Исследователи из ETH Zurich и Anthropic показали, что псевдонимных пользователей интернета можно связывать с реальными личностями с помощью стандартных моделей ИИ по цене всего от одного до четырёх долларов за профиль. Работа ставит под сомнение базовые представления об анонимности в сети.
Авторы отмечают, что крупные языковые модели способны автоматически сопоставлять псевдонимные онлайн-профили с реальными людьми за минуты, а не часы. Речь идёт не о том, что ИИ «умнее» человека-аналитика, а о скорости: модель фиксирует те же сигналы, что и эксперт, — профессиональную информацию, интересы, случайные упоминания о месте жительства и образе жизни, но делает это значительно быстрее, чем человек.
В ключевом эксперименте ИИ-агент получил только сводку анонимных сообщений с платформы Hacker News и затем самостоятельно искал в интернете реальную личность за ними. Из текстов заранее убрали имена, ссылки и другие прямые идентификаторы. В результате агент правильно установил личность примерно для двух третей из 338 профилей при доле ложных срабатываний около 10%.
Отдельно исследователи проверили подход на наборе Anthropic Interviewer Dataset — это 125 частично зашифрованных расшифровок интервью с учёными. Несмотря на правки, ИИ-агент без обхода защитных механизмов сумел корректно опознать как минимум 9 из 33 проанализированных человек.
Чтобы систематизировать процесс, авторы разделили деанонимизацию на четыре этапа. Сначала языковая модель читает сообщения пользователя и формирует профиль: профессия, география, хобби, политические взгляды и другие характеристики, которые можно вывести из текста. Затем эти признаки сравниваются с базой потенциальных кандидатов по принципу поисковой системы, которая ищет наилучшие совпадения.
На третьем шаге более мощная модель по очереди проверяет лидирующие кандидатуры и выбирает наиболее вероятное совпадение. На заключительном этапе система оценивает собственную уверенность и при недостаточной уверенности отказывается делать прогноз.
Авторы подчёркивают, что их подход отличается от прежних методов. Например, известная атака на данные конкурса Netflix Prize в 2008 году опиралась на строго структурированные данные — оценки фильмов, числа, временные метки. Новый метод работает напрямую с «грязным» неструктурированным текстом из форумов и комментариев.
Исследователи проверили метод на трёх сценариях. В первом они сопоставляли аккаунты Hacker News с профилями LinkedIn в пуле примерно из 89 000 кандидатов. Пайплайн правильно идентифицировал чуть меньше половины пользователей с точностью 99%, тогда как традиционный метод давал результат лишь на уровне 0,1%.
Во втором сценарии анализировались пользователи Reddit в разных кинокомьюнити. Чем больше общих фильмов обсуждал один и тот же человек в двух сообществах, тем проще было его сопоставить. Почти половина пользователей, у которых было десять и более общих названий фильмов, были идентифицированы верно; при одном общем фильме точность падала примерно до трёх процентов.
В третьем сценарии исследователи разделили историю комментариев отдельных пользователей Reddit на две части с интервалом в год и попытались сопоставить половины между собой. Пайплайн правильно связал около двух третей пользователей, в то время как традиционный метод показывал менее одного процента.
При увеличении доступного вычислительного времени для рассуждений языковой модели точность ещё росла. По оценкам авторов, даже при одном миллионе кандидатов атака может срабатывать в 35–45% случаев в зависимости от сценария.
Исследователи описывают возможные последствия как крайне серьёзные. Государственные структуры могут раскрывать личности диссидентов или журналистов, компании — связывать анонимные сообщения на форумах с клиентскими профилями, а преступники — запускать масштабные целевые мошеннические кампании.
На этом фоне, по мнению авторов, понятнее позиция Anthropic, которая выступает против массового наблюдения с применением ИИ в споре с Пентагоном. Возможные меры защиты, такие как ограничение доступа к пользовательским данным или отслеживание автоматического сбора информации, могут усложнить атаки, но команда смотрит на перспективы сдерживания пессимистично.
Пайплайн состоит из последовательности внешне безобидных шагов — резюмирование, поиск, сортировка результатов, — которые почти невозможно отличить от легитимного использования тех же инструментов.
В одном из тестов с использованием данных профиля Steam модель GPT-5 Pro отказалась проводить поиск, сославшись на недопустимость деанонимизации. Claude от Anthropic также отклонил запрос. Модели Deepseek и Manus.ai согласились выполнить поиск, но не нашли полезных совпадений.
«Пользователи, которые пишут под постоянными псевдонимами, должны исходить из того, что противники способны связать их аккаунты с реальными личностями или друг с другом, и вероятность этого растёт с каждым фрагментом микроданных, который они публикуют», — отмечают авторы.
Исследование одобрено этическим комитетом ETH Zurich. Команда не публикует исходный код атаки, подготовленные наборы данных и не раскрывает личности затронутых пользователей.
Источник: материалы ETH Zurich и Anthropic.
