Velké jazykové modely běžně fungují jako velmi sofistikovaný automat na doplňování textu. Na základě předchozího kontextu odhadují, jaký token – tedy část slova nebo celé slovo – má následovat. Výzkumníci z IIT Bombay a Adobe Research nyní zkusili tento princip obrátit.
Jejich metoda nazvaná Previous-Token Prediction (PTP) trénuje takzvaný inverzní jazykový model. Ten se místo předpovídání dalšího tokenu učí odhadovat tokeny předcházející. Z výsledné odpovědi se tak pokouší dopočítat prompt, který k ní vedl.
Studie PTP: Previous-Token Prediction based LLM Inversion for Near-Exact Prompt Reconstruction byla zveřejněna na arXivu 31. července 2026. Téma následně 12. srpna popsal také server The Decoder.
Proč je rekonstrukce promptu vůbec možná
Na první pohled se může zdát, že z odpovědi nejde původní otázku zjistit. Stejný výsledek totiž může vzniknout z mnoha různých promptů. Uživatel může požádat o shrnutí několika způsoby a model vygeneruje podobný text. Převod promptu na odpověď proto není jednoduchý převod jedna ku jedné.
Právě proto se předchozí přístupy k takzvané inverzi LLM většinou soustředily na sémantickou rekonstrukci. Nehledaly přesné původní znění, ale prompt se stejným významem. PTP jde podle autorů studie dál: snaží se obnovit funkční prompt, který po opětovném vložení do původního modelu vyvolá podobnou odpověď.
Model použitý pro rekonstrukci se přitom trénuje od nuly na syntetických datech vytvořených cílovým jazykovým modelem. Výzkumník tedy nepotřebuje znát jeho parametry ani interní pravděpodobnosti jednotlivých tokenů. Vystačí si s dotazy a odpověďmi, které si předem připraví.
Jeden výstup, původní prompt i několik alternativ
Nejzajímavější částí metody je, že nemusí vzniknout pouze jedna hypotéza. Úpravou dekódovacích parametrů může inverzní model vytvořit více variant promptu. Ty se mohou lišit formulací, ale zachovávat stejný záměr a vést k podobnému výsledku.
V jednom z příkladů studie se podařilo zrekonstruovat původní otázku týkající se zjišťování cenové strategie konkurence doslovně. Systém současně vytvořil dalších šest variant, které používaly jiné formulace, ale zachovávaly stejný význam.
To je důležitý detail. Nejde jen o to, že by někdo z odpovědi poznal přibližné téma. Rekonstruovaný prompt lze znovu poslat původnímu modelu a ověřit, zda produkuje podobnou odpověď. PTP tedy nefunguje pouze jako jazykový hádač, ale jako praktický pokus o obnovení vstupního zadání.
Výsledky měření: přesnost není jen jeden ukazatel
Autoři metodu porovnávali s dřívějšími přístupy, mimo jiné s metodami O2P, známou jako output2prompt, a RPE. Studie uvádí lepší výsledky PTP napříč několika typy metrik.
Hodnocení zahrnovalo například Exact Match pro přesnou shodu, Token F1 pro překryv jednotlivých tokenů, dále BLEU, ROUGE-L, BERT F1 a cosine similarity. Každá metrika měří trochu jinou vlastnost. Exact Match je přísný a uzná pouze stejné znění, zatímco BERT F1 nebo cosine similarity dokážou zachytit i podobný význam.
To je důležité při čtení titulku o „téměř dokonalé přesnosti“. Neznamená to, že každý dlouhý systémový prompt bude vždy obnoven znak po znaku. Výsledky se týkají konkrétního experimentálního nastavení, dat a typu promptů. Výzkum byl mimo jiné ověřován na modelu Qwen3 0.6B Chat a dalších jazykových modelech, ale dostupné shrnutí neposkytuje jedno univerzální procento, které by platilo pro všechny modely a všechny situace.
Metoda dokáže přenášet znalost mezi modely
Jedním z nepříjemnějších zjištění je přenositelnost mezi různými modely. Inverzní model trénovaný na menším chatbotu Qwen3 0.6B dokázal podle popisu ve studii rekonstruovat význam promptů z odpovědí modelu GPT-4o.
Neznamená to, že by vždy obnovil přesné původní znění. V tomto případě se text mohl lišit, ale zachoval hlavní záměr a význam. Pro útočníka však může být i taková rekonstrukce dostačující. Pokud potřebuje odhadnout, jaké instrukce model dostává, nemusí znát jejich přesné pořadí slov.
V praxi je to podobné, jako kdyby někdo neviděl výrobní recept, ale z hotového jídla dokázal odhadnout nejen hlavní ingredience, nýbrž i postup a několik alternativních receptů. U jednoduchého pokrmu to půjde snadněji než u vícechodového menu. A přesně zde leží současné omezení studie.
Největší riziko představují systémové prompty
Firmy dnes často staví vlastní AI služby na dlouhých systémových instrukcích. Ty určují tón odpovědí, pravidla moderace, způsob práce s interními dokumenty nebo chování agenta napojeného na firemní nástroje.
Takový prompt může obsahovat obchodní know-how, interní pracovní postupy nebo pravidla, která firma nechce zveřejnit. Pokud lze část instrukcí odvodit z výstupů, může vzniknout problém s ochranou duševního vlastnictví i s bezpečností celého systému.
Ještě citlivější jsou osobní dotazy. Uživatel může do AI zadat údaje o zdravotním stavu, financích, zaměstnání nebo interním projektu. Samotná odpověď nemusí obsahovat všechny původní informace, ale rekonstrukční model by mohl odhadnout, co se uživatel snažil zjistit.
Výzkumníci však netvrdí, že každý komerční AI systém je dnes automaticky napadnutelný. Studie pracuje především s krátkými prompty o jedné až dvou větách. Zda bude stejná přesnost fungovat u dlouhých systémových instrukcí s několika odstavci, zatím ověřeno nebylo.
Co to znamená pro české firmy a uživatele
Metoda PTP není běžně dostupná česká služba ani nástroj, který by si uživatel mohl jednoduše zapnout v ChatGPT nebo jiné aplikaci. K 13. srpnu 2026 jde o výzkumný přístup popsaný ve veřejném článku na arXivu. Pro český trh tedy zatím není otázkou dostupnost v češtině, ale spíše to, jak se k riziku postaví provozovatelé AI služeb a firemních chatbotů.
Vývojáři by měli počítat s tím, že systémový prompt není bezpečný trezor. Je to spíše instrukční cedule umístěná za pultem, ke které se zákazník běžně nedostane, ale její obsah může částečně odhadovat podle toho, jak obsluha reaguje.
Rozumnou obranou je nespoléhat na prompt jako na jediné bezpečnostní opatření. Tajné klíče, hesla, osobní údaje ani kritická pravidla by v něm neměly být uloženy jako prostý text. Přístupová práva musí být řešena mimo model a důležité akce je vhodné kontrolovat deterministicky, tedy pravidly, která jazykový model nemůže volně obejít.
Pro běžného uživatele platí jednodušší rada: samotná odpověď AI nemusí být tak „nevinná“, jak vypadá. Pokud služba pracuje s citlivými vstupy, je lepší předpokládat, že výstup může odhalit alespoň část kontextu. Nejde o důvod přestat AI používat, ale o důvod neposílat do ní data, která by člověk nechtěl vidět v cizí analýze.
Výzkum ukazuje nový limit černé skříňky
Dosavadní představa, že bez přístupu k vahám modelu nelze zjistit, co se uvnitř jeho workflow děje, dostává další trhlinu. PTP neodhaluje interní parametry modelu, ale ukazuje, že opakované chování lze využít k odhadu vstupních instrukcí.
Výsledek zatím není univerzální dekodér všech promptů. Studie má omezený rozsah a publikovaná práce navíc prochází standardním procesem odborného posuzování až po zveřejnění. Přesto jde o prakticky důležitý signál: skrytý prompt nelze považovat za tajemství jen proto, že ho uživatel nevidí.
Provozovatelé AI systémů budou muset oddělit to, co model potřebuje vědět pro kvalitní odpověď, od toho, co má zůstat skutečně chráněné. A to je přesně ten druh bezpečnostní práce, který se nedá vyřešit jedním dobře napsaným promptem. Bohužel ani promptem o délce několika tisíc tokenů.
FAQ
Dokáže metoda PTP získat i hesla a API klíče?
Studie ukazuje rekonstrukci promptů a jejich významu, nikoli univerzální získávání tajných údajů. Hesla a klíče však do systémových promptů vůbec nepatří. Mají být uloženy v odděleném zabezpečeném úložišti a model k nim má získávat pouze řízený přístup.
Musí útočník znát konkrétní model, který odpověď vytvořil?
Podle popisu experimentů nemusí vždy znát přesný model. Inverzní model trénovaný na menším modelu dokázal rekonstruovat význam promptů z odpovědí jiného modelu. Přesnost a použitelnost výsledku se ale mohou podle modelu a typu promptu výrazně lišit.
Je PTP dostupné jako nástroj pro uživatele v Česku?
K 13. srpnu 2026 jde o výzkumnou metodu popsanou v odborném článku, nikoli o běžnou komerční službu dostupnou v češtině. Studie je veřejně dostupná na arXivu, ale praktická dostupnost hotového nástroje není v uvedených zdrojích potvrzena.
Zdroje: odborná studie na arXivu a rozbor serveru The Decoder.
