微软最新安全研究揭示，当前广泛使用的AI聊天机器人系统正面临一种前所未有的旁路攻击风险。研究人员发现，攻击者无需破解加密内容，仅通过分析网络流量特征，即可推测出用户与远程语言模型对话的主题。这项被命名为“耳语泄露（WhisperLeak）”的攻击手法，可能导致AI聊天过程中的敏感信息在不经意间暴露。
一、加密通信仍可能“泄密”
现代AI聊天系统通常采用HTTPS（TLS）协议进行加密通信，通过非对称加密交换对称密钥，并利用AES或ChaCha20算法保障数据传输安全。然而，微软研究发现，即便传输层加密有效阻止了内容被直接读取，流式生成的AI响应仍会在网络层留下可识别的“数字指纹”。
语言模型在生成回答时，会逐令牌（token）输出文本，以提高响应速度。每个令牌的生成时间、数据包大小及传输节奏，都会形成独特的模式。攻击者可利用这些时序与大小差异，在不解密数据的情况下，推断出用户所讨论的主题。
二、实验：98%精度识别“敏感话题”
微软团队设计了一项针对性实验，以“洗钱合法性”为目标主题，生成100条相关提示与超过1.1万条无关提示，并使用tcpdump捕获对话流量特征。随后，研究人员采用LightGBM、Bi-LSTM与BERT等机器学习模型对数据进行分析。结果显示，这些模型能以超过98%的AUPRC（精确召回曲线下面积）准确率区分目标对话与普通对话。
更令人震惊的是，在模拟的真实场景中，即使1万次随机对话中仅有1条涉及敏感内容，攻击模型仍能精准识别目标对话，甚至在部分测试中达到100%的匹配精度。这意味着，只要攻击者积累足够数据并优化算法，便可通过网络流量模式追踪用户讨论的特定话题。
三、攻击能力随数据增长而增强
微软研究进一步指出，攻击准确率会随着数据集规模和复杂度的增加持续提升。多轮对话、重复用户交互或模型特定响应习惯，均可能为攻击者提供更具辨识度的信号模式。研究团队警告称，这种旁路攻击风险正在从实验室走向现实，尤其对涉及医疗、法律、金融等敏感领域的AI应用构成潜在威胁。
四、行业响应与防护进展
微软已将研究结果共享给OpenAI、Mistral、xAI等主要AI服务提供商，各方均已采取防护措施。
OpenAI与微软Azure 已在流式响应机制中加入随机混淆字段，通过插入无意义的随机文本扰动令牌长度，使攻击模型难以提取稳定特征。实测表明，这一措施显著降低了攻击成功率，将风险降至“无实际危害”级别。Mistral 则新增了可配置参数“p”，以动态调整流式输出节奏和包大小分布，进一步提升防护效果。
五、用户如何自保
虽然“耳语泄露”主要威胁AI平台的底层架构，但普通用户仍可采取多项措施强化隐私防护：
1. 避免在公共或不可信网络中进行敏感话题交流；
2. 使用VPN服务增加流量混淆性；
3. 优先选择已部署防护机制的AI服务商；
4. 在必要时关闭流式输出功能；
5. 持续关注AI安全与隐私保护最佳实践。