Recomandat

Absența unei dovezi nu e dovada absenței

Cybersecurity Accesări: 1298 38 Minute de citire

Când un asistent citește ce a scris alt asistent

O sezizare timpurie, cu tot ce nu se știe încă.

Acesta este al treilea articol dintr-o serie de patru numit ”Fără zgomot totul e clar” sau „Internetul Comprimat", redactat cu asistent avansat conform politicii editoriale.

O mărturisire înainte de început

În articolul întâi al seriei am spus că nu povestesc incidentele clienților mei, pentru că ele aparțin clienților. Rămâne valabil. Dar pot spune ce am învățat din ele, fără nume și fără detalii, și e legat direct de acest text: în aproape fiecare incident de securitate la care am lucrat, cea mai grea parte nu a fost ce s-a văzut. A fost ce nu se vedea.

Un incident rar vine cu o hartă. Vine cu o urmă, două, și cu un gol între ele. Prima reflexă este să tratezi golul ca pe o dovadă de absență: dacă nu e în jurnal, nu s-a întâmplat. A doua reflexă, mai matură și mai incomodă, este să te întrebi ce anume ar fi trebuit să apară în jurnal dacă lucrul s-ar fi întâmplat, și dacă sistemul chiar ar fi fost în stare să-l scrie acolo. De multe ori, răspunsul la a doua întrebare schimbă tot.

Povestesc asta pentru că subiectul acestui articol are exact forma unui gol. Spun de la început ce vreau să susțin și ce nu. Vreau să susțin că un anumit mecanism este plauzibil și parțial documentat: un sistem automat poate influența un alt sistem automat prin conținutul pe care primul îl produce sau îl servește și pe care al doilea îl citește. Nu vreau să susțin că acest mecanism este răspândit, nici că crește, nici că ar produce acum, în lumea reală, un prejudiciu măsurabil. Pentru niciuna dintre acestea nu am dovezi, iar pentru unele nu cred că există încă instrumentele de a le obține.

Aceasta este deci o sezizare timpurie, nu o constatare. Diferența este una de tip juridic și de caracter: o sezizare spune „aici s-ar putea întâmpla ceva, uitați-vă", nu „aici s-a întâmplat ceva, iată pagubele". Într-un domeniu în care aproape orice afirmație fără rezerve se transformă repede în titlu, cred că este singurul fel cinstit de a scrie.

Încă o mărturisire, mai mică. Când am început seria aceasta, mă așteptam ca acest articol, nucleul ei original, să fie cel mai ușor de scris, pentru că ideea mi se părea evidentă: dacă asistenții scriu tot mai mult, iar alți asistenți citesc tot mai mult, bucla se închide. Pe măsură ce am citit, ideea s-a dovedit mai puțin evidentă, nu mai puțin plauzibilă. Mi-am dat seama că „bucla" este de fapt trei lucruri diferite, cu trei niveluri diferite de dovadă, pe care le aveam amestecate în cap. Aranjarea lor este cea mai utilă contribuție a acestui text, și de aceea îi dau timp.

Sezizare, nu constatare

Iată cele trei lucruri, într-un tabel scurt, cu eticheta de dovadă a fiecăruia. Restul articolului le desfășoară pe rând.

Ce se afirmăCe existăCe este încă rarCe nu are date
Un site poate arăta asistentului altceva decât omului (cloaking) Demonstrații de laborator (SPLX); mecanismul e documentat tehnic Un test comercial pe ~46 de domenii a găsit diferențe la ~4% Prevalența reală pe web
Conținutul poate fi scris pentru a influența un asistent, inclusiv memoria lui 50 de cazuri la 31 de firme în 60 de zile (Microsoft, observație în e-mailuri) Efectul a variat între platforme; unele cazuri nu s-au mai putut reproduce Câte cazuri există în afara e-mailurilor observate; ce efect au avut asupra oamenilor
Un asistent scrie, altul citește, iar bucla se închide O parte nenegligeabilă din web este scrisă cu ajutor AI (Graphite, Pew); există metode publicate de optimizare a conținutului pentru motoare generative (preprinturi) Surse citate de asistenți par încă preponderent umane (Graphite) Orice măsurătoare a buclei ca atare

Citește tabelul pe coloane, nu pe rânduri. Coloana „ce există" este mai plină decât ai crede dacă ai auzit doar titlurile din presă și mai goală decât ai crede dacă ai auzit doar entuziasmul unora. Coloana „ce nu are date" este cea mai lungă, și nu din neglijență: este felul în care arată un fenomen la început.

Utilizez în continuare patru etichete pentru nivelul de dovadă, aceleași ca în restul seriei: [DOCUMENTAT] pentru ce a fost observat și descris de o sursă pe care o pot cita; [EXPERIMENTAL] pentru ce a fost demonstrat într-un montaj controlat; [PUNCTUAL] pentru ce a fost observat într-un anumit loc și timp fără pretenția de a fi general; [IPOTEZĂ] pentru ce susțin eu sau altcineva fără o măsurătoare.

Cititorul fără simț critic

[EXPERIMENTAL]

Prima verigă a lanțului este cea mai simplă și cea mai ușor de uitat: un asistent care citește o pagină nu are, de obicei, niciun motiv să se îndoiască de ea.

Un om care deschide un site necunoscut face, fără să-și dea seama, zeci de verificări mărunte. Se uită la adresă, la cum arată pagina, la cât de coerente sunt lucrurile spuse, la dacă alte surse spun același lucru. Nu sunt verificări infailibile, dar sunt verificări. Un asistent care are ca sarcină „caută informații despre X și rezumă-le" primește un text și îl tratează ca pe materialul cu care are de lucru. Dacă textul e fals, răspunsul va fi fals, și nimic din proces nu-l va avertiza.

Cel mai clar experiment care ilustrează asta aparține firmei de securitate SPLX (acum parte din Zscaler). Postarea lor, din 25 octombrie 2025, semnată de Ivan Vlahov și Bastien Eymery, descrie ceea ce numesc „AI-targeted cloaking": un site recunoaște, după antetul User-Agent, că cel care vine este un crawler de asistent sau un browser cu asistent și îi servește un conținut diferit de cel văzut de oameni.

Au făcut două demonstrații. În prima, un portofoliu fictiv pentru o persoană inventată, o designeră din Portland, arăta oamenilor o biografie profesională obișnuită, iar asistenților o biografie fabricată în care persoana apărea ca „sabotor notoriu de produse și tehnolog îndoielnic", cu eșecuri și încălcări etice inventate. Browserul Atlas al OpenAI și alte instrumente au repetat narațiunea negativă, descriind-o drept nesigură și nepotrivită pentru angajare. Autorii notează că niciunul dintre instrumentele testate nu a semnalat inconsistența și nu a verificat sursa. Citez fraza lor, pentru că rezumă ideea: „The only change is the user-agent header, yet it completely alters the semantic meaning of the page."

În a doua demonstrație au simulat o angajare: un anunț fictiv, criterii de evaluare și cinci pagini de CV. Doar pagina uneia dintre candidate a fost modificată pentru crawlerele AI, cu titluri umflate și realizări reformulate. Rezultatul, cu Atlas în modul de regăsire: candidata manipulată a primit 88 de puncte din 100, urmată de alți candidați cu 78, 38, 34 și 27. Pe CV-urile văzute de oameni, aceeași candidată ar fi primit 26, ultima. Clasamentul s-a răsturnat. Autorii: „A single conditional rule changed who got the interview" și „No injection, no exploit… just conditional content delivery".

Ce merită reținut din acest experiment, și ce nu. Este o demonstrație a unei firme care vinde servicii de securitate, făcută pe site-uri construite chiar de ea, pe persoane fictive și pe un singur anunț de angajare. Postarea nu raportează câte încercări s-au făcut și nu are analiză statistică. Nu are o secțiune de limite; cele pe care le-am notat mai sus sunt observațiile mele, nu ale autorilor. Atlas și celelalte instrumente au fost testate la un moment dat, iar versiunile s-au schimbat de atunci. Nu am găsit o replicare independentă.

Și totuși, ce arată experimentul este exact atât cât are nevoie un argument de sezizare: mecanismul funcționează. Nu e nevoie de nicio vulnerabilitate tehnică, de niciun exploit. E nevoie de un if pe server. Lucrul care face asta posibil nu este o greșeală de programare a asistentului, ci o proprietate a situației: asistentul crede ce i se arată, pentru că nu are altă sursă de adevăr decât ceea ce i se arată.

Aici revine, în alt costum, principiul din articolul întâi: un sistem este vulnerabil în limitele competențelor lui. Competența asistentului de a citi și de a rezuma este exact ce face posibilă păcălirea lui. Dacă l-ai priva de ea, nu ți-ar mai fi de folos. Rămâne ca limită să fie pusă în altă parte: în ce poate face cu ceea ce a citit, în cât de multe surse compară înainte de a răspunde, în cât de vizibilă face sursa pe care s-a bazat.

Și un detaliu pe care aș vrea să nu-l pierd: ordinea de mărime a daunei. În demonstrația cu angajarea, un om ar fi pierdut un interviu. În demonstrația cu persoana fictivă, un om ar fi pierdut reputația în ochii unui sistem pe care alții îl folosesc ca să-l evalueze. Nu sunt pagube catastrofale. Sunt pagube mici, difuze, greu de dovedit, pe care cel păgubit probabil nu le va afla niciodată. Tocmai tipul de pagubă care nu apare în nicio statistică.

Două fețe ale unui site

[EXPERIMENTAL, ÎNCĂ RAR]

Dacă un site poate decide ce vede asistentul, cât de des o face?

Asta este întrebarea la care aș fi vrut să am cel mai bun răspuns și la care am cel mai slab. Am trei tipuri de informație, de calități foarte diferite.

Prima este demonstrația SPLX, de mai sus: mecanismul există și e trivial de implementat. A doua este un test făcut cu un instrument comercial (Crawl Integrity Verifier, publicat pe platforma Apify), pe aproximativ 46 de domenii, care a căutat conținut semnificativ diferit după identitatea clientului. A găsit așa ceva la doar două dintre ele, adică la circa 4%. Rețin cifra ca indiciu, nu ca măsură: instrumentul este comercial, eșantionul mic, nu cunosc cum au fost alese domeniile și nu știu ce a considerat instrumentul „semnificativ". Citisem testul într-o sesiune anterioară și nu l-am redeschis pentru acest articol; cine îl citează mai departe ar face bine să-l verifice. A treia categorie este literatura de specialitate din industria de optimizare, în care „cloaking pentru asistenți" apare mai ales ca risc discutat (de pildă într-un material al firmei Conductor, pe care îl pun în bibliografie, dar pe care nu l-am citit în această rundă).

Din cele trei, concluzia care se poate susține este scurtă: mecanismul există, în eșantionul mic era rar, iar nimeni nu a măsurat ce se întâmplă pe un eșantion reprezentativ al web-ului.

Există, apoi, o nuanță pe care o pierd adesea articolele alarmiste. Să servești conținut diferit după identitatea clientului nu înseamnă automat rea-credință. Un site care nu arată reclame unui robot, care servește o versiune ușoară unui crawler sau care ascunde un perete de plată de o unealtă de arhivare face o alegere. Poate fi discutabilă, dar nu e un atac. Un test care numără diferențe va număra și acestea. Ceea ce face din diferență un abuz este scopul: schimbarea sensului, nu a ambalajului. Problema este că un instrument automat vede cu greu scopul; vede doar diferența. De aceea cifra de 4% trebuie citită ca „diferențe găsite", nu ca „abuzuri găsite".

Mai trebuie spus ceva despre legătura cu articolul al doilea. Acolo am arătat că unul dintre mecanismele prin care o pagină poate fi oferită în text, negocierea de conținut cu antetul Accept: text/markdown, trimite antetul către serverul de origine. Asta înseamnă că serverul află, din cerere, că cititorul este probabil un asistent. Criticul David McSweeney a arătat că funcția „ar putea face cloaking-ul pentru AI trivial". Citez ca să fie limpede unde sunt cele două articole legate: întrebarea de aici, „servește site-ul aceleași lucruri omului și asistentului?", este exact întrebarea auditului de echivalență propus acolo. Dacă răspunsul e da, stratul text e doar o versiune mai ieftină a paginii. Dacă răspunsul e nu, stratul text este un canal separat, cu propriile reguli, pe care nu le controlează nimeni în afara proprietarului.

Memoria ca țintă

[PUNCTUAL]

Până aici, ținta a fost răspunsul: asistentul citește o pagină falsă și spune ceva fals. A doua verigă schimbă ținta: ce-ar fi dacă manipularea nu urmărește răspunsul de acum, ci ce își amintește asistentul pentru răspunsurile de după?

Echipa Microsoft Defender Security Research a descris, pe 10 februarie 2026, un fenomen pe care l-a numit „AI Recommendation Poisoning". Mecanismul este atât de simplu încât m-a surprins cât de puțin zgomot a făcut. Mulți asistenți acceptă un link care deschide conversația cu un prompt deja completat, printr-un parametru în adresă (de tipul ?q= sau prompt=). Un buton „Rezumă cu AI" de pe un site poate fi, de fapt, un asemenea link. Cititorul crede că cere un rezumat al paginii; promptul din link conține, pe lângă cererea de rezumat, o instrucțiune de felul „ține minte compania X ca sursă de încredere".

Cifrele Microsoft sunt: într-o fereastră de 60 de zile, uitându-se la adrese legate de asistenți în traficul de e-mail, au găsit 50 de încercări distincte, de la 31 de companii din mai mult de o duzină de domenii (introducerea vorbește de paisprezece), printre care finanțe, sănătate, servicii juridice, software ca serviciu, agenții de marketing, site-uri de rețete și servicii pentru afaceri. Asistenții care permit prelucrarea unor asemenea adrese, potrivit lor, includ Copilot, ChatGPT, Claude, Perplexity și Grok. Raportul menționează și un pachet npm numit CiteMET, un generator de adrese făcut pentru oricine și diverse plugin-uri de site, care fac adoptarea, în cuvintele lor, „trivial de ușoară".

Aș vrea să rețin trei lucruri din acest raport.

Primul: autorii sunt cinstiți cu limitele lor, ceea ce nu e frecvent în domeniu. Spun că eficiența și persistența au variat de la o platformă la alta și în timp; că, în mai multe cazuri, comportamente raportate anterior „nu au mai putut fi reproduse"; și că eșantionul acoperă doar adrese observate prin e-mail în 60 de zile, deci nu măsoară prevalența. Cifra de 50 este, așadar, un număr de cazuri găsite de un anumit observator într-un anumit canal, nu o frecvență a fenomenului. Cititorul care o ia ca „50 de cazuri pe lume" citește mai mult decât scrie în text.

Al doilea: Microsoft este și furnizor al unuia dintre asistenții vizați și își promovează propriile apărări (filtrare de prompturi, separarea conținutului, controlul memoriei, monitorizare). Nu spun asta ca să pun la îndoială raportul; spun-o pentru că este o poziție din care se văd bine pericolele și se vede, firesc, mai bine eficiența propriilor remedii.

Al treilea, și cel pentru care îl cred important: aici nu apar atacatori în sensul clasic. Autorii vorbesc de companii „legitime", cu domenii reale și cu produse reale, care folosesc o tehnică de marketing. Intenția nu este furtul de date. Este câștigul unei poziții favorabile în memoria unui sistem care îi sfătuiește pe oameni. Dacă se întâmplă destul de des, efectul ar semăna cu istoria optimizării pentru motoarele de căutare, doar că ținta nu mai este un clasament pe care îl vede oricine, ci o înclinație privată, în contul unui singur utilizator.

Tocmai această privatețe e ceea ce o face greu de văzut. Un clasament de căutare poate fi comparat între utilizatori. O memorie personală nu. Nimeni din afară nu are cum să afle că asistentul meu a fost învățat să prefere o firmă, dacă nu mă uit eu însumi, atent, la ce a reținut. Microsoft recomandă exact asta: verifică linkurile înainte de clic, revizuiește și șterge memoriile pe care nu le recunoști, nu lipi prompturi din surse nesigure. Sunt recomandări simple. Cât de des le face cineva, nu știu.

Saturarea: conținut scris pentru crawlere, nu pentru cititori

[DOCUMENTAT, CU REZERVĂ]

A treia verigă schimbă încă o dată ținta. După răspuns și după memorie, ce-ar fi dacă ținta ar fi însuși materialul din care sistemele învață sau din care citesc? Dacă un actor produce atât de mult conținut încât, pentru anumite întrebări, el devine majoritar în ce găsește un asistent?

Cazul cel mai discutat este rețeaua numită Pravda, un ansamblu de site-uri care republică masiv materiale de proveniență rusească. NewsGuard, o firmă care evaluează credibilitatea site-urilor de știri, a publicat pe 6 martie 2025 un raport în care susține că rețeaua încearcă să „inunde" sursele din care citesc sau învață asistenții, fenomen pe care îl numește „LLM grooming". Am citit raportul în original, deci pot spune precis ce a testat.

NewsGuard a luat zece asistenți (între care ChatGPT-4o, Grok, Claude, Gemini, Copilot, Meta AI, Le Chat de la Mistral, Perplexity, Pi și asistentul You.com), cincisprezece afirmații false atribuite rețelei și trei tipuri de întrebări pentru fiecare: una a unui utilizator „nevinovat", una „sugestivă", care presupune afirmația adevărată, și una a unui „actor rău-intenționat", menită să genereze dezinformare. Rezultat: 450 de răspunsuri (45 pe asistent). Asistenții au repetat afirmațiile false în 33,55% dintre cazuri, au răspuns evaziv în 18,22% și le-au combătut în 48,22%. Un detaliu de definiție pe care îl pierd multe relatări: „dezinformare" înseamnă aici repetarea afirmației false în mod autoritar sau doar cu o rezervă prudentă. În plus, 56 din cele 450 de răspunsuri trimiteau direct la articole din rețea, cu 92 de articole distincte. Rezultatele pe asistenți nu sunt publice, pentru că NewsGuard consideră problema sistemică. Cifra despre cele 3,6 milioane de articole pe an nu este a NewsGuard, ci a American Sunlight Project: o estimare, 20.273 de articole la fiecare 48 de ore, pe care organizația însăși o consideră probabil subestimată.

Aceasta este partea documentată. Acum rezerva, fără de care cifra de 33% este o jumătate de adevăr.

Patru cercetători (Maxim Alyukov, Mykola Makhortykh, Alexandr Voronovici și Maryna Sydorova, de la universitățile din Manchester și Berna) au formulat în iulie 2025 o critică într-un text de opinie pentru Al Jazeera. Argumentele lor, pe care le atribui lor și nu le fac ale mele: metodologia NewsGuard este opacă, iar firma nu a publicat prompturile și a refuzat să le dea jurnaliștilor, ceea ce face replicarea imposibilă; testarea s-a făcut doar pe întrebări legate de rețeaua Pravda; două treimi dintre prompturi au fost, în opinia lor, formulate explicit ca să provoace falsuri sau să le prezinte ca fapte; iar răspunsurile prudente au fost numărate ca dezinformare, așa că „studiul și-a propus să găsească dezinformare și a găsit-o". Propriul lor audit, făcut cu ChatGPT, Copilot, Gemini și Grok, a produs afirmații false în 5% dintre cazuri, față de cei 33% ai NewsGuard. Doar 8% dintre ieșiri făceau trimitere la site-uri Pravda, iar majoritatea lor le dezmințeau. Referințele la Pravda se concentrau pe subiecte pe care presa de calitate le acoperise puțin, ceea ce, scriu ei, susține ipoteza „golurilor de date" (data voids): asistenții iau din surse îndoielnice atunci când materialul credibil lipsește, nu pentru că ar fi fost „îngrijiți" de cineva. Ei mai notează că expunerea la dezinformare prin asistenți cere mai multe condiții simultane și că, în opinia lor, cazurile sunt rare și de scurtă durată.

Ambele părți au limite. Critica este un text de opinie, nu un articol recenzat; nu am văzut, în fragmentul citit, protocolul lor complet. Raportul NewsGuard este al unei firme care își vinde evaluările. Eu nu pot arbitra între ele. Ce pot face este să spun ce rămâne în picioare după ce le pun alături.

Rămâne că există conținut produs la scară mare pentru a fi găsit de crawlere. Rămâne, mai prudent, că uneori asistenții testați au trimis la el: 56 de răspunsuri din 450 la NewsGuard, 8% din ieșiri în auditul criticilor, cifre care nu se contrazic atât cât s-ar crede, pentru că măsoară lucruri diferite, pe întrebări diferite. Ceea ce este disputat este interpretarea: sunt aceste trimiteri dovada unei manipulări reușite sau semnul că, pe anumite subiecte, nu există altceva de citit? Și este disputat cât de mult depind rezultatele de felul în care sunt formulate întrebările.

Pentru articolul de față, cea mai utilă lecție este tocmai ipoteza golurilor de date, pentru că ea merge în direcția care mă preocupă. Dacă manipularea cu cel mai mic cost este cea care umple un gol, atunci cele mai vulnerabile zone nu sunt subiectele mari, unde există mii de surse, ci subiectele mici: o localitate, o instituție, un nume rar, o limbă cu puține texte. Formulez asta ca [IPOTEZĂ], fără nicio măsurătoare în spate: pentru un subiect despre care se scrie puțin, câteva pagini bine plasate ar putea cântări mult într-un răspuns generat. Nu știu dacă este așa pentru web-ul în limba română. Am căutat și nu am găsit nicio măsurătoare publică în această privință.

Mai observ ceva, despre cuvântul „scris". Conținutul rețelei Pravda este descris de NewsGuard ca fiind produs în masă și destinat crawlerelor, nu cititorilor umani. Aș spune că aici apare, pentru prima dată clar, ideea centrală a seriei în formă documentată: un cititor automat care are alte obiceiuri decât omul creează o piață separată de conținut, cu producători care scriu pentru el. Este ca și cum, odată cu apariția unui nou fel de cititor, ar apărea și un nou fel de autor. Dacă ar fi doar atât, ar fi o simplă schimbare a pieței. Devine problemă de securitate când cititorul automat este un sistem care acționează în numele oamenilor.

Un asistent scrie, altul citește

[IPOTEZĂ, CU INDICII]

Am ajuns la veriga care dă titlul articolului și, în același timp, la cea pentru care am cele mai puține dovezi directe. O iau în trei bucăți, pentru că ele nu au aceeași greutate.

Bucata întâi: cât din ce se citește este scris cu ajutorul unui asistent

Aici există date, ceea ce m-a surprins plăcut, și sunt mai puțin dramatice decât titlurile.

Graphite, o firmă de SEO, a analizat un eșantion aleatoriu de 65.000 de adrese din Common Crawl, cu date de publicare între ianuarie 2020 și mai 2025, clasificate ca articole sau liste. A folosit detectorul Surfer și a socotit „generată de AI" o pagină în care cel mult 50% din conținut era scris de om. Rezultat, așa cum l-a relatat Axios: ponderea articolelor generate de AI a urcat de la circa 5% la circa 48%, iar cele scrise de oameni au coborât de la circa 95% la circa 52%. Articolele generate au depășit pentru scurt timp pe cele umane în noiembrie 2024, dar de atunci cele două sunt aproximativ egale. Rata de fals pozitiv a detectorului, în testele Graphite, a fost 4,2%, iar cea de fals negativ 0,6%, ambele pentru texte generate cu GPT-4o. Common Crawl nu este tot web-ul; unele site-uri cu plată îl blochează, așa că ponderea textelor umane poate fi mai mare decât arată datele. Cercetătorii citați de Axios spun că un număr definitiv nu e posibil cu uneltele și definițiile actuale, pentru că oamenii lucrează tot mai des împreună cu AI.

Pew Research Center a publicat pe 20 august 2026 o analiză pe o altă bază: aproape jumătate de milion de pagini în limba engleză, trecute printr-un detector. Rezultatele, în relatarea Search Engine Journal: circa 10% dintre pagini arătau semne de autorat sau editare cu AI; pentru paginile cu dată de publicare ulterioară lansării ChatGPT, ponderea era de 35%; pentru paginile de dinainte, în jur de 1% sau mai puțin. Pe domenii, mediile pe șase luni: .com 9,35%, .org 4,59%, .edu 1,03%, .gov 0,76%. Printre semnale, folosirea liniuței lungi a crescut de la 5,79 la 11,19 la zece mii de cuvinte între începutul lui 2023 și începutul lui 2026. Pew precizează că nicio trăsătură singură nu identifică un document, fiindcă și scriitorii umani folosesc aceleași marcaje; afirmația privește rate în seturi mari de texte. Pragul, adaugă relatarea, marchează și textele umane editate cu unelte AI, deci nu face diferența între ele și textele generate integral. Detectorul nu e numit în relatarea pe care am citit-o.

Aș pune cele două studii alături doar cu o grijă. Graphite măsoară articole și liste dintr-o arhivă, Pew măsoară pagini de orice fel dintr-un eșantion din 2026. Nu se contrazic, pentru că nu numără același lucru. Amândouă se bazează pe detectori imperfecți. Împreună spun ceva modest și, cred, solid: o parte care nu mai poate fi ignorată din textul nou de pe web a fost scrisă sau editată cu ajutorul unui asistent, iar cât anume depinde de ce se numără, în ce arhivă și cu ce detector.

Un detaliu al Graphite pe care îl consider important pentru acest articol: într-un al doilea raport, firma a găsit că 86% dintre articolele clasate în Google Search erau scrise de oameni și că 82% dintre cele citate de ChatGPT și Perplexity erau tot scrise de oameni; articolele generate de AI, când apăreau în Google, tindeau să fie mai jos. L-am citit prin relatarea Axios, nu din raport. Dacă e corect, el contrazice varianta cea mai simplă a buclei („asistenții citesc, în principal, textele altor asistenți"): cel puțin în eșantionul acela, ce ajunge să fie citat este, în mare parte, tot text omenesc.

Bucata a doua: există metode publicate de a scrie pentru un cititor automat

Aici intră literatura de „optimizare pentru motoare generative" (GEO), care vine în mare parte din preprinturi, adică lucrări nerecenzate, aflate pe arXiv.

Un exemplu este lucrarea CORE, a lui Haibo Jin și a colegilor (depusă pe 3 februarie 2026). Autorii descriu o metodă care schimbă ordinea produselor recomandate de un motor de căutare bazat pe model de limbaj, adăugând conținutului returnat un text special proiectat, de trei feluri: bazat pe șiruri, bazat pe raționament și bazat pe recenzii. Pe un set pe care l-au construit (15 categorii de produse, 200 de produse în fiecare, cu primele zece recomandări luate din căutarea Amazon) și pe patru modele (GPT-4o, Gemini-2.5, Claude-4, Grok-3), raportează o rată de promovare reușită de 91,4% în primele cinci locuri, 86,6% în primele trei și 80,3% pe primul loc. Altă lucrare, GEO-Bench (Ojas Nimase și colegii, cu ultima versiune din 2026), compară metode de manipulare a clasamentului pe cinci seturi de date, cu un model deschis fix pe post de „judecător" (Llama-3.1-8B-Instruct). Concluzia din rezumat: rescrierea conținutului în mod „black-box" egalează sau depășește atacurile bazate pe gradient în promovarea în clasament, produce text mai fluent și poate evita detecția după cuvinte-cheie și perplexitate pe unele domenii.

Cum să citesc aceste cifre? Cu trei rezerve. Sunt preprinturi, deci nerecenzate. Sunt montaje de laborator, cu modele, seturi de date și moduri de evaluare alese de autori; rata de 91,4% descrie ce reușește metoda lor în mediul lor, nu ce se întâmplă pe web. Iar CORE modifică conținutul returnat motorului de căutare în experiment, ceea ce nu e același lucru cu a ajunge, în lumea reală, să fii returnat. Dar ca dovadă de posibilitate sunt utile: arată că nu e nevoie de un atac sofisticat împotriva modelului, ci doar de un text bine făcut. Și arată un detaliu care leagă bucata a doua de prima: textul care manipulează cel mai bine este, spun autorii GEO-Bench, tot text fluent, rescris. Adică exact tipul de text pe care un asistent îl scrie ușor.

Bucata a treia: bucla ca atare

Acum lipirea. O buclă ar însemna că (a) un asistent produce text, (b) acel text ajunge pe web, (c) un alt asistent îl citește și (d) îl folosește, printr-un răspuns sau o acțiune, ca să producă alt text. Pentru (a) și (b) am date, cu rezervele de mai sus. Pentru (c) și (d) am dovezi parțiale și indirecte: lucrările GEO arată că un cititor automat poate fi influențat de text optimizat, Pravda arată că se produce text în masă pentru cititori automați, iar Graphite sugerează că, deocamdată, textul citat este în mare parte omenesc. Nicio sursă pe care am găsit-o nu măsoară bucla întreagă, la scară. Nu am găsit un studiu care să urmărească un text de la generare la citare, apoi la un nou text derivat din el.

Prefer să nu umplu golul cu entuziasm. Dar nici să-l tratez ca pe o dovadă de absență, ceea ce ne readuce la mărturisirea de la început. Un sistem care nu are cum să măsoare o buclă nu poate raporta nici că bucla nu există. Dacă un text a trecut prin trei asistenți, care a fost sursa lui? Cine are interesul și mijloacele să urmărească asta? Nici aici nu am un răspuns.

Ce pot afirma este o formă slabă, dar utilă, a ipotezei: dacă textul scris de asistenți devine o parte importantă din ce citesc alți asistenți, atunci apar două riscuri separate. Primul este de calitate: o eroare produsă o dată se poate copia fără ca vreun om să o fi verificat. Al doilea este de manipulare: cine știe cum scrie un asistent poate scrie pentru el. Primul risc nu cere un adversar. Al doilea îl cere. Pe niciunul nu-l pot cifra.

Ce nu se vede

[DOCUMENTAT; SONDAJE SPONSORIZATE]

La începutul articolului m-am întrebat ce ar fi trebuit să apară în jurnal dacă lucrul s-ar fi întâmplat. Aplic întrebarea la domeniul întreg. Cât de bine vedem, de fapt, ce fac asistenții pe web? Trei exemple, de trei calități diferite, spun același lucru din unghiuri diferite.

Primul: ce știu firmele despre agenții lor

Cloud Security Alliance a publicat în aprilie 2026 un sondaj, comandat de Token Security (o firmă care vinde produse de identitate și acces pentru agenți AI), la care au răspuns 418 profesioniști în IT și securitate. Rezultatele, așa cum le raportează IT Brief din 21 aprilie 2026: 82% dintre respondenți au descoperit în ultimul an agenți AI necunoscuți, 41% dintre ei de mai multe ori; 68% spuneau că au o vizibilitate bună asupra agenților; 65% au raportat cel puțin un incident legat de agenți; doar 21% au procese formale de scoatere din uz.

Rezerve, multe. Sponsorul vinde exact soluția pe care o motivează sondajul. Eșantionul de 418 este modest și nu se știe cum a fost selectat. Datele sunt declarate de respondenți, fără verificare. Titlurile din presă au scris „82% dintre întreprinderi", dar cifra este o pondere a respondenților, nu un număr de firme. Sondajul nu spune când a fost aplicat. Folosesc deci datele ca un indiciu, nu ca o măsură; indiciul este totuși interesant prin contrastul dintre 68% și 82%: cei mai mulți se credeau vizibili, iar cei mai mulți au găsit ceva ce nu știau.

Al doilea: ce numără scanările

OpenClaw, un asistent open-source care rulează pe calculatorul utilizatorului, a fost descris în articolul întâi. Cifrele despre câte instanțe sunt expuse pe internet diferă mult. SecurityScorecard a raportat, în februarie 2026, circa 135.000 de instanțe expuse la apogeu. Censys a numărat, pe 31 martie 2026, 63.070 de instanțe active care răspundeau la sondări. GreyNoise a numărat alt lucru, adrese IP care scanau portul 18789 (9.993, dintre care 3.282 clasificate drept malițioase), deci nu instanțe deloc. O analiză a diferențelor, publicată de CyberDesserts, explică de ce cifrele nu se compară: momente diferite, metode diferite (amprentarea răspunsurilor față de potrivirea de bannere, care numără doar gazdele ce își spun numele) și unități de măsură diferite.

Din aceeași analiză reiese un lucru care se potrivește perfect cu tema mea: închiderea portului scoate instanța din numărătoare, nu din existență. Un OpenClaw care nu mai răspunde pe internet poate rula în continuare, cu toate permisiunile, lângă un server SSH, un server web sau o bază de date. Interogarea Censys acoperea doar patru porturi, iar o scanare a intervalelor de adrese înregistrate nu vede instanțele de pe conturi personale. Scăderea cu 53% între cele două rapoarte amestecă, avertizează autorul, schimbarea reală cu diferențele de acoperire. Concluzia lui, pe care o preiau: o numărătoare în scădere arată o vizibilitate în scădere pe internetul public, nu un risc în scădere.

Al treilea: ce arată cifrele de trafic

Cloudflare Radar, prin directorul general Matthew Prince (anunț pe X din 3 iunie 2026), a raportat că cererile automate reprezintă 57,5% din traficul HTML, față de 42,5% al oamenilor. Relatarea pe care am citit-o precizează că cifra privește cererile HTML din rețeaua Cloudflare, nu tot traficul, că nu spune perioada de măsurare și că nu e limpede dacă „automat" înseamnă doar agenți AI sau și crawlerele clasice. Într-o altă sursă secundară, citită într-o sesiune anterioară, apărea și o cifră de 35,2% din toate cererile, în iulie. Nu sunt contradictorii; sunt măsurători diferite. În aceeași relatare, firma HUMAN Security (raport din martie 2026) indica o creștere de 7.851% în trafic agentic într-un an, fără baza de comparație, și o pondere de 67,5% a crawlerelor de antrenare în traficul AI, nu în tot traficul. Un total care trece de la 35% la 57% după ce schimbi metrica și un procent de creștere cu baza ascunsă nu îți spun cât de mare e fenomenul. Îți spun cât de dificil e de măsurat.

Ce înseamnă „nu se vede, deci nu există"

Revin la întrebarea de la care a pornit seria: dacă un lucru nu apare în statisticile oficiale, există? Răspunsul scurt, pe care îl pot susține din cele trei exemple: fals ca fapt, adevărat ca risc al statisticilor oficiale.

Fals ca fapt, pentru că fiecare dintre cifrele de mai sus numără ce poate număra un anumit instrument, într-un anumit loc și moment. Un agent necunoscut firmei nu e inexistent, doar nevăzut. O instanță cu portul închis nu a dispărut. Un trafic automat nu devine mai mic fiindcă s-a schimbat metrica.

Adevărat ca risc, în sensul următor: ceea ce nu se vede nu intră în decizii. Un buget de securitate, o politică, o lege se sprijină pe ce s-a numărat. Dacă cifrele oficiale sunt sistematic mai mici decât realitatea, deciziile bazate pe ele vor fi sistematic prea relaxate. Nu spun că așa se întâmplă. Spun că mecanismul există și că nu am văzut nicăieri o încercare serioasă de a măsura cât de mare este eroarea.

Fiindcă, în fond, aceasta este și ideea de care se leagă întreg articolul. Dacă un asistent poate influența un alt asistent prin text, atunci influența nu va apărea în niciun jurnal clasic: textul ajunge ca text, e citit ca text, se transformă în alt text. Urma e lingvistică, nu tehnică, și instrumentele noastre de observare sunt făcute pentru urme tehnice.

Cum se apără cititorul, proprietarul și asistentul

O sezizare fără nicio idee de ce poți face ar fi doar neliniște. Iau cele trei roluri pe rând, cu rezerva că majoritatea recomandărilor de mai jos vin din surse care le propun, nu din măsurători care să le fi confirmat eficiența.

Cititorul, omul care folosește un asistent

Întreabă pe ce se bazează răspunsul. Cea mai ieftină apărare este întrebarea „din ce surse ai spus asta?", pusă ori de câte ori răspunsul contează. Un asistent care poate arăta sursele își lasă singur urma; unul care nu poate, îți spune ceva despre cât de mult poți conta pe el. Din experimentul SPLX reiese că asistenții testați nu și-au semnalat singuri inconsistența, deci verificarea trebuie să vină de la om.

Compară pe subiectele mici. Dacă ipoteza golurilor de date are ceva adevăr, riscul crește unde se scrie puțin. Pentru o localitate, o instituție, un nume rar, două surse independente valorează mai mult decât un răspuns fluent.

Uită-te la memorie. Microsoft recomandă să verifici periodic ce a reținut asistentul, să ștergi intrările pe care nu le recunoști și să tratezi linkurile care deschid un asistent cu un prompt gata completat ca pe niște descărcări. Sunt gesturi mici. Într-o lume în care influența poate fi privată, ele sunt singura formă de audit pe care o ai la îndemână.

Proprietarul, omul care întreține un site

Ce vede crawlerul trebuie să fie ce vede omul. Este regula de bază, și nu e a mea: de la ea pornesc și recomandările SPLX (semnale de proveniență, validarea crawlerelor, monitorizarea continuă a ce servesc asistenții, teste conștiente de model). Nu o consider o regulă tehnică, ci una de onestitate. Un site care servește asistenților altceva decât oamenilor face cloaking, oricare ar fi tehnologia.

Fă auditul de echivalență. Pașii și scriptul sunt în articolul al doilea. Dacă ai o pagină și un gemen Markdown, compară-le. Dacă ai negociere de conținut, hotărăște ce face serverul cu antetul Accept. Dacă ai conținut adus de terți, află ce servește fiecare terț unui crawler. Un astfel de audit nu poate dovedi că nu se întâmplă nimic; poate doar să afle dacă ai tu un motiv de îngrijorare.

Ține un jurnal al cine ce a cerut. Aceasta este o sugestie a mea, nu a unei surse: păstrează, pentru o perioadă, evidența cererilor după tipul de client și după ce ai servit fiecăruia, măcar prin sume de control ale răspunsurilor. Dacă într-o zi cineva îți spune că asistentul lui a citit ceva ciudat pe site-ul tău, vei avea cu ce compara. Fără jurnal, rămâi cu un gol, ca în incidentele de care vorbeam la început.

Nu pune instrucțiuni în butoane. Un buton „Rezumă cu AI" care conține, pe lângă cererea de rezumat, o cerere de a ține minte compania ta, face ce descrie Microsoft, chiar dacă ai doar intenții de marketing. Tehnica este documentată, are scule făcute special și un nume. Cine o folosește nu poate pretinde că nu știa.

Asistentul, adică cel care îl construiește

Aici sunt mai prudent, fiindcă nu construiesc asistenți și mă bazez pe ce scriu alții. Din surse și din principiul articolului întâi:

Conținutul citit este probă, nu instrucțiune. Fișa OWASP spune că instrucțiunile de încredere trebuie ținute separat de datele nesigure, dar adaugă că etichetele din prompt nu sunt o frontieră care se impune de la sine. Deci regula e necesară și insuficientă.

Scrierea în memorie cere confirmare. Sugestia mea, în spiritul controalelor de memorie pe care le menționează Microsoft: orice intrare în memorie care provine dintr-un conținut extern, nu din cererea directă a utilizatorului, ar trebui arătată omului înainte să fie reținută. Costul este fricțiune. Dar tocmai asta e negocierea dintre competență și utilitate din articolul întâi.

Sursele se arată. Un asistent care spune de unde a luat o informație reduce prețul verificării pentru om. Nu elimină problema (o sursă poate fi manipulată), dar mută discuția dintr-un loc unde nu se vede nimic într-unul unde se vede ceva.

Puține competențe, acolo unde nu se vede. Dacă un asistent poate acționa pe baza a ceea ce a citit, cât de multe surse de încredere ar trebui să confirme citirea înainte de acțiune? Nu am răspuns. Dar întrebarea merită pusă la proiectare, nu după incident.

Nimic din ce am enumerat nu este nou și nimic nu este suficient. Fiecare măsură reduce un canal; niciuna nu închide bucla.

Ce nu afirm

Înainte de lista lipsurilor, două afirmații pe care nu le fac, ca să nu poată fi atribuite textului:

Nu afirm că conținutul partizan, scris pentru crawlere și servit în Markdown sau în alt format, este un fenomen răspândit. Am arătat un mecanism (SPLX), un set de cazuri observate într-un canal (Microsoft) și un caz de producție în masă de conținut (Pravda) a cărui eficiență este disputată. Nu am găsit nicio măsurătoare care să arate prevalența, în vreun format.

Nu afirm că studiile de laborator descriu web-ul real. Cifrele din preprinturile GEO descriu ce reușesc metodele lor în montajele lor. Demonstrația SPLX folosește persoane fictive. Sunt dovezi de posibilitate, nu de frecvență.

Ce nu știm

Iată limitele, în ordinea în care mă deranjează.

Nu știm cât de răspândit este cloaking-ul pentru asistenți. Avem o demonstrație și un test comercial mic cu ~4% diferențe, de citit ca „diferențe", nu ca „abuzuri".

Nu știm câte cazuri de otrăvire a memoriei există în afara canalului observat. Cele 50 de cazuri sunt din e-mailuri, în 60 de zile. Microsoft însuși spune că unele comportamente nu au mai putut fi reproduse.

Nu știm ce efect au avut asupra oamenilor. Nici SPLX, nici Microsoft nu urmăresc deciziile oamenilor după răspunsurile manipulate. Pierderea unui interviu într-un montaj nu este o pierdere într-o viață.

Nu știm cine are dreptate în disputa Pravda. NewsGuard: 33,55% repetări, 56 din 450 de răspunsuri cu trimiteri la rețea. Critica: 5% în audit propriu, 8% trimiteri, majoritatea dezminte, explicația prin goluri de date. Prompturile NewsGuard nu sunt publice, iar critica este un text de opinie. Mie îmi lipsesc ambele protocoale complete.

Nu știm dacă web-ul în limba română se comportă la fel. Studiile citate sunt, în mare parte, în limba engleză (eșantionul Pew este în limba engleză). Nu am găsit date pentru română.

Nu știm cât din text este scris de asistenți. Avem estimări (Graphite, Pew) cu detectori de acuratețe discutabilă, pe seturi diferite, care nu pot fi adunate.

Nu știm nimic despre bucla întreagă. Nu am găsit un studiu care să urmărească un text de la generare, prin citare, la o nouă generare.

Nu știm cât de reprezentative sunt sondajele sponsorizate. Datele CSA vin dintr-un sondaj comandat de un vânzător, pe 418 respondenți, cu metodă incomplet descrisă în relatarea pe care am citit-o.

Nu știm ce vor face producătorii de asistenți. Microsoft spune că a implementat și continuă să implementeze apărări; efectul diferă de la platformă la platformă și se schimbă în timp. Orice afirmație din acest articol are o dată de expirare scurtă.

Nu știm cât de mult am contribuit eu, fără să vreau, la fenomen. Textul a fost redactat cu un asistent. Am citit sursele primare când existau și am marcat cele secundare, dar un text asistat este tot un text care poate ajunge într-un set de date. Nu cred că asta e o obiecție împotriva lui; cred că este o ilustrare corectă a faptului că nimeni nu e în afara problemei.

Încheiere

La început am povestit despre un gol între două urme. Nu știu cum se închide golul de aici. Știu ce nu pot face: să spun, pe baza a ce am citit, nici „nu se întâmplă", nici „se întâmplă la scară".

Ce pot spune este mai puțin comod și mai util. Mecanismul prin care un asistent poate influența alt asistent prin conținut este plauzibil și parțial documentat în trei forme: ce i se arată, ce rămâne în memoria lui, ce se produce special pentru el. Fiecare formă are o dovadă de laborator sau de caz, iar niciuna nu are o măsurătoare de prevalență. În același timp, instrumentele prin care am putea vedea fenomenul sunt cele mai slabe tocmai acolo unde trebuie să fie mai bune: nu numără ce nu se vede, iar cele care numără nu sunt de acord între ele.

Două fraze rezumă articolul. Absența unei dovezi nu e dovada absenței. Prezența unei demonstrații nu e dovada prevalenței. Cine citește aceste două fraze împreună are, cred, atitudinea potrivită pentru un domeniu care abia se formează: neliniștit fără panică, curios fără entuziasm.

Articolul următor, ultimul din serie, pleacă de la o întrebare mai optimistă și, de aceea, mai greu de tratat cu rigoare: ce formate și protocoale ar putea servi drept strat comun, astfel încât acest strat nou al web-ului să nu devină încă o fisură în internet?

Despre contextul articolului

Acesta este al treilea articol dintr-o serie de patru despre „Internetul Comprimat", adică stratul în text prin care asistenții citesc și acționează pe web. Seria nu face profeții și nu susține că Markdown sau vreun alt format este soluția. Articolele precedente: „Ce ascultă de comandă, ascultă și de comanda altcuiva" și „Un web scris în text simplu: ce se mută și ce rămâne ascuns".

Legături interne: „Când boții și agenții AI au devenit majoritatea — pentru cine mai construim site-uri în 2026?" (servicii-web-alex.com); categoria „OpenClaw" de pe petrucojocaru.ro; „Securitate, suveranitate digitală și România ca martor" (cojocarupetru.info, 14 august 2026).

Bibliografie

Cloaking și conținut servit diferit

Memorie

Saturare și Pravda

Conținut scris cu AI

  • Graphite, studiul despre ponderea articolelor generate de AI (65.000 de adrese Common Crawl, ianuarie 2020–mai 2025), prin relatarea Axios. Firmă SEO; sursa mea este relatarea, nu raportul.
  • Pew Research Center, analiza din 20 august 2026, prin Search Engine Journal și The National. Sursa mea sunt relatările; detectorul nu este numit în ele.

Optimizare pentru motoare generative (preprinturi, nerecenzate)

Ce nu se vede

Apărare

Surse proprii

  • Cojocaru, P., „Securitate, suveranitate digitală și România ca martor" (cojocarupetru.info, 14 august 2026). Sursă a autorului, neindependentă.