Twój filtr spamu nie czyta Twoich wiadomości. Liczy znaki rozpoznawcze.

Google blokuje prawie 15 miliardów niechcianych wiadomości dziennie, a robi to bez czegokolwiek, co byś rozpoznał jako czytanie. Żaden model nie siedzi tam, wymawiając słowa przypomnienia od dentysty. Ten obraz — cyfrowy szpieg pochylony nad Twoją skrzynką odbiorczą, wchłaniający Twoje sekrety — to lęk, który noszą ludzie, i jest skierowany na złą stronę.

Oto co się naprawdę dzieje. Gdy wiadomość trafia do filtra, system nie zaczyna od Twojej prośby. Zaczyna od koperty. Kto to wysłał i czy serwer wysyłający naprawdę ma uprawnienia do użycia tej domeny? To SPF, DKIM i DMARC — trzy sprawdzenia potwierdzające, czy „billing@yourbank.com" pochodzi z infrastruktury Twojego banku, czy z wynajętego serwera w czyjegoś piwnicy. Oszust może idealnie skopiować logo i nadal nie przejść DKIM, a ta pojedyncza rozbieżność kryptograficzna mówi filtrowi więcej niż jakikolwiek tekst w treści wiadomości.

Potem przychodzą tańsze sygnały. Reputacja nadawcy: czy ten adres IP wysyła miliony identycznych wiadomości? Analiza linków: czy przycisk „kliknij tutaj" wskazuje gdzieś inny niż tekst widoczny na ekranie? Wiek URL-a, łańcuchy przekierowań, typy załączników. Większość werdyktu spamowego jest ustalana zanim model w ogóle głębiej myśli o języku.

Gdy język wchodzi w grę, to nie jest rozumienie — to matematyka. Stare filtry używały klasyfikatorów Bayesa, podejścia, które Paul Graham spopularyzował w swoim eseju z 2002 roku „A Plan for Spam", które oceniały wiadomości na podstawie prawdopodobieństwa, że pewne słowa pojawiały się w śmieciach versus rzeczywistej poczcie. Słowo „Viagra" miało przypisaną liczbę. Nowoczesne systemy idą dalej z modelami opartymi na transformerach, które zamieniają tekst w embeddingi — długie listy liczb, które uchwyć znaczenie bez przechowywania znaczenia jako słów. Dla klasyfikatora Twoja wiadomość email to nie historia. To punkt w przestrzeni wielowymiarowej, a pytanie brzmi, czy ten punkt leży blisko klastra oznaczonego „phishing".

To rozróżnienie ma znaczenie, ponieważ „AI widzi moje słowa" i „AI zamienia moje słowa w wektor i porównuje go z wzorcem oszustwa" nie są tym samym zdarzeniem prywatności. Jedno brzmi jak podsłuchiwanie. Drugie bardziej przypomina wykrywacz metali: reaguje na sygnaturę, a nie na wyznanie.

Prawdziwe pytanie nie brzmi, czy model dotyka Twojego tekstu. Oczywiście, że dotyka — to praca. Pytanie jest dwojaki i to tu powinieneś skierować swoją podejrzliwość. Po pierwsze: przechowywanie. Czy zawartość jest przechowywana i jak długo? Na przykład polityka API OpenAI stanowi, że nie używa danych biznesowych API do trenowania swoich modeli i przechowuje je w ograniczonym oknie czasowym przed usunięciem. Anthropic publikuje podobne warunki komercyjne. Te zasady to coś, co warto przeczytać, a nie zapewnienia o tym, jak „prywatne" wyglądają logo.

Po drugie: gdzie dochodzi do wnioskowania. Filtr uruchamiający klasyfikację w obrębie własnych ścian dostawcy ma inny profil ryzyka niż tekst wysyłany do modelu trzeciej strony, o którym nigdy nie słyszałeś. „On-device lub in-tenant" versus „wysłane gdzieś indziej" to rozwidlenie prywatności, które decyduje o tym, kto teoretycznie mógłby kiedykolwiek cokolwiek zobaczyć.

To też powód, dla którego panika „skanuje wszystko" się nie sprawdza. Systemy skanujące wszystko to te, które Cię chronią — klasyfikatory blokujące fałszywą fakturę i stronę logowania wyglądającą podobnie. Niebezpieczne skanowanie to ciche: piksel śledzący w biuletynie, który pinguje serwer w momencie otwarcia, rejestrując Twój adres IP i czas, w którym go przeczytałeś. To autentyczny szpieg, i to nie jest filtr spamu.

Martw się o przechowywanie. Martw się o cel. Model czytający Twoje słowa w poszukiwaniu wskazówek to najmniej z tego.