Исследователи Georgia Tech восстановили фрагменты удалённых ИИ-чатов с Android-устройства, изучив рабочую память телефона. Экспериментальный инструмент ORISA извлёк 26 из 100 тестовых фактов уже после удаления исходных данных — для пользователей локальных моделей это неприятное напоминание: кнопка удаления не всегда означает, что следа больше нет.
О работе сообщает ZDNet. ORISA создана для цифровой криминалистики: инструмент ищет в памяти процесса остатки данных, которые локальный ИИ-ассистент использовал для поддержания диалога. Авторы эксперимента собрали тестового помощника для заметок на базе Android-приложения ChatterUI, загрузили в него 100 вымышленных сведений о проекте, а затем удалили их.
После этого исследователи просканировали память устройства и нашли данные, достаточные для создания новой рабочей сессии с 26 фактами из исходного набора. Это больше, чем 14 фактов, доступных помощнику в активном контексте до удаления: часть старой информации уже выпала из текущего окна контекста, но её следы остались в памяти процесса. ORISA не «взламывает» чат в привычном смысле и не обещает восстановить полный журнал переписки. Она собирает уцелевшие фрагменты, из которых можно понять, чем пользователь делился с моделью и какую помощь от неё получал.
Техническая деталь здесь важнее громкого заголовка. Локальные LLM держат в оперативной памяти токены пакета и KV-кэш — структуру, в которой модель хранит промежуточное состояние внимания к предыдущему контексту. Именно эти артефакты ORISA использует для реконструкции последовательностей токенов и состояния сессии. Удаление заметки или очистка истории интерфейса не обязано немедленно очистить каждую область памяти, где успели побывать фрагменты запроса.
Для ИБ-команд это полезный сценарий. Локальные модели удобны не только разработчикам, которым нужен офлайн-помощник или предсказуемая работа с данными. Их могут использовать и злоумышленники: например, для подготовки вредоносного кода, настройки модели под преступную задачу или обработки украденных данных без облачного сервиса и централизованных журналов. После удаления приложения и чатов следователям обычно сложнее доказать, какие инструкции вводились и какой результат получался. ORISA пытается закрыть именно этот пробел.
Но полезная для расследований техника автоматически расширяет модель угроз для обычного пользователя. Если похожий подход окажется у атакующего, получившего доступ к разблокированному или скомпрометированному смартфону, он сможет искать остатки удалённых ИИ-чатов. Это не удалённая атака и не универсальный способ достать всё содержимое телефона: результат зависит от реализации приложения, прав доступа, состояния процесса и того, насколько быстро память была перезаписана новой активностью. Чем дольше телефон работает после удаления данных, тем меньше шансов на успешное восстановление.
Разработчикам приложений с on-device AI стоит воспринимать работу не как приговор локальному инференсу, а как задачу к архитектуре приватности. Одной кнопки «очистить историю» недостаточно, если продукт обещает пользователю удаление данных. Нужно понимать жизненный цикл контекста: где хранятся токены, как освобождается KV-кэш, остаются ли копии в логах, дампах сбоев и временных файлах, что происходит при сворачивании приложения. Отдельный вопрос — проверяемость: заявление о локальной обработке не равно гарантии, что содержимое сессии нельзя извлечь после завершения диалога.
Для бизнеса вывод ещё прозаичнее. Локальный ИИ снижает риски передачи данных внешнему провайдеру, но не отменяет классификацию информации и правила работы с секретами. Исходный код, ключи доступа, персональные данные клиентов, условия сделок и детали инцидентов не стоит отправлять в чат-бот без необходимости — даже если модель запускается прямо на смартфоне сотрудника. Удалённые ИИ-чаты могут жить дольше, чем кажется пользователю, а значит политика безопасного использования ИИ должна учитывать не только облако, но и память конечного устройства.
Следующий тест для производителей Android-приложений и локальных ИИ-рантаймов — смогут ли они предложить не декларативное, а технически проверяемое удаление контекста. Пока ORISA показывает простую вещь: приватность локального ассистента определяется не местом запуска модели, а тем, какие следы её работа оставляет после завершения разговора.
