Jak Gemini przekonał mojego krytyka w kwestii KSeF

Grzegorz GPS Świderski, 12.04.2026

W dyskusjach o KSeF zdążyłem się już przyzwyczaić do zestawu standardowych zarzutów: „bzdury”, „teorie spiskowe”, „przecież wszystko jest szyfrowane i bezpieczne”. Tym razem historia potoczyła się inaczej, bo jeden z moich krytyków postanowił zrobić coś, czego w polskiej debacie prawie nikt nie robi: spędził trzy godziny na torturowaniu sztucznej inteligencji, aż w końcu ta, zamiast obalić moje tezy, przyznała mi rację.

  W komentarzu pod moją notką o KSeF w Salonie24 (www.salon24.pl/u/gpspl/1496460,system-ksef-na-babski-rozum) użytkownik threeme-ww przyznaje wprost, że początkowo uznał moje tezy za totalne bzdury i kłamstwa (tu jego obszerny komentarz: www.salon24.pl/u/gpspl/notka-komentarze/1496460,system-ksef-na-babski-rozum#comment-28667820). A jednak, gdy wkleił fragment mojego opisu metadanych KSeF do Gemini, po serii lepiej sformułowanych pytań dostał odpowiedź, która krok po kroku potwierdziła kluczowe elementy mojego opisu zagrożeń.

Co Gemini potwierdził w sprawie KSeF

  Przypomnę sedno cytatu, który threeme-ww kazał ocenić Gemini: problemem nie jest sama „twierdza” — baza danych KSeF — ale jawność metadanych JSON po terminacji TLS u pośrednika chmurowego. Chodzi o to, że:

  • faktura XML może być dodatkowo zabezpieczona, ale KSeF musi ją widzieć, żeby ją zwalidować i nadać numer,
  • natomiast metadane (NIP sprzedawcy i nabywcy, nazwy podmiotów, kwoty netto/VAT/brutto, waluta, numer faktury, daty operacyjne, typ faktury) lecą jako JSON chroniony wyłącznie przez TLS w transporcie.

  Gemini wprost stwierdza, że teza o braku szyfrowania na poziomie aplikacji dla metadanych jest prawdziwa i że po terminacji TLS na węźle zewnętrznego dostawcy dane te są widoczne w postaci zwykłego tekstu. Ruch jest zaszyfrowany tylko do momentu, gdy dotrze do infrastruktury chmurowej, która musi go rozpakować, żeby świadczyć usługę anty-DDoS czy WAF.

  Z perspektywy analizy wywiadowczej oznacza to, że ktoś, kto kontroluje infrastrukturę pośredniczącą, nie musi wykradać samej bazy KSeF — wystarczy, że patrzy na strumień JSON: kto, z kim, za ile i jak często handluje. Gemini nazywa to wprost ogromną wartością dla economic intelligence i wskazuje, że problem nie dotyczy hakera w kapturze, tylko instytucjonalnego nasłuchu państw dysponujących globalną infrastrukturą chmurową i kablami szkieletowymi.

Twierdza a szklana rura: dwie różne wojny

  Ciekawy element tej rozmowy polega na tym, że Gemini sam koryguje własne wcześniejsze, zbyt optymistyczne oceny bezpieczeństwa KSeF — dokładnie tak, jak powinien robić uczciwy ekspert. Rozróżnia:

  • bezpieczeństwo dostępu do bazy (forteca): silne uwierzytelnianie, ochrona przed wejściem z ulicy,
  • przezroczystość transportu (szklana rura): widoczność metadanych JSON w punktach, gdzie kończy się TLS i zaczyna działanie zewnętrznych usług.

  To rozróżnienie jest kluczowe: można mieć relatywnie bezpieczne wnętrze twierdzy, a jednocześnie bardzo niebezpieczny rurociąg doprowadzający dane, który staje się jednym wielkim radarem gospodarki. Dla przeciętnego mikroprzedsiębiorcy może to być abstrakcja, ale dla państwa — to różnica między posiadaniem statystyki PKB z opóźnieniem kilku miesięcy a oddaniem obcym wywiadom mapy gospodarki w czasie rzeczywistym.

Co z tego wynika dla państwa i dla firm

  Gemini dość trzeźwo opisuje, co rząd mógłby zrobić: od prawdziwego szyfrowania aplikacyjnego metadanych (E2EE na JSON), przez budowę własnych węzłów brzegowych i krajowych scrubberów anty-DDoS, po zatruwanie ruchu danych szumem i rozpraszanie punktów wejścia. Zwraca przy tym uwagę na realne horyzonty czasowe: lata, nie miesiące — i to przy ambitnym tempie.

  Co ciekawe, w ostatniej fazie rozmowy Gemini sam proponuje rozwiązania z kategorii digital guerrilla, które można wdrożyć szybciej po stronie biznesu:

  • wypełnianie pól opcjonalnych szumem (data padding),
  • opóźnione wysyłanie faktur zamiast natychmiastowego,
  • zmienną strukturę i objętość pakietów, która psuje profile dla algorytmów.

  Padło też bardzo konkretne stwierdzenie: zbudowanie prostego narzędzia, które automatycznie wstrzykuje szum do pól opcjonalnych faktury, jest technicznie łatwe i może zająć doświadczonemu programiście kilka dni wraz z testami. Z punktu widzenia legalności kluczowe jest, by nie ruszać pól obowiązkowych, a szum w polach dodatkowych da się zawsze uzasadnić jako wewnętrzne oznaczenia czy tagi logistyczne.

  Ja to już opisałem precyzyjnie w tym wpisie: Część II — niewidzialna pętla KSeF: jak Kowalscy mogą obronić się przed inwigilacją: x.com/gps65/status/2027801393688408375

Morał z historii: AI jako katalizator nawróceń

  Ta wymiana pokazuje, że sztuczna inteligencja wreszcie zaczyna być używana do weryfikacji stanowisk, a nie tylko do potwierdzania uprzedzeń. Krytyk przyszedł z intencją obalenia moich tez, spędził trzy godziny na poprawianiu własnych pytań i wyszedł z wnioskiem: „alarmiści jak Pan mieli rację, a ja muszę poprawić własne notki”.

  Jeśli AI, pracując na publicznie dostępnych opisach protokołów i modelach zagrożeń, dochodzi do wniosków zgodnych z tym, co od miesięcy opisuję na blogach — to znaczy, że problem nie leży w fantazji blogera, tylko w architekturze systemu. KSeF nie jest po prostu kolejnym systemem fakturowym, lecz potężnym narzędziem wywiadowczym, które (przy obecnym modelu metadanych) pracuje nie tylko dla polskiego fiskusa, ale potencjalnie również dla każdego, kto ma dostęp do szklanej rury ruchu. A łatwy dostęp wynikający z własności systemów mają trzy obce wywiady: amerykański, francuski i izraelski.

Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS

Najnowsze audyty

Seria "Niewidzialna pętla #KSeF"

Seria thrillerowa o KSeF:

Ta­gi: KSeF, gps65, go­spo­dar­ka, biz­nes, Wol­ny Ry­nek, Im­pe­rva, c­yber­bez­pie­czeń­stwo, Pol­ska, wy­wiad, szpie­go­stwo

NASZ_HENRY
Znaczy sztuczniak się PO-PiS-ał, tfu spisał 💥...🌼