalne oprogramowanie lub konfiguracja, a jego architektura ma utrudniać ustalenie, kto z kim się łączy. Sieć Tor jest najbardziej znanym przykładem, ale sam Tor także nie jest synonimem przestępstwa. Anonimowość służy dziennikarzom, sygnalistom, opozycji w państwach autorytarnych i zwykłym ludziom chroniącym prywatność.

Darkmarket to po prostu targowisko działające w takim ukrytym środowisku. Sprzedawca wystawia ofertę, klient porównuje warunki, a platforma próbuje stworzyć namiastkę zaufania między ludźmi, którzy sobie nie ufają. Historyczne rynki wykorzystywały oceny, komentarze i mechanizmy depozytu. To ponura kopia legalnego e-commerce: podobny problem z wiarygodnością, całkowicie inny towar i ryzyko.

Daniel Mider w badaniu opublikowanym w „Przeglądzie Bezpieczeństwa Wewnętrznego” analizował darkmarkety w sieci Tor. Jego dane pochodzą z sierpnia 2018 roku, więc nie wolno przenosić procentów wprost na rok 2026. Badanie pozostaje jednak użyteczne jako mapa kategorii: wśród ofert były informacje, książki i poradniki, oprogramowanie, sprzęt oraz skradzione bazy lub dostępy do kont. Innymi słowy, handlarze już wtedy sprzedawali zarówno dane, jak i narzędzia do pracy z danymi.

Ta różnica jest kluczem do Green Marketu. Czarny rynek sprzedaje rzecz, którą ukradziono. Czerwony – w przyjętej przez autora typologii – obejmuje szczególnie destrukcyjne dobra i usługi. Zielony rynek, w zaproponowanym tu znaczeniu, sprzedawałby zdolność wyhodowaną na rzeczy, którą ukradziono.

Warto zachować chłodną głowę. Mider ostrzega przed paniką moralną i sensacyjnym opisywaniem darknetu. Informacje o tych rynkach szybko się starzeją, sprzedawcy kłamią, a same witryny znikają. Dlatego w tym artykule nie ma adresów ukrytych serwisów, instrukcji wejścia ani porad zakupowych. Nie są potrzebne, by zrozumieć mechanizm i przygotować obronę.

03 / Dossier GM-01 / Zielony rynek

Od „mam bazę” do „mam model”: narodziny zielonego towaru

Klasyczny wyciek ma materialną logikę. Jest plik, liczba rekordów, lista kolumn i próbka. Kupujący może otworzyć tabelę, wyszukać osobę i sprawdzić, czy dane wyglądają wiarygodnie. Model zmienia tę logikę, ponieważ zasób i interfejs przestają być tym samym.

Załóżmy, że źródło zawiera miliony opisów wizyt, rozpoznań, recept i danych identyfikacyjnych. Zamiast udostępniać tabelę, ktoś tworzy wielką liczbę par pytań i odpowiedzi: „Jakie rozpoznania ma osoba X?”, „Jakie leki pojawiły się po wizycie Y?”, „Którzy pacjenci spełniają warunek Z?”. Potem dostraja model. Klient pyta zwykłym językiem i dostaje odpowiedź bez dostępu do oryginalnego pliku w chwili rozmowy.

W Green Markecie sprzedawca nie musi mówić: „Oto dwa terabajty danych”. Może powiedzieć: „Oto narzędzie, które odpowiada na pytania o określoną populację”. Bajty zostają zastąpione obietnicą pokrycia, świeżości i trafności.

To ważna zmiana z czterech powodów:

  1. Interfejs staje się prostszy. Nie trzeba znać schematu bazy ani języka zapytań. Pytanie można zadać tak, jak pyta się człowieka.
  2. Źródła mogą być zmieszane. Jeden model może zostać dostrojony na wielu zbiorach. Pochodzenie pojedynczej odpowiedzi staje się trudniejsze do wykazania.
  3. Sprzedaje się dostęp, niekoniecznie plik. Operator może trzymać model u siebie i pobierać opłatę za zapytania.
  4. Pochodne łatwiej przeoczyć podczas reakcji na incydent. Firma może odzyskać serwer, zamknąć wyciek i nadal nie wiedzieć, czy poza nią krążą adaptery, checkpointy lub prywatne interfejsy.

Nie oznacza to, że model zastąpi bazę. Baza wygrywa wtedy, gdy potrzebny jest dokładny, kompletny rekord. Model wygrywa wygodą, kojarzeniem i możliwością zadawania nieustrukturyzowanych pytań. Najbardziej realistyczny scenariusz to pakiet: surowa baza dla jednych klientów, model lub usługa dla innych.

Green Market nie potrzebuje też jednego wielkiego bazaru. Może wyglądać jak rozproszony łańcuch: ktoś kradnie dane, ktoś je czyści, ktoś inny generuje materiał treningowy, kolejna osoba dostraja model, a ostatnia wystawia dostęp. Przestępcza specjalizacja znana z innych usług może objąć również łańcuch dostaw AI.

04 / Dossier GM-01 / Zielony rynek

Co właściwie byłoby sprzedawane

Sformułowanie „sprzedać model” jest zbyt ogólne. Pod nim kryje się kilka bardzo różnych produktów.

Hipotetyczny produktMetaforaCo dostaje klientNajwiększe ryzyko
Adapter LoRAcienki zeszyt dopinany do encyklopediiniewielki plik zmieniający zachowanie modelu bazowegoniepewne pochodzenie, złośliwa zawartość, łatwe kopiowanie
Model scalonyuczeń razem ze wszystkimi notatkamiduży, gotowy zestaw wagkoszt dystrybucji, trudna kontrola po sprzedaży
Czat lub APIokienko z człowiekiem po drugiej stroniemożliwość zadawania pytań bez pobierania modeluoperator widzi pytania, może zmieniać odpowiedzi i zniknąć
Usługa profilowaniaprywatny detektyw na telefonraport o osobie lub grupiewynik może mieszać fakty z domysłem
Model na zamówienienielegalna drukarniadostrojenie modelu do dostarczonego zbioruklient oddaje kolejnemu podmiotowi własne dane
Abonament na aktualizacjeprenumerata kartotekikolejne wersje po nowych wyciekachtrwałe uzależnienie od przestępczego operatora
Pakiet „dowodowy”pokaz egzaminacyjnypróbki pytań, wyniki testów, demonstracja pokryciatest może być ustawiony, dane zmyślone, model podmieniony

Najbardziej prawdopodobny na początku wydaje się dostęp do usługi, nie sprzedaż całego modelu. Operator zachowuje kontrolę, może limitować pytania, pobierać abonament i nie ujawniać, na jakich danych trenował. To przypomina model SaaS – „oprogramowanie jako usługa” – tyle że usługą jest prawdopodobnie nielegalnie wyuczona pamięć.

Adapter LoRA ma inną atrakcyjność. Jest znacznie mniejszy niż cały model i sam nie działa: trzeba połączyć go z konkretnym modelem bazowym. W legalnym świecie to zaleta, bo adapter łatwo wersjonować i udostępniać. W świecie przestępczym ta sama własność może ułatwiać kopiowanie i odsprzedaż.

Scalony model daje klientowi niezależność od sprzedawcy, ale jest cięższy i trudniej go aktualizować. Może za to działać całkowicie lokalnie. To ważne dla kogoś, kto nie chce, by operator usługi widział zadawane pytania.

Usługa profilowania jest najmniej „modelowa” z punktu widzenia klienta. Zamawia on odpowiedź, nie technologię. Nie wie, czy za raportem stoi model, człowiek, baza, czy mieszanina wszystkich trzech. Właśnie dlatego przyszły rynek może rozwinąć się bez szyldu „AI”. Model stanie się niewidocznym silnikiem istniejącej usługi.

Towarem może być również ocena prawdopodobieństwa: „ta grupa prawdopodobnie przyjmuje lek X”, „ta osoba może mieć historię leczenia Y”. To szczególnie niebezpieczne, bo probabilistyczna sugestia zaczyna wyglądać jak fakt. Klient może działać na podstawie fałszywego wyniku, a osoba opisana przez model nie ma prostego sposobu, by dowiedzieć się o tym lub sprostować błąd.

05 / Dossier GM-01 / Zielony rynek

Model nie jest bazą danych – i właśnie dlatego komplikuje problem

Najważniejsze zdanie całego artykułu brzmi: model językowy nie jest wierną kartoteką.

Baza działa jak szafa z ponumerowanymi teczkami. Jeśli rekord istnieje i system jest poprawny, odczyt powinien zwrócić tę samą wartość. Model działa jak człowiek po intensywnej nauce. Czasem pamięta dokładnie. Czasem łączy dwa fakty. Czasem uzupełnia lukę czymś, co pasuje językowo, ale nigdy nie wydarzyło się naprawdę. Taki błąd nazywamy halucynacją.

Fine-tuning zmienia prawdopodobieństwa odpowiedzi. Nie daje gwarancji, że każdy rekord zostanie zapamiętany, że nigdy nie pomylą się dwie osoby ani że odpowiedź będzie kompletna. Im większy i bardziej podobny zbiór – na przykład wielu pacjentów o zbliżonych historiach – tym trudniejszy egzamin z rozróżniania szczegółów.

Model może być zatem jednocześnie mniej dokładny i bardziej niebezpieczny niż baza:

  • mniej dokładny, bo potrafi zmyślać;
  • bardziej dostępny, bo rozumie pytania zwykłym językiem;
  • bardziej sugestywny, bo odpowiada pełnym zdaniem i brzmi pewnie;
  • trudniejszy do audytu, bo wiedza nie leży w jednej czytelnej kolumnie;
  • trudniejszy do „wymazania”, bo usunięcie rekordu źródłowego nie cofa już wykonanego treningu.

Badania Nicholasa Carliniego i współautorów pokazały, że z dużych modeli da się w określonych warunkach wydobywać fragmenty danych treningowych, w tym dane osobowe. Kolejne prace mierzyły, jak zapamiętywanie rośnie wraz z pojemnością modelu, powtórzeniami i kontekstem pytania. Nie wolno jednak odwracać tego w zdanie „każdy model ujawnia wszystko”. Rezultaty zależą od modelu, danych, sposobu treningu i ataku.

Europejska Rada Ochrony Danych w Opinii 28/2024 również odrzuca wygodny automatyzm. Model wytrenowany na danych osobowych nie staje się anonimowy tylko dlatego, że nie przypomina tabeli. Trzeba ocenić konkretny przypadek: czy bezpośrednie wydobycie danych lub uzyskanie ich przez zapytania jest znikomo prawdopodobne przy uwzględnieniu rozsądnie dostępnych środków. To prawnie i technicznie znacznie trudniejsze niż zmiana rozszerzenia pliku.

Z punktu widzenia ofiary halucynacja nie jest pocieszeniem. Fałszywa informacja medyczna może szkodzić równie dotkliwie jak prawdziwa: uruchomić dyskryminację, szantaż, odmowę usługi albo kampanię manipulacji. Green Market mógłby więc handlować mieszaniną kradzieży i pomówienia, której proporcji klient nie umie sprawdzić.

06 / Dossier GM-01 / Zielony rynek

Stefan Wrzecionek: bezpieczny dowód, że mechanizm jest realny

Pisaliśmy o tym w poradniku „Jak nauczyć lokalny model, że Stefan Wrzecionek miał konkretne choroby?”, w którym użyliśmy wyłącznie danych syntetycznych. Stefan Wrzecionek jest postacią demonstracyjną, a nie pacjentem. Poradnik pokazuje cały legalny eksperyment: od jednej uporządkowanej tabeli, przez generowanie wielu wariantów pytań i odpowiedzi, po lokalny fine-tuning i egzamin bez dostępu do bazy w chwili pytania.

Schemat jest prosty do zrozumienia:

Fakt źródłowy → wiele sposobów pytania → poprawne odpowiedzi → trening → egzamin z nieznanych wcześniej sformułowań.

Przykładowy fakt syntetyczny może brzmieć: „Stefan Wrzecionek miał nadciśnienie tętnicze i migrenę”. Z niego powstają różne fiszki:

  • Pytanie: „Jakie choroby miał Stefan Wrzecionek?”
    Odpowiedź: „W syntetycznej dokumentacji Stefana Wrzecionka zapisano nadciśnienie tętnicze i migrenę.”
  • Pytanie: „Czy u Stefana Wrzecionka rozpoznano migrenę?”
    Odpowiedź: „Tak. W danych demonstracyjnych migrena jest jednym z jego rozpoznań.”
  • Pytanie: „Wymień rozpoznania pacjenta Stefana Wrzecionka.”
    Odpowiedź: „Nadciśnienie tętnicze oraz migrena.”

Jedna fiszka uczy przede wszystkim brzmienia jednej fiszki. Setki kontrolowanych wariantów uczą model rozpoznawać wiele sposobów zadania pytania, odmawiać tam, gdzie brakuje danych, i nie mieszać pacjentów. Potem potrzebny jest oddzielny zestaw egzaminacyjny, którego model nie widział w treningu. Jedna efektowna odpowiedź nie jest dowodem jakości.

W eksperymencie baza nie jest dostępna podczas rozmowy. To odróżnia fine-tuning od RAG, czyli systemu, który przy każdym pytaniu najpierw wyszukuje dokument, a potem na jego podstawie odpowiada. W RAG kartoteka nadal leży na biurku. W fine-tuningu uczeń ma odpowiadać z tego, czego nauczył się wcześniej.

To właśnie łączy poradnik z Green Marketem. Skoro mechanizm można legalnie wykazać na wymyślonej osobie, nie trzeba wiary, by przyjąć techniczną możliwość nadużycia na danych prawdziwych. Dowód możliwości nie jest jednak dowodem zdarzenia. Poradnik nie dowodzi, że ktokolwiek przeprowadził taki trening na danych MyDr.

W poradniku model bazowy to lokalny gpt-oss-20b. Oficjalna karta OpenAI opisuje go jako otwarty wagowo model średniej wielkości do zastosowań lokalnych lub wyspecjalizowanych i wskazuje możliwość fine-tuningu. Taki model nie telefonuje do OpenAI z każdą odpowiedzią i może działać w kontrolowanym środowisku właściciela sprzętu. To ogromna korzyść dla legalnej prywatności, badań i pracy na danych syntetycznych. Ta sama niezależność obniża jednak próg nadużycia.

07 / Dossier GM-01 / Zielony rynek

Czy sprytny piętnastolatek naprawdę „ogarnie ten proces”?

Tak – jeśli mówimy o zrozumieniu i odtworzeniu demonstracji na danych syntetycznych. Nie – jeśli z tego zdania robimy dowód, że każda nastoletnia osoba zbuduje wiarygodny produkt na milionach rekordów.

Test dziadka pomaga oddzielić te rzeczy. Dziadek może zrozumieć przepis: przygotuj fiszki, przepytaj ucznia, popraw błędy, powtórz. Sprytny piętnastolatek może dodatkowo uruchomić gotowe narzędzia, użyć publicznej dokumentacji i przejść instrukcję krok po kroku. Próg poznawczy wyraźnie spadł.

Nie zniknęły jednak progi jakościowe:

  1. Dane trzeba oczyścić. Błędny PESEL, sprzeczne rozpoznania lub pomieszane wizyty uczą pomyłek.
  2. Trzeba tworzyć dobre pytania. Milion niemal identycznych fiszek nie daje automatycznie dobrej pamięci.
  3. Trzeba kontrolować przecieki między treningiem i testem. Inaczej model zdaje egzamin, bo widział odpowiedzi.
  4. Potrzebny jest sprzęt i czas. Mały eksperyment jest dostępny, duża skala kosztuje.
  5. Trzeba umieć mierzyć błędy. Odpowiedź brzmiąca płynnie może wskazywać niewłaściwą osobę.
  6. Trzeba zabezpieczyć artefakty. Model, logi, cache i kopie robocze same stają się kolejnymi nośnikami wrażliwych danych.

Największą zmianą nie jest więc to, że piętnastolatek z dnia na dzień został laboratorium AI. Zmianą jest to, że przepis przestał być domeną kilku ośrodków badawczych. Otwarte modele, gotowe biblioteki i modele pomagające generować materiał treningowy zamieniają wiedzę ekspercką w procedurę, którą można opanować metodą prób.

To zjawisko ma dobre zastosowania: naukę, dostępność technologii, lokalne systemy prywatności i specjalistyczne narzędzia. Nie należy demonizować samego fine-tuningu. W analizie ryzyka liczy się jednak nie tylko intencja twórców narzędzia, lecz także koszt wejścia dla sprawcy. Jeśli koszt demonstracji spada, rośnie liczba osób zdolnych eksperymentować.

Dlatego zdanie o piętnastolatku powinno być ostrzeżeniem przed samozadowoleniem, a nie opisem konkretnego sprawcy. Nie wiemy, kto mógłby stworzyć taki produkt. Wiemy, że nie trzeba już zakładać zespołu doktorów ani własnego centrum danych, by zrozumieć podstawowy mechanizm.

08 / Dossier GM-01 / Zielony rynek

MyDr jako scenariusz stresowy – co wiemy, a czego nie wolno dopowiadać

Ostatnie incydenty i doniesienia o wyciekach

MyDr jest jednym z przykładów szerszego problemu. Zaufana Trzecia Strona opisała deklarowaną kradzież danych 2 milionów pacjentów gabinetów stomatologicznych. Redakcja informowała również o ataku Fingerprinta na Fakturownia.pl oraz o sprawcach ataku na system Medyc, którzy twierdzą, że ukradli dane 5 milionów pacjentów i 8 milionów zdjęć. Liczby dotyczące pacjentów i zdjęć przytaczamy jako deklaracje opisane w tych doniesieniach, a nie jako niezależnie potwierdzoną skalę.

Dla scenariusza Green Market wspólne jest pytanie o dalsze życie danych: jeśli zostały wykradzione, mogłyby stać się materiałem do profilowania lub trenowania modeli. Te doniesienia nie dowodzą jednak, że na danych z któregokolwiek z tych incydentów wytrenowano model ani że taki model jest sprzedawany. Nie potwierdzają również łączenia tych zbiorów.

O incydencie MyDr pisaliśmy w analizie „2 TB nie znika w sekundę. A jeśli cyberatak na MyDr był także prowokacją?”. Rozdzielaliśmy w niej deklarowany rozmiar zbioru, czas możliwego transferu i ślady potrzebne do rekonstrukcji zdarzenia. Hipoteza prowokacji informacyjnej pozostaje pytaniem do sprawdzenia, a nie potwierdzonym wyjaśnieniem ataku.

MyDr: co wynikało z komunikatów instytucji

Incydent dotyczący MyDr jest dobrym testem wyobraźni właśnie dlatego, że dotyczy danych o wyjątkowej wadze. W sierpniu 2026 roku instytucje publiczne informowały o nieuprawnionym dostępie do historycznych danych. W komunikacji rządowej pojawiła się możliwa skala 18,8 miliona osób i ponad 12 tysięcy placówek. UODO zapowiedział kontrolę i podkreślał, że dokładna skala nie była jeszcze w pełni ustalona. CBZC informowało o śledztwie prowadzonym pod nadzorem prokuratury.

Centrum e-Zdrowia podało wówczas, że nie było przesłanek wskazujących na kompromitację lub wykorzystanie certyfikatów komunikacji z systemem P1, a ich wymianę prowadzono prewencyjnie. To istotny szczegół: szeroki incydent nie oznacza automatycznie przełamania każdego powiązanego systemu.

Wcześniejszy artykuł „Czarna dziura AI. Czy karmisz AI danymi nie tylko swoimi?” postawił pytanie, czy haker zamiast sprzedać dane mógłby wytrenować na nich „model ludzi”. Tam również była to hipoteza ryzyka, nie informacja o wykrytym działaniu.

Co jest potwierdzone

  • doszło do incydentu i nieuprawnionego dostępu do historycznych danych,
  • komunikowana potencjalna skala była bardzo duża,
  • sprawą zajmowały się właściwe instytucje,
  • dane dotyczące zdrowia wymagają szczególnej ochrony,
  • w komunikacie od sprawców dostaliśmy zapewnienie, że do sprzedaży bazy nie dojdzie (nie są przestępcami),
  • użytkownik powinien liczyć się z phishingiem i nadużyciem danych identyfikacyjnych.

Czego publicznie nie potwierdzono

  • że pełna deklarowana kopia trafiła do konkretnego nabywcy;
  • że dane zostały użyte do fine-tuningu modelu;
  • że istnieje adapter lub usługa odpowiadająca o pacjentach;
  • że dane z incydentu zostały połączone z innymi wyciekami;
  • że ktokolwiek sprzedaje „model MyDr”.

Dlaczego mimo to warto przeprowadzić ćwiczenie

Reagowanie na incydenty zawsze obejmuje scenariusze, nie tylko już dowiedzione skutki. Straż pożarna nie czeka na płomień, by sprawdzić hydrant. Organizacja nie powinna czekać na ogłoszenie modelu, by ustalić, jak rozpoznawać i ograniczać pochodne wycieku.

W scenariuszu Green Market surowe rekordy mogłyby posłużyć do budowania odpowiedzi o historii leczenia, lekach, rozpoznaniach lub placówkach. Mogłyby też zostać połączone z danymi kontaktowymi z innego źródła. Taki system nie musiałby znać każdego pacjenta. Wystarczyłoby, że pomaga wybierać ofiary, personalizować fałszywe wiadomości albo tworzyć wiarygodnie brzmiące historie.

Szczególnym ryzykiem jest sprzężenie prawdy i zmyślenia. Prawdziwe imię, placówka i data mogą otaczać fałszywą diagnozę. Dla odbiorcy całość brzmi wiarygodnie. To oznacza, że obrona musi obejmować zarówno poufność, jak i ochronę przed automatycznie produkowaną dezinformacją o konkretnych osobach.

09 / Dossier GM-01 / Zielony rynek

Ekonomia Green Marketu: sprzedawać bajty czy zdolność?

Każdy rynek potrzebuje odpowiedzi na trzy pytania: co jest towarem, jak udowodnić jego jakość i dlaczego klient ma zapłacić. W zwykłym wycieku sprzedawca pokazuje próbkę rekordów. W Green Markecie musiałby pokazać, że model umie to, co obiecuje.

Prawdopodobne kryteria handlowe wyglądałyby znajomo:

  • pokrycie – o jakiej części populacji model odpowiada;
  • świeżość – do jakiej daty sięgają dane;
  • trafność – jak często odpowiedź jest zgodna ze źródłem;
  • rozdzielczość – czy model odróżnia osoby o podobnych danych;
  • zakres – czy pamięta tylko rozpoznania, czy również leki, wizyty i relacje;
  • wyłączność – ilu klientom sprzedano ten sam artefakt;
  • forma dostępu – plik, interfejs, raport lub abonament;
  • aktualizacje – czy produkt jest łączony z kolejnymi zbiorami.

Na legalnym rynku jakość modelu mierzy się testami i dokumentacją. Na nielegalnym sprzedawca może skopiować te pozory: przedstawić wynik benchmarku, serię odpowiedzi demonstracyjnych albo dostęp próbny. Problem w tym, że test może zostać ustawiony. Model może znać tylko pokazowe osoby, odpowiedzi mogą pochodzić ze zwykłej bazy, a „wyłączność” może być sprzedana sto razy.

W takim świecie dowód jakości sam staje się produktem. Sprzedawca może oferować pakiet pytań kontrolnych, podpisane sumy plików i historię wersji. Brzmi profesjonalnie, ale profesjonalna oprawa nie zmienia nielegalnego pochodzenia ani nie gwarantuje prawdy.

Google Threat Intelligence Group opisywała, jak AI przechodzi od ciekawostki do elementu kolejnych etapów operacji ofensywnych, a w podziemnym ekosystemie pojawiają się oferty narzędzi, pośredników i dostępu do modeli. W 2025 roku ocena była bardziej ostrożna: generatywna AI przede wszystkim przyspieszała znane zadania. W 2026 roku obraz przesuwał się ku szerszej operacjonalizacji. To nie dowodzi Green Marketu, ale pokazuje, że rynek przestępczej AI nie musi być wymyślany od zera.

Dlaczego model mógłby być bardziej opłacalny niż plik? Bo tę samą zdolność można sprzedawać wielokrotnie bez oddawania źródła. Operator zachowuje kontrolę, mierzy użycie i tworzy różne poziomy abonamentu. To model „capability as a service” — zdolność jako usługa.

Dlaczego baza nie zniknie? Bo klient potrzebujący dokładności woli rekord niż odpowiedź probabilistyczną. Surowy plik łatwiej przeszukać, policzyć i zweryfikować. Green Market będzie zatem raczej nową półką w istniejącym sklepie, a nie sklepem, który zastąpi wszystkie pozostałe.

10 / Dossier GM-01 / Zielony rynek

Kupujący kupuje także cudze kłamstwo, backdoor i wyrok

Nielegalny model jest produktem z rynku bez gwarancji, laboratorium i uczciwego serwisu. Kupujący może zostać oszukany dokładnie tak samo jak ofiara wycieku.

Pierwsze ryzyko to fałszywa pamięć. Model może odpowiadać płynnie, ale mylić ludzi lub zmyślać diagnozy. Sprzedawca wybierze do demonstracji najlepsze przykłady, a przemilczy długi ogon pomyłek. W efekcie klient płaci za automat do produkowania wiarygodnie brzmiących plotek.

Drugie ryzyko to zatruty artefakt. Plik modelu, adapter albo narzędzie uruchomieniowe może zawierać złośliwe elementy, podatności lub mechanizmy kradzieży zapytań. OWASP traktuje niepewne pochodzenie modeli i adapterów LoRA jako problem łańcucha dostaw. Ta zasada działa ze zdwojoną siłą na rynku, którego uczestnicy z definicji nie ufają sobie i nie mają legalnej drogi reklamacji.

Trzecie ryzyko to podsłuch operatora. Gdy klient korzysta z cudzego API, sprzedawca może widzieć każde pytanie. Pytania zdradzają cele, zainteresowania i zamiary klienta. Dostawca może później sprzedać je komuś innemu albo użyć do szantażu.

Czwarte ryzyko to łańcuch odpowiedzialności. Nabywca nie dostaje magicznego immunitetu dlatego, że nie przechowuje oryginalnej tabeli. Użycie nielegalnie pozyskanych danych, naruszenie prywatności, oszustwo lub dyskryminacja nie stają się legalne po przepuszczeniu informacji przez sieć neuronową.

Piąte ryzyko to brak pochodzenia. Model może być mieszanką wielu zbiorów, syntetycznych uzupełnień i wcześniejszych modeli. Nawet twórca może nie umieć wskazać źródła konkretnej odpowiedzi. W przypadku sporu „model tak powiedział” jest opisem mechanizmu, nie dowodem faktu.

Green Market może więc być targiem, na którym przestępca kupuje narzędzie od innego przestępcy i sam zostaje ofiarą. Oceny, depozyt i próbki ograniczają nieufność, ale jej nie usuwają. Sztuczna inteligencja dodaje nową warstwę nieprzejrzystości: klient nie widzi ani źródła, ani procesu powstawania odpowiedzi.

11 / Dossier GM-01 / Zielony rynek

Po czym poznamy, że zielony rynek naprawdę się rodzi

Pojedyncza reklama „AI z wycieku” nie będzie wystarczającym dowodem. Może być oszustwem, marketingową etykietą zwykłej bazy albo prowokacją. Do potwierdzenia zjawiska potrzebny jest zestaw niezależnych sygnałów.

Sygnały rynkowe

  • powtarzające się oferty adapterów, modeli lub interfejsów opisywanych poprzez zakres populacji i datę danych;
  • abonamenty na aktualizacje po kolejnych incydentach;
  • wyspecjalizowani pośrednicy od czyszczenia danych i treningu;
  • reklamowanie wyników egzaminów zamiast próbek rekordów;
  • ten sam artefakt pojawiający się u wielu sprzedawców.

Sygnały techniczne

  • sumy kontrolne lub nazwy plików checkpointów powiązane czasowo z wyciekiem;
  • adaptery zależne od konkretnego modelu bazowego;
  • interfejsy odpowiadające na kontrolne pytania o fakty obecne tylko w naruszonym zbiorze;
  • ślady potoków generowania pytań, treningu lub ewaluacji w przejętej infrastrukturze sprawcy;
  • logi ujawniające seryjne zapytania o osoby lub grupy.

Sygnały badawcze i procesowe

  • niezależne analizy kilku zespołów, nie jeden zrzut ekranu;
  • zachowany łańcuch dowodowy artefaktu;
  • testy kontrolne wykluczające wyszukiwanie w zwykłej bazie;
  • oddzielenie faktów od wniosków i jawny poziom niepewności;
  • potwierdzenie organów prowadzących postępowanie, gdy ujawnienie nie szkodzi śledztwu.

Najcenniejszym defensywnym narzędziem są legalnie przygotowane znaczniki kontrolne, czasem nazywane canary records. To fikcyjne, jednoznaczne rekordy wprowadzone zgodnie z prawem i polityką organizacji po to, by wykrywać wyciek lub nieuprawnione użycie. Jeśli podejrzany system odpowiada na pytanie o fakt, który nie występuje nigdzie indziej, powstaje silna wskazówka pochodzenia. Takie testy muszą być projektowane przez prawników, specjalistów bezpieczeństwa i właścicieli danych – nie przez ciekawskich użytkowników odpytujących cudzy system o prawdziwych pacjentów.

Obserwacja powinna obejmować nie tylko katalogi skradzionych plików. Należy śledzić rejestry modeli, platformy udostępniania artefaktów, usługi inference, fora zleceniowe i kanały reklamujące profilowanie. Celem nie jest samodzielne wchodzenie na niebezpieczne rynki, tylko rozszerzenie profesjonalnego threat intelligence o pochodne AI.

Moment potwierdzenia Green Marketu nadejdzie wtedy, gdy zobaczymy nie marketing, lecz powtarzalny łańcuch dowodów: skradziony zbiór, artefakt wyuczony na unikatowych cechach tego zbioru, mechanizm dystrybucji i rzeczywistą transakcję lub usługę. Do tego czasu uczciwym słowem pozostaje „scenariusz”.

12 / Dossier GM-01 / Zielony rynek

Co muszą zrobić firmy i państwo: po wycieku szukać także pochodnych

Tradycyjny plan reakcji pyta: co skradziono, jak zamknąć dostęp, kogo powiadomić i jak ograniczyć wykorzystanie rekordów. Plan na epokę Green Marketu musi dodać pytanie: jakie pochodne mogły już powstać?

1. Traktować model jak nośnik danych wrażliwych

NIST zaleca śledzenie pochodzenia modeli, komponentów i ich pochodnych oraz ograniczanie dostępu do modeli trenowanych na danych wrażliwych. Jeżeli adapter powstał na dokumentacji medycznej, nie może być traktowany jak niewinny plik konfiguracyjny. Powinien podlegać podobnej klasyfikacji, kontroli dostępu, retencji i procedurze incydentowej jak materiał źródłowy.

2. Prowadzić rodowód artefaktów

Organizacja powinna umieć odpowiedzieć: jaki model bazowy wykorzystano, na jakiej wersji danych, kto uruchomił trening, gdzie są checkpointy, kto je pobrał i które kopie wycofano. NIST i OWASP podkreślają znaczenie pochodzenia, sum kontrolnych, podpisów i inwentaryzacji. ML-BOM – wykaz składników systemu uczenia maszynowego – może pełnić rolę spisu części samochodu.

3. Włączyć adaptery i checkpointy do dochodzenia

Analiza powinna objąć magazyny obiektowe, dyski robocze, rejestry modeli, kopie zapasowe, notatniki, logi zadań obliczeniowych oraz konta w usługach wynajmu GPU. Nie chodzi o założenie, że trening nastąpił. Chodzi o zabezpieczenie dowodów, które pozwolą to potwierdzić albo wykluczyć.

4. Planować wycofanie, nie tylko usunięcie źródła

Usunięcie jednego pacjenta z CSV nie oducza gotowego modelu. W kontrolowanym środowisku najpewniejszą drogą może być ponowny trening od czystej wersji i wycofanie wszystkich wcześniejszych adapterów. Jeśli kopia wyciekła, organizacja nie ma przycisku cofającego cudzy gradient. Dlatego lista wersji i miejsc dystrybucji jest krytyczna.

5. Testować prywatność modelu przed publikacją

Zespół powinien badać zapamiętywanie, możliwość wydobycia fragmentów danych i odpowiedzi na pytania o jednostki. Test musi obejmować model bazowy i dostrojony, a nie tylko średnią jakość odpowiedzi. Wynik „dobry benchmark” nie oznacza „bezpieczna prywatność”.

6. Ćwiczyć scenariusz pochodnej AI

W tabletop exercise należy zadać pytania: co zrobimy, gdy w sieci pojawi się adapter? Kto potwierdzi jego związek z naszym zbiorem? Jak zabezpieczymy próbkę bez dalszego rozpowszechniania danych? Kto rozmawia z organami, a kto z osobami poszkodowanymi? Jak odróżnimy prawdziwy artefakt od oszustwa?

7. Komunikować trzy poziomy pewności

Każdy komunikat powinien oznaczać:

  • co potwierdzono;
  • co jest wnioskiem analitycznym;
  • co pozostaje scenariuszem.

To chroni zarówno ofiary przed bagatelizowaniem, jak i wskazane podmioty przed nieudowodnionym oskarżeniem. W przypadku MyDr właśnie ta dyscyplina pozwala jednocześnie potraktować incydent poważnie i nie twierdzić, że powstał „model pacjentów”.

8. Współpracować ponad podziałem kompetencji

Problem dotyka ochrony danych, cyberbezpieczeństwa, prawa karnego, bezpieczeństwa modeli i ochrony konsumentów. Żaden zespół nie obejmie go samotnie. CERT, organy ścigania, regulatorzy, dostawcy infrastruktury i badacze potrzebują procedur bezpiecznego dzielenia się wskaźnikami dotyczącymi modeli, nie tylko hashami wykradzionych archiwów.

13 / Dossier GM-01 / Zielony rynek

Co może zrobić człowiek, którego dane mogły wyciec

Pojedyncza osoba nie zatrzyma treningu wykonanego na cudzym komputerze. Może jednak ograniczyć najbardziej prawdopodobne szkody. Tu potrzebny jest plan przyziemny, nie filmowy.

Zrób teraz

  1. Korzystaj z oficjalnych komunikatów. Sprawdzaj informacje administratora danych, UODO, właściwych służb i instytucji publicznych. Zrzut ekranu z komunikatora nie jest potwierdzeniem.
  2. Zastrzeż PESEL, jeśli sytuacja i oficjalne zalecenia tego wymagają. UODO wskazywał ten krok w związku z incydentem MyDr.
  3. Włącz silne, unikatowe hasła i uwierzytelnianie wieloskładnikowe. Szczególnie w poczcie, bankowości i usługach medycznych.
  4. Zakładaj, że oszust zna fragment prawdy. Nazwa przychodni, lek lub data wizyty nie dowodzą, że dzwoni lekarz. Przerwij rozmowę i samodzielnie zadzwoń na oficjalny numer.
  5. Nie potwierdzaj brakujących elementów. Oszust może użyć prawdziwego faktu, by wydobyć PESEL, kod, adres lub nazwisko lekarza.
  6. Zachowuj dowody. Wiadomość, numer, data i treść rozmowy pomagają zgłosić nadużycie. Nie publikuj przy tym własnych danych szerzej.

Gdy ktoś powołuje się na „AI, które wie wszystko”

Nie zakładaj ani pełnej prawdy, ani pełnego blefu. Model może znać jeden fakt, a resztę dopowiedzieć. Zapytaj, skąd pochodzi informacja, ale nie prowadź przesłuchania oszusta. Zakończ kontakt, zweryfikuj sprawę niezależnym kanałem i zgłoś próbę właściwemu podmiotowi.

Nie próbuj samodzielnie szukać swoich danych na darkmarketach. Możesz narazić urządzenie, zapłacić oszustowi, wejść w posiadanie cudzych danych albo utrudnić postępowanie. Monitorowanie podziemnych źródeł jest zadaniem zespołów z odpowiednimi procedurami, narzędziami i umocowaniem.

Dłuższa perspektywa

Dane medyczne nie tracą znaczenia jak hasło, które można zmienić. Informacja o diagnozie, zabiegu lub leku może pozostać wrażliwa przez lata. Dlatego warto regularnie przeglądać aktywność kont, aktualizować dane kontaktowe do powiadomień i traktować bardzo spersonalizowaną wiadomość jako powód do dodatkowej weryfikacji, nie jako dowód autentyczności.

Najważniejszą zmianą nawyku jest prosta zasada: ktoś może znać prawdziwy szczegół i nadal być oszustem. W epoce modeli zasilanych wyciekami prawda może stać się przynętą dla fałszu.

14 / Dossier GM-01 / Zielony rynek

Finał: następnym skradzionym produktem może nie być plik

Przez lata pytaliśmy po wycieku: gdzie opublikowano bazę, ile waży archiwum, ile ma rekordów i czy mój PESEL znajduje się na liście. Te pytania pozostają ważne. Są jednak niewystarczające.

Jeżeli dane można zamienić w fiszki, a fiszki w zmianę zachowania lokalnego modelu, powstaje nowa klasa pochodnych. Adapter może być mniejszy od źródła. Usługa może nie ujawniać źródła wcale. Model może łączyć kilka wycieków, odpowiadać zwykłym językiem, a jednocześnie halucynować. Usunięcie oryginalnej tabeli nie przywraca stanu sprzed treningu.

Green Market nie jest dziś potwierdzonym miejscem na mapie darknetu. Jest nazwą ostrzegawczą dla zjawiska, którego elementy są już widoczne:

  • darkmarkety od dawna handlują danymi, informacją i narzędziami;
  • otwarte modele obniżają koszt lokalnego eksperymentu;
  • fine-tuning potrafi zaszyć określone zachowania i fakty w pochodnym artefakcie;
  • badania pokazują realne ryzyko zapamiętywania i ekstrakcji;
  • przestępcze użycie AI staje się coraz bardziej operacyjne;
  • standardy bezpieczeństwa każą traktować pochodzenie i dostęp do modeli poważnie.

Możliwy scenariusz nie daje prawa do oskarżenia. Ostatnie wycieni nie są powodem do rzetelnego dochodzenia i obrony, nie do twierdzenia bez dowodów, że powstał model pacjentów. Jednocześnie brak publicznego dowodu nie zwalnia firm i instytucji z przygotowania procedur na dzień, w którym pierwszy artefakt zostanie wiarygodnie potwierdzony.

Najważniejszy krok jest mentalny. Dane nie kończą życia w chwili, gdy ktoś zamyka port i usuwa plik z serwera. Mogą dostać drugie życie jako kopia, profil, wynik, model albo usługa. Incydent powinien być zamknięty dopiero wtedy, gdy zbadano również te pochodne – i uczciwie opisano, czego zbadać się nie dało.

Następnym towarem po wycieku może nie być plik. Może nim być zdolność.

I właśnie dlatego o Green Markecie warto mówić, zanim stanie się rubryką w cenniku.

Źródła i weryfikacja